NIS 2 en 2026 : « L'audit réglementaire est devenu le révélateur de notre dépendance aux outils américains »

# NIS 2 en 2026 : « L'audit réglementaire est devenu le révélateur de notre dépendance aux outils américains »

*Directeur des systèmes d'information d'une ETI industrielle française de taille intermédiaire, notre interlocuteur pilote depuis dix-huit mois la mise en conformité NIS 2 de son organisation. Il revient sur ce que cet exercice a concrètement révélé — et sur les arbitrages que les équipes IT ne peuvent plus éviter.*

RiffLab : NIS 2 est entrée en vigueur en France au premier trimestre 2026. Quelle a été la première surprise quand vous avez lancé votre démarche d'audit ?

La première surprise, c'est que l'audit de conformité NIS 2 n'est pas un audit de sécurité classique. Ce n'est pas simplement « est-ce que mes pare-feux sont à jour ? ». La directive impose une cartographie précise des chaînes de dépendance — fournisseurs, prestataires, hébergeurs. Et quand vous déroulez ce fil sérieusement, vous tombez très vite sur une réalité inconfortable : une part significative de vos outils critiques — messagerie, stockage, outils collaboratifs, parfois même vos EDR — sont hébergés chez des acteurs soumis au Cloud Act américain ou à des juridictions extraeuropéennes.

Le cadre réglementaire NIS 2 ne dit pas explicitement « chassez les GAFAM ». Mais il vous oblige à documenter qui traite vos données, où, sous quelle juridiction, et selon quel contrat. Et cette documentation, honnêtement menée, devient un miroir assez brutal de l'état réel de votre souveraineté numérique. Beaucoup de DSI que je côtoie avaient sous-estimé ce que ce miroir allait leur montrer.

RiffLab : Concrètement, quels types d'outils ont posé le plus de problèmes lors de cet audit ?

Je vais répondre par catégorie fonctionnelle, pas par nom de produit, parce que le problème est structurel, pas lié à une marque en particulier.

Premier point de friction : les outils de gestion des identités et des accès. Beaucoup d'ETI ont externalisé leur IAM auprès d'acteurs dont les serveurs d'authentification sont localisés hors UE, ou dont les conditions générales permettent l'accès aux métadonnées par des autorités étrangères. Sous NIS 2, ce n'est pas anodin : votre IAM, c'est la clé de voûte de tout votre SI.

Deuxième point : les outils de supervision et de monitoring. Les SIEM et plateformes d'observabilité en mode SaaS aspirent des logs qui peuvent contenir des données sensibles sur vos activités opérationnelles. Là encore, la question de la localisation du traitement n'est plus rhétorique — elle est documentable et opposable.

Troisième point, et c'est celui qui surprend le plus les équipes : les outils de ticketing et de gestion de la connaissance interne. Ce sont des outils perçus comme « neutres », mais ils concentrent une quantité impressionnante d'informations sur vos processus, vos vulnérabilités connues, vos roadmaps. Quand ils sont hébergés hors UE, vous avez un angle mort réglementaire.

RiffLab : Comment les équipes IT ont-elles vécu cette phase d'audit au quotidien ? Quel impact sur leur charge de travail ?

L'impact est réel et souvent sous-estimé dans les planifications. Le premier effet, c'est la charge documentaire. NIS 2 impose une traçabilité des mesures prises, des incidents, des évaluations de risque. Si vos outils ne facilitent pas nativement cette traçabilité — journaux d'audit accessibles, exports structurés, API documentées —, vous doublez manuellement le travail.

Le deuxième effet, c'est ce que j'appelle la « fatigue de la cartographie ». Mes équipes ont passé des semaines à remonter des chaînes de sous-traitance que personne n'avait jamais tracées. Un logiciel métier s'appuie sur une brique d'authentification tierce, qui elle-même s'appuie sur une infrastructure cloud dont on ne maîtrise pas le RGPD tiers. Ce travail est nécessaire, mais il est épuisant, et il révèle des lacunes de gouvernance qui remontent à des décisions prises il y a parfois dix ans.

Le troisième effet, plus positif celui-là : NIS 2 a légitimé des demandes que les équipes IT faisaient depuis longtemps sans être entendues. Le RSSI qui demandait depuis trois ans à sortir d'un outil SaaS mal documenté a soudainement eu l'attention de la direction générale. La réglementation a fonctionné comme un catalyseur politique interne.

RiffLab : Quand vous parlez d'outils souverains à auditer ou à envisager, sur quels critères vous basez-vous réellement ?

Je me méfie du terme « souverain » utilisé comme argument marketing. Ce que j'audite, c'est un faisceau de critères objectifs.

Premier critère : la juridiction d'hébergement et de traitement. Un outil certifié SecNumCloud ou hébergé dans un datacenter qualifié UE offre une garantie procédurale que les contrats des acteurs américains ne peuvent pas offrir, quel que soit le discours commercial.

Deuxième critère : la portabilité des données. Est-ce que je peux récupérer mes données dans un format ouvert et interopérable si je veux changer d'outil ? La réponse à cette question dit beaucoup sur la nature réelle d'un engagement fournisseur.

Troisième critère : la transparence du code et des pratiques. L'open source n'est pas une condition suffisante, mais c'est un indicateur fort. Un outil dont le code est auditable, dont la roadmap est publique, dont la gouvernance est ancrée en Europe, présente un profil de risque très différent d'une boîte noire SaaS.

Ensuite seulement viennent les critères fonctionnels classiques. L'ordre a son importance.

RiffLab : Sur le marché européen des outils de sécurité et de supervision, avez-vous identifié des alternatives crédibles aux offres dominantes américaines ?

Oui, et l'écosystème a évolué. Je cite deux pistes sans en faire un catalogue exhaustif.

Du côté des SIEM et de la supervision, des acteurs comme Sekoia.io — entreprise française — ont atteint un niveau de maturité qui permet une conversation sérieuse avec les équipes opérationnelles. Ce n'est plus le discours du challenger qui demande de la bienveillance. On est sur des fonctionnalités comparables aux références du marché, avec une localisation des données en France et une conformité réglementaire documentée.

Du côté de la gestion des accès et des identités, l'écosystème européen progresse, notamment autour de solutions basées sur des standards ouverts comme OpenID Connect et FIDO2, portées par des acteurs dont le centre de gravité est clairement européen.

Ce que j'observe toutefois, c'est que la crédibilité de ces alternatives dépend aussi de notre capacité collective à les adopter. Les effets de réseau jouent en faveur des acteurs dominants. Si les grandes ETI et les PME structurées ne basculent pas, les acteurs européens n'atteindront jamais la maturité nécessaire. NIS 2 peut être ce déclencheur — à condition qu'on le décide collectivement.

RiffLab : Qu'est-ce que vous conseilleriez à un DSI d'ETI qui commence aujourd'hui sa démarche de conformité NIS 2 ?

Trois choses pragmatiques.

Premièrement, ne partez pas de la liste des outils à remplacer. Partez de la cartographie de vos actifs critiques et de vos flux de données sensibles. C'est là que le risque réglementaire est concentré, et c'est là que l'effort de mise en conformité a le plus d'impact. Vous ne pouvez pas tout migrer en même temps — mais vous pouvez prioriser ce qui compte.

Deuxièmement, impliquez le métier dès la phase d'audit. NIS 2 n'est pas une affaire de DSI seul. Les processus critiques appartiennent aux directions opérationnelles. Si vous faites l'audit en chambre, vous passerez à côté de la moitié des dépendances réelles.

Troisièmement, documentez au fur et à mesure. L'une des obligations NIS 2 que les équipes sous-estiment le plus, c'est la capacité à démontrer la conformité dans la durée — pas seulement au moment d'un audit ponctuel. Cela suppose des outils qui génèrent de la traçabilité nativement. Et là, le choix de l'outil n'est pas neutre : un outil dont vous ne maîtrisez pas les logs, c'est un outil qui vous fragilise réglementairement, indépendamment de ses qualités fonctionnelles.

En résumé : NIS 2 est contraignante, mais elle force des conversations que beaucoup d'organisations auraient dû avoir il y a cinq ans. Si vous l'abordez comme un révélateur plutôt que comme une case à cocher, elle peut réellement changer votre rapport à la maîtrise de votre SI.

*Propos recueillis et reconstitués à des fins éditoriales. L'interlocuteur a souhaité conserver l'anonymat.*