NIS 2 : la directive européenne qui oblige enfin à regarder en face la dépendance technologique

# NIS 2 : la directive européenne qui oblige enfin à regarder en face la dépendance technologique

*En 2026, NIS 2 est pleinement entrée en vigueur dans les États membres de l'Union européenne. Cette directive sur la cybersécurité des réseaux et des systèmes d'information concerne des milliers de PME et ETI européennes qui, pour beaucoup, découvrent en même temps deux réalités : leurs obligations légales et l'étendue de leur dépendance vis-à-vis d'acteurs technologiques américains. Nous avons interrogé un DSI d'une ETI industrielle française, en poste depuis douze ans, qui a piloté la mise en conformité de son entreprise. Il témoigne.*

RiffLab : Pour commencer, posons les bases. Qu'est-ce que NIS 2, concrètement, pour un DSI qui découvre le sujet ?

NIS 2, c'est la deuxième version d'une directive européenne — NIS signifie *Network and Information Security*, soit Sécurité des Réseaux et des Systèmes d'Information. La première version datait de 2016 et ne touchait qu'un périmètre très restreint d'acteurs : les opérateurs d'infrastructures critiques, les grands groupes de l'énergie, des transports, de la santé. NIS 2 élargit considérablement ce périmètre. Des milliers de PME et ETI européennes sont désormais concernées, dès lors qu'elles opèrent dans des secteurs jugés essentiels ou importants par l'Union.

Concrètement, cela impose des obligations en matière de gestion des risques cyber, de déclaration des incidents, de sécurisation de la chaîne d'approvisionnement — ce qu'on appelle la *supply chain* — et de gouvernance. Et la responsabilité personnelle des dirigeants est engagée. Ce n'est plus une question purement technique. C'est une question de direction générale.

RiffLab : Quand vous avez commencé l'audit de conformité NIS 2, qu'avez-vous découvert sur votre propre infrastructure ?

J'ai découvert quelque chose que je savais vaguement, mais que je n'avais jamais eu à formaliser noir sur blanc : une part très significative de nos systèmes critiques reposait sur des acteurs dont les serveurs, les données, les contrats, les lois applicables ne sont pas européens.

NIS 2 vous force à cartographier vos dépendances. Et quand vous faites cet exercice sérieusement, vous réalisez que votre messagerie, votre suite collaborative, votre stockage, parfois votre annuaire d'identité — ce qu'on appelle l'IAM, le *Identity and Access Management* — sont hébergés ou administrés par des acteurs soumis à des législations extraterritoriales américaines. Le *Cloud Act* notamment. Cette loi américaine permet aux autorités des États-Unis d'accéder à des données hébergées par des entreprises américaines, même si ces données sont physiquement stockées en Europe.

Au moment de remplir les exigences NIS 2 sur la maîtrise de la chaîne d'approvisionnement et la protection des données sensibles, ce point devient un angle mort juridique majeur. Et un vrai problème de conformité.

RiffLab : Est-ce que NIS 2 nomme explicitement ce problème de dépendance aux acteurs américains ?

Pas directement. La directive n'est pas géopolitique dans sa rédaction. Elle parle de gestion des risques liés aux tiers, de sécurisation des accès, de continuité de service, de résilience. Mais quand vous appliquez ces critères rigoureusement, vous aboutissez inévitablement à la même question : qui contrôle réellement vos systèmes ? Qui peut y accéder sans votre accord ? Qui peut les couper ?

Ces questions, NIS 2 vous oblige à y répondre par écrit, avec des preuves. Et c'est là que beaucoup de DSI réalisent qu'ils n'ont pas la main. Ils utilisent des services où les conditions générales prévoient des mises à jour unilatérales, des changements de tarifs, des modifications de fonctionnalités — sans recours possible. C'est ce qu'on appelle le *vendor lock-in*, le verrouillage fournisseur. NIS 2 ne l'interdit pas, mais elle vous oblige à le documenter comme un risque. Et un risque documenté, ça doit être traité.

RiffLab : Comment avez-vous traduit cette prise de conscience en décisions concrètes pour votre SI ?

Pragmatiquement. Je n'ai pas tout remplacé du jour au lendemain. Ce serait irresponsable et irréaliste. Mais j'ai appliqué une règle simple : pour chaque brique critique identifiée dans la cartographie NIS 2, j'ai évalué s'il existait une alternative qualifiée européenne. Et j'entends par "qualifiée" : hébergée en Europe, par une entité juridiquement européenne, avec un support en français ou dans la langue du marché local, et idéalement certifiée — par exemple selon le référentiel SecNumCloud de l'ANSSI, l'Agence Nationale de la Sécurité des Systèmes d'Information.

Sur la partie gestion des identités et des accès, nous avons migré vers une solution dont l'hébergement et la gouvernance sont intégralement européens. Sur la détection des incidents — ce qu'on appelle le SOC, le *Security Operations Center* — nous avons contractualisé avec un prestataire français, certifié PAMS par l'ANSSI. Ce n'est pas de la préférence nationale naïve. C'est de la gestion de risque documentée, cohérente avec NIS 2.

RiffLab : Quels sont les freins que vous avez rencontrés dans cette démarche de remigration vers des solutions européennes ?

Trois freins principaux.

Le premier, c'est l'habitude. Les équipes sont formées sur des outils dominants américains depuis des années. Changer d'outil, c'est accepter une courbe d'apprentissage, une résistance au changement. C'est managérial autant que technique.

Le deuxième, c'est le verrouillage contractuel. Certains contrats avec des acteurs américains prévoient des pénalités de sortie importantes, ou des formats propriétaires qui rendent la migration des données complexe. C'est volontaire. Ces acteurs ont tout intérêt à ce que vous restiez. NIS 2 ne vous donne pas de baguette magique pour sortir d'un contrat, mais elle vous donne un argument juridique solide pour renégocier : la conformité réglementaire est une obligation légale. Aucun prestataire sérieux ne peut vous opposer un contrat contre votre obligation de conformité.

Le troisième frein, c'est la maturité perçue des alternatives européennes. Certains DSI pensent que les solutions souveraines sont moins performantes. C'est de moins en moins vrai, et en 2026, on peut dire que l'écart s'est considérablement réduit sur la plupart des usages métier courants. Mais il faut aller chercher l'information. Elle ne vient pas toute seule.

RiffLab : Un mot sur la chaîne d'approvisionnement, la *supply chain* numérique. Pourquoi est-ce un point central de NIS 2 ?

Parce que vous n'êtes jamais seul dans votre SI. Vous avez des sous-traitants, des intégrateurs, des éditeurs de logiciels métier, des partenaires qui ont accès à tout ou partie de votre infrastructure. NIS 2 vous dit : vous êtes responsable de leur niveau de sécurité aussi. Si votre prestataire est compromis, et que cela entraîne une faille chez vous, vous devez pouvoir démontrer que vous aviez évalué et encadré ce risque.

Cela change radicalement la relation avec les tiers. Vous ne pouvez plus signer un contrat avec un sous-traitant sans exiger des garanties sur sa posture de sécurité. Et là encore, la question de la souveraineté revient : si ce sous-traitant utilise lui-même des infrastructures américaines, le risque *Cloud Act* remonte dans votre propre chaîne. C'est une réaction en cascade que peu de DSI avaient anticipée avant NIS 2.

RiffLab : En conclusion, que représente NIS 2 selon vous pour l'écosystème technologique européen à long terme ?

NIS 2 est, selon moi, le premier levier réglementaire qui contraint réellement les entreprises européennes à s'interroger sur leur architecture technologique sous l'angle de la souveraineté — même si ce mot n'apparaît pas dans le texte de la directive.

Elle crée une pression structurelle. Une entreprise qui veut être conforme NIS 2 de manière sérieuse et durable a tout intérêt à réduire ses dépendances vis-à-vis d'acteurs dont elle ne maîtrise ni les conditions contractuelles, ni les lois applicables, ni la continuité de service. C'est exactement ce que l'écosystème européen de la tech demande depuis des années : non pas une fermeture au monde, mais une capacité à choisir. NIS 2 transforme ce choix en nécessité opérationnelle. C'est peut-être la meilleure nouvelle pour la souveraineté numérique européenne depuis longtemps — et elle est venue par la réglementation, pas par le marché.

*NIS 2 est transposée dans le droit national de chaque État membre de l'UE. En France, l'ANSSI est l'autorité compétente pour accompagner les entreprises et définir les périmètres d'application. Les entités concernées sont classées en deux catégories : « essentielles » et « importantes », selon leur taille et leur secteur d'activité.*