NIS 2 : comment une ETI industrielle a refusé de laisser sa conformité aux mains d'un hyperscaler américain

# NIS 2 : comment une ETI industrielle a refusé de laisser sa conformité aux mains d'un hyperscaler américain

En 2026, NIS 2 n'est plus un horizon lointain. C'est une obligation opérationnelle — avec des inspections, des mises en demeure, et dans les cas les plus exposés, des sanctions qui tombent sur les dirigeants eux-mêmes, pas seulement sur la DSI. Pour les 15 000 entités concernées en France, la question n'est plus « faut-il se conformer ? » mais « à quel prix, et entre quelles mains ? »

L'histoire qui suit est celle d'une ETI industrielle de 800 salariés — secteur équipements de production, implantée sur deux sites en France, un en Allemagne. DSI de six personnes. Budget IT sous pression depuis trois ans. Et une direction générale qui, après une première réunion avec un intégrateur partenaire d'un acteur américain dominant, a failli signer un contrat à cinq ans qu'elle n'aurait pas maîtrisé.

Le piège du « package conformité » façon hyperscaler

Fin 2025, comme beaucoup d'ETI industrielles, cette entreprise reçoit une proposition commerciale structurée autour d'une offre de sécurité managée issue d'un acteur américain. Le discours est rodé : détection des menaces, gestion des identités, journalisation centralisée, rapports de conformité automatisés. Tout pour NIS 2, clé en main.

Le DSI, que nous appellerons Marc, creuse les conditions contractuelles. Première alerte : les logs de sécurité — potentiellement soumis au RGPD, potentiellement couverts par des données de production industrielle — seraient hébergés hors Union européenne par défaut, avec une option de résidence de données facturée en supplément. Deuxième alerte : la durée d'engagement de cinq ans, avec une clause de révision tarifaire annuelle non plafonnée. Troisième alerte : la portabilité des données de sécurité en cas de résiliation est techniquement possible, mais dans un format propriétaire que seul l'éditeur sait exploiter nativement.

« On nous vendait la conformité NIS 2 comme si c'était un produit fini, raconte Marc. En réalité, on nous vendait une dépendance. »

Cette situation n'est pas anecdotique. Elle illustre un mouvement structurel : les acteurs américains dominant le marché de la cybersécurité managée ont compris que NIS 2 est un levier commercial massif. La contrainte réglementaire européenne devient, dans leur logique, une opportunité de captation de budget IT — souvent au détriment de la capacité de contrôle des entreprises sur leurs propres données de sécurité.

Reconstruire la démarche depuis l'impact économique réel

Marc et son équipe repartent d'une feuille blanche. Leur méthode : cartographier les exigences NIS 2 qui génèrent un coût immédiat, et distinguer celles qui peuvent être couvertes par des briques internes ou des acteurs européens contractuellement maîtrisables.

NIS 2 impose notamment : une politique de gestion des risques documentée et révisée régulièrement, une capacité de détection et de réponse aux incidents, la sécurisation de la chaîne d'approvisionnement numérique, et une obligation de notification en cas d'incident significatif. Ce sont des obligations fonctionnelles — pas des obligations d'acheter un produit spécifique.

Première décision budgétaire structurante : internaliser ce qui peut l'être. La documentation des politiques de sécurité, les procédures de gestion d'incidents, les plans de continuité — tout cela ne nécessite pas un outil américain à plusieurs dizaines de milliers d'euros par an. Cela nécessite du temps humain et une gouvernance claire. Marc négocie avec sa direction générale l'équivalent d'un mi-temps dédié pendant six mois — un coût maîtrisé, sans engagement pluriannuel avec un tiers.

Deuxième décision : pour la détection et la supervision de sécurité — le volet le plus technique de la conformité NIS 2 — l'ETI choisit de s'appuyer sur un SOC externalisé européen, dont les données restent hébergées en France, avec un contrat annuel renouvelable et une clause de portabilité des logs dans un format ouvert. Le prestataire retenu est certifié ANSSI. La donnée de sécurité ne sort pas du territoire européen. Et le DSI garde la main sur ce qui se passe dans son infrastructure.

La chaîne d'approvisionnement : le chantier sous-estimé

NIS 2 ne s'arrête pas à la frontière de l'entreprise. L'une des exigences les plus complexes à opérationnaliser pour une ETI concerne la sécurité de la chaîne d'approvisionnement numérique : l'entreprise est responsable de s'assurer que ses fournisseurs critiques ne constituent pas un vecteur d'attaque.

Pour une ETI industrielle avec des dizaines de sous-traitants, de fournisseurs de logiciels de production et de prestataires de maintenance à distance, c'est un chantier considérable. Et c'est là que Marc a découvert un angle mort budgétaire : plusieurs de ces fournisseurs utilisent des outils de prise de main à distance ou de supervision dont les données transitent par des infrastructures américaines, sans que cela soit mentionné dans leurs contrats.

La réponse ne peut pas être de tout remplacer du jour au lendemain. La réponse pragmatique, celle que Marc a mise en place, c'est d'abord un questionnaire de maturité sécurité adressé aux fournisseurs les plus critiques — ceux qui ont accès au réseau industriel ou aux systèmes de production. Pas un audit complet, pas un référentiel de 200 questions : un document de dix points permettant d'identifier les risques les plus évidents. Ce travail a été fait en interne, sans prestataire externe.

Les fournisseurs qui ne peuvent pas répondre à ce questionnaire de façon satisfaisante sont mis en liste d'observation. Deux d'entre eux ont fait l'objet d'une renégociation contractuelle incluant des clauses de sécurité minimales. Un troisième, dont la prise de main à distance reposait sur une infrastructure entièrement hors UE, a été remplacé par un prestataire européen proposant une solution techniquement équivalente.

Ce que NIS 2 change vraiment sur le budget IT

Le vrai impact économique de NIS 2, pour une ETI comme celle-ci, n'est pas dans la sanction potentielle — même si celle-ci peut être significative. Il est dans la façon dont la contrainte réglementaire redistribue les cartes entre fournisseurs.

Les acteurs américains dominants ont un avantage : des offres packagées, des équipes commerciales rodées, une présence dans chaque appel d'offres. Leur faiblesse, que NIS 2 met en lumière : des conditions contractuelles qui placent l'entreprise européenne dans une position de dépendance — sur les prix, sur la localisation des données, sur la portabilité.

Les acteurs européens spécialisés ont l'avantage inverse : ils peuvent répondre aux exigences de résidence de données, de certification nationale, de portabilité — souvent avec des contrats plus négociables. Leur défi : le manque de visibilité et une force commerciale moindre qui les rend invisibles dans les premières phases d'un projet de conformité.

Concrètement, l'ETI industrielle de cette étude de cas a restructuré son budget IT autour de NIS 2 en distinguant trois enveloppes : le coût de la mise en conformité initiale (essentiellement du temps humain et quelques outils documentaires), le coût récurrent de la supervision sécurité (externalisé à un SOC européen certifié), et le coût de gestion de la chaîne d'approvisionnement (internalisé avec des processus légers). Le total reste dans l'enveloppe initialement prévue. Ce qui change, c'est la destination de cet argent.

Ce que le DSI doit retenir

NIS 2 est une contrainte. Elle peut aussi être un prétexte pour remettre de l'ordre dans une architecture de dépendances numériques qui s'est construite par défaut, sans choix explicite.

La question à poser à chaque prestataire convoqué pour répondre à NIS 2 n'est pas « êtes-vous conformes ? » — tout le monde dit oui. La question est : « où vont mes données de sécurité, qui y a accès, et que m'en coûtera-t-il de partir dans trois ans ? »

Un DSI qui ne pose pas ces questions en 2026 ne pilote pas sa conformité. Il sous-traite sa vulnérabilité.