La due diligence cyber est devenue un passage obligé des opérations de M&A : acheter une entreprise, c’est aussi acheter son passif de cybersécurité — vulnérabilités, incidents passés non divulgués, dettes de conformité. Des opérations emblématiques ont vu leur prix renégocié de plusieurs centaines de millions après découverte de compromissions. Une due diligence cyber sérieuse protège le prix, la garantie de passif et l’intégration.
Cet article détaille les 6 contrôles d’une due diligence cyber efficace, même en temps contraint. Pour le volet SI global, voir notre guide de la due diligence IT en M&A.
Table des matières
Pourquoi la due diligence cyber est distincte de la due diligence IT
La due diligence IT évalue la capacité du SI à soutenir le plan d’affaires : architecture, dette technique, équipes, coûts. La due diligence cyber répond à une question différente : la cible est-elle déjà compromise, exposée ou non conforme — et combien coûtera la remédiation ?
Les deux se complètent mais ne se substituent pas : un SI moderne peut être troué, un SI vieillissant peut être sainement défendu. En pratique, la due diligence cyber mobilise des compétences spécifiques (analyse d’exposition, forensique légère, conformité) sur un temps très court.
Contrôle 1-2 — Exposition externe et signaux de compromission
L’analyse d’exposition externe se mène sans accès interne, dès la phase préliminaire : surface d’attaque visible (services exposés, versions obsolètes, certificats), fuites de données et identifiants circulant sur les places de marché criminelles, mentions de la cible dans les écosystèmes de ransomware.
Les signaux de compromission passés ou en cours changent la nature du deal : un incident non divulgué découvert en due diligence cyber pèse directement sur le prix et les garanties. D’où l’importance de croiser les déclarations de la cible avec des sources indépendantes.
Contrôle 3-4 — Gouvernance, incidents déclarés et conformité
Côté gouvernance : existence d’un responsable sécurité, politiques appliquées (pas seulement écrites), gestion des accès et des privilèges, sauvegardes réellement testées, plan de réponse à incident. L’entretien avec les équipes en dit souvent plus que la documentation fournie en data room.
Côté conformité : RGPD (registres, violations passées, exposition CNIL), NIS2 ou DORA selon le secteur, exigences contractuelles des grands clients. Une non-conformité structurelle est un coût de remédiation à chiffrer — et parfois un risque de sanction hérité par l’acquéreur.
Contrôle 5-6 — Dépendances critiques et coût de remédiation
Cinquième contrôle : les dépendances — prestataires critiques, sous-traitance en cascade, composants logiciels à risque dans les produits de la cible (si elle édite du logiciel, une analyse de la chaîne d’approvisionnement logicielle s’impose).
Le sixième contrôle synthétise tout : le chiffrage de la remédiation, en distinguant l’urgent (avant ou immédiatement après closing), le structurel (6-18 mois) et le récurrent (montée du budget sécurité). Ce chiffrage alimente directement la négociation : ajustement de prix, garanties spécifiques, ou conditions suspensives.
Intégrer les résultats dans le deal et l’après-closing
Les constats de la due diligence cyber se traduisent en clauses : déclarations et garanties spécifiques sur les incidents passés, garantie de passif dimensionnée, engagements de remédiation. Sans traduction contractuelle, la due diligence n’est qu’un rapport de plus.
Après le closing, les 100 premiers jours sécurisent la fenêtre la plus risquée : changement des accès et secrets, cloisonnement avant interconnexion des SI, traitement des urgences identifiées. L’interconnexion prématurée des réseaux est le vecteur classique de propagation d’une compromission héritée vers l’acquéreur.
FAQ sur la due diligence cyber
Combien de temps faut-il pour une due diligence cyber ?
En phase d’offre : 1 à 2 semaines pour une analyse d’exposition externe et une revue documentaire. En exclusivité : 3 à 4 semaines avec accès interne, entretiens et tests ciblés. L’essentiel est de la démarrer tôt, pas à la veille du signing.
Que faire si la cible refuse l’accès à son SI ?
C’est fréquent en phase concurrentielle : l’analyse d’exposition externe et les sources ouvertes donnent déjà une première évaluation sérieuse. Conditionnez ensuite l’offre ferme à une due diligence cyber approfondie en exclusivité.
Qui doit mener la due diligence cyber ?
Une équipe indépendante de la cible, mêlant expertise offensive (exposition, tests) et gouvernance (conformité, organisation). Un RSSI de transition expérimenté en M&A peut piloter l’exercice puis la remédiation post-closing — la continuité est un vrai atout.
Une cyber-assurance de la cible protège-t-elle l’acquéreur ?
Partiellement au mieux : vérifiez la transférabilité de la police, les exclusions (incidents antérieurs connus) et les plafonds. La garantie de passif contractuelle reste la protection principale.
Due diligence cyber : l’essentiel
Une due diligence cyber structurée en 6 contrôles — exposition, compromission, gouvernance, conformité, dépendances, chiffrage de remédiation — protège le prix, les garanties et l’intégration. Le coût de l’exercice est marginal à l’échelle d’un deal ; celui d’une faille héritée ne l’est jamais.
Nos RSSI et DSI de transition interviennent en due diligence cyber puis en sécurisation post-closing. Parlons de votre opération.