NIS 2 : quand la conformité devient un cheval de Troie pour les prestataires américains

# NIS 2 : quand la conformité devient un cheval de Troie pour les prestataires américains

La directive NIS 2 est entrée dans les faits. Quinze mille entreprises européennes — ETI industrielles, sous-traitants de la défense, opérateurs de services essentiels — sont désormais dans le viseur des autorités de supervision nationales. Les amendes sont réelles, les délais ne l'étaient déjà plus depuis 2024, et la pression monte dans les COMEX.

Dans ce contexte d'urgence réglementaire, une question s'impose — et personne ne la pose franchement : à qui profite vraiment la mise en conformité NIS 2 ?

Regardez qui répond à vos appels d'offres de cybersécurité. Regardez qui organise les webinaires "NIS 2 ready" depuis dix-huit mois. Regardez qui propose des plateformes de gestion des risques, des SOC managés, des outils de cartographie des actifs critiques. Dans une majorité de cas : des acteurs américains, ou des intégrateurs européens qui sous-traitent l'essentiel à des infrastructures américaines. La conformité réglementaire européenne est en train de devenir un formidable accélérateur de dépendance extra-européenne. C'est le paradoxe que personne dans votre organisation ne veut nommer.

Le réflexe dangereux : acheter de la conformité

Face à une obligation réglementaire, le réflexe naturel d'un DSI sous pression est d'acheter une solution. C'est humain, c'est rapide, c'est auditable. Le problème, c'est que ce réflexe externalise deux choses simultanément : la charge opérationnelle et la connaissance.

Lorsque votre gestion des incidents de sécurité, votre cartographie des risques fournisseurs ou votre continuité d'activité sont pilotées depuis une plateforme SaaS dont les serveurs sont sous juridiction américaine — Cloud Act inclus — vous cochez les cases NIS 2 tout en créant une dépendance structurelle à un acteur soumis à des injonctions légales étrangères. Ce n'est pas de la paranoïa, c'est de la lecture de contrat.

NIS 2 exige notamment que les entreprises maîtrisent leur chaîne d'approvisionnement numérique. Difficile d'argumenter cette maîtrise devant un auditeur quand votre SIEM, votre outil de ticketing sécurité et votre infrastructure de backup reposent sur trois acteurs américains distincts, chacun avec ses propres conditions d'accès aux données.

Ce que NIS 2 oblige vraiment à construire en interne

C'est là que le sujet devient organisationnel — et qu'il dérange.

La conformité NIS 2 n'est pas un projet IT. C'est un projet de gouvernance. Elle suppose des processus documentés, des responsabilités nominatives, des exercices de crise réguliers, une politique de gestion des tiers révisée. Tout cela ne s'achète pas en SaaS. Tout cela se construit, se maintient, et suppose des compétences internes que beaucoup d'ETI ont progressivement externalisées depuis vingt ans.

Concrètement, les organisations qui évitent le piège de la dépendance font des choix organisationnels précis :

Elles désignent un référent sécurité interne avec du temps réel, pas un RSSI à mi-temps coincé entre le patch management et la CNIL. Cette personne devient l'interlocuteur des prestataires — pas leur relais passif.

Elles internalisent la cartographie des actifs critiques. Ce n'est pas un outil qui cartographie vos actifs : c'est une équipe qui sait où sont vos données, qui y accède, depuis où, et dans quel cadre juridique. Cette connaissance ne peut pas être déléguée sans être perdue.

Elles forment leurs équipes métier à la culture de l'incident. NIS 2 impose une obligation de notification sous 72 heures. Si seule l'équipe IT sait reconnaître un incident, vous avez déjà perdu 48 heures. La sensibilisation n'est pas une case à cocher annuellement — c'est un processus continu qui touche les RH, la direction, les achats.

Le vrai test : que se passe-t-il si votre prestataire disparaît ?

Voici la question que tout DSI devrait poser à son COMEX avant de signer un contrat de conformité managée : si ce prestataire ferme demain, ou si un tribunal américain lui ordonne de couper l'accès à nos données, où en sommes-nous ?

Si la réponse honnête est "on repart de zéro", alors vous n'avez pas construit de la conformité. Vous avez acheté de l'illusion de conformité.

Des acteurs comme Egerie, éditeur français spécialisé dans la gestion des risques cyber, ou des prestataires de SOC opérant sous certification SecNumCloud existent et répondent à des cahiers des charges NIS 2. Ils ne sont pas parfaits, ils ne couvrent pas tous les cas d'usage. Mais ils permettent de construire une conformité qui reste sous juridiction européenne — ce qui n'est pas un détail quand la directive elle-même est européenne.

Ce que NIS 2 révèle sur vos angles morts organisationnels

Au fond, NIS 2 est un révélateur brutal. Elle met en lumière des années de décisions d'externalisation prises pour des raisons budgétaires légitimes, mais sans mesurer le coût de la dépendance accumulée.

La vraie question n'est pas "comment être conforme NIS 2 ?" Elle est : "quelle part de notre souveraineté opérationnelle sommes-nous prêts à reconstruire, et à quel rythme ?"

C'est une question de gouvernance. C'est une question de volonté politique interne. Et c'est, au final, une question qui appartient au COMEX — pas au prestataire américain qui vous propose de la traiter à sa place.