NIS 2 : le guide de conformité que vos prestataires américains ne vous feront pas lire

# NIS 2 : le guide de conformité que vos prestataires américains ne vous feront pas lire

En 2026, NIS 2 n'est plus un horizon lointain. C'est une obligation active. Environ 15 000 entités françaises — ETI industrielles, acteurs de santé, opérateurs logistiques, collectivités — sont désormais dans le périmètre. Pourtant, une majorité d'entre elles avance encore à tâtons, armée de roadmaps produites par des cabinets de conseil qui, par un hasard troublant, distribuent en même temps les licences des acteurs américains censés résoudre le problème.

Ce guide ne vous vendra rien. Il vous posera les questions que personne ne pose, et vous donnera une grille de lecture pour décider — vraiment — ce que vous mettez dans votre SI.

Avant de commencer : la question que tout le monde esquive

NIS 2 est une directive européenne. Son objectif déclaré est de renforcer la résilience des infrastructures critiques européennes. Pourtant, des centaines d'entreprises françaises répondent aujourd'hui à cette exigence de souveraineté réglementaire en... consolidant leur dépendance à des acteurs soumis au droit américain — CLOUD Act, Executive Orders, transferts de données hors UE inclus.

La question concrète que vous devez poser à votre DSI dès maintenant : "Nos outils de conformité NIS 2 sont-ils eux-mêmes conformes à l'esprit de NIS 2 ?" Si vos journaux d'audit, vos outils de détection d'incidents et vos sauvegardes transitent par des infrastructures hors souveraineté européenne, vous avez un angle mort.

Ce n'est pas une position idéologique. C'est une lecture froide du texte.

Étape 1 — Cartographiez votre périmètre NIS 2 sans vous fier aux auto-déclarations de vos fournisseurs

La première erreur est de déléguer l'analyse de périmètre à vos prestataires actuels. Un intégrateur qui gère votre infrastructure Azure ou AWS a un intérêt structurel à minorer la complexité de votre exposition.

Ce que vous devez faire concrètement :

• Identifiez votre secteur dans les annexes de la directive transposée : êtes-vous dans les secteurs "essentiels" (annexe I) ou "importants" (annexe II) ? Les obligations de délai de notification et de contrôle ne sont pas les mêmes.
• Listez vos fournisseurs critiques de rang 1 ET de rang 2. NIS 2 introduit explicitement la notion de sécurité de la chaîne d'approvisionnement. Votre SaaS de gestion RH, votre solution de visioconférence, votre EDR : tous doivent passer ce filtre.
• Pour chaque fournisseur : demandez-leur leur rapport de conformité NIS 2 ou SOC 2 Type II, et surtout où sont hébergées vos données. Pas leur réponse marketing. Le contrat.

La question qui dérange : Votre fournisseur de SOC managé est-il lui-même en capacité de vous notifier un incident dans les 72 heures imposées par NIS 2 — ou son propre SLA client prévoit-il 5 jours ouvrés ?

Étape 2 — Évaluez votre gouvernance de crise : le test de la notification en 72h

NIS 2 impose une notification à l'ANSSI dans les 24 heures pour l'alerte initiale, et un rapport complet sous 72 heures. C'est le point de défaillance le plus courant, et le moins anticipé.

Ce que vous devez faire concrètement :

• Rédigez ou révisez votre procédure de gestion des incidents de sécurité. Elle doit nommer un responsable unique, une chaîne d'escalade claire, et un point de contact ANSSI identifié à l'avance.
• Testez-la. Pas en PowerPoint. Un exercice de crise tabletop (simulation à blanc, sans systèmes réels compromis) vous dira en deux heures si votre procédure tient la route. Si vous n'en avez pas fait en 2025, vous partez avec un retard mesurable.
• Vérifiez que vos outils de journalisation (SIEM, logs applicatifs) produisent des traces exploitables. Un outil de monitoring dont les logs sont illisibles sans l'intervention d'un ingénieur du fournisseur n'est pas un actif de conformité — c'est une dépendance supplémentaire.

La question qui dérange : Si votre SIEM est hébergé chez un acteur américain et qu'un incident survient impliquant ce même acteur, qui vous notifie ? Et dans quel délai ?

Étape 3 — Arbitrez vos solutions avec une grille de souveraineté, pas une grille de features

C'est ici que le sujet devient stratégique — et que la pression commerciale est la plus forte.

Les acteurs américains ont un avantage réel : leurs outils sont matures, documentés, et souvent déjà en place dans vos SI. Ils vont donc vous proposer naturellement de "couvrir NIS 2" avec leur stack existante. C'est leur intérêt. Ce n'est pas nécessairement le vôtre.

Ce que vous devez faire concrètement :

Évaluez chaque outil critique selon trois axes — pas leurs plaquettes commerciales :

1. Localisation des données : hébergement en UE sur infrastructure juridiquement européenne (pas une filiale américaine avec des serveurs en Irlande).

2. Réversibilité : pouvez-vous extraire l'intégralité de vos données et logs dans un format standard, sans payer une prestation de sortie ? Si non, vous êtes captif.

3. Transparence du code ou de l'audit : l'outil a-t-il été audité par un tiers indépendant ? Les certifications CSPN de l'ANSSI ou les qualifications SecNumCloud sont des indicateurs concrets — pas parfaits, mais vérifiables.

Des acteurs européens crédibles existent sur les segments SOC managé, détection d'intrusion et gestion des identités. Sekoia.io (plateforme de threat intelligence et SIEM française, qualifiée SecNumCloud) ou Wallix (gestion des accès privilégiés, coté en bourse, présent dans plusieurs secteurs critiques européens) figurent parmi les références à évaluer sérieusement — sans en faire un évangile.

Ce que nous ne dirons pas ici : qu'ils sont parfaits, ou qu'ils couvrent tous vos cas d'usage. Ce serait du marketing.

La question qui dérange : Votre RSSI a-t-il évalué des alternatives européennes, ou a-t-il simplement demandé à son partenaire intégrateur habituel de produire une analyse comparative ?

Étape 4 — Construisez votre dossier de conformité comme un actif, pas comme un audit défensif

NIS 2 prévoit des contrôles — a posteriori pour les entités importantes, potentiellement proactifs pour les entités essentielles. L'ANSSI monte en puissance sur ce volet. Se préparer à un contrôle, c'est construire une documentation vivante, pas un dossier PDF produit la veille.

Ce que vous devez faire concrètement :

• Mettez en place un registre des mesures de sécurité articulé autour des 10 domaines NIS 2 (politiques de sécurité, gestion des incidents, continuité, chaîne d'approvisionnement, etc.). Ce registre doit être mis à jour à chaque changement d'infrastructure ou de fournisseur.
• Documentez vos arbitrages. Si vous avez choisi un outil non-souverain pour des raisons de coût ou de délai, notez-le explicitement avec votre analyse de risque résiduel. Un contrôleur préfère une documentation honnête à un dossier vide ou incohérent.
• Planifiez une revue annuelle minimum. NIS 2 n'est pas un projet à date de fin : c'est un régime permanent.

La question qui dérange : Votre comité de direction est-il informé que NIS 2 engage la responsabilité personnelle des dirigeants en cas de manquement grave ? Ce n'est plus une affaire de DSI uniquement.

Étape 5 — Positionnez-vous dans la dynamique de marché, pas seulement dans la conformité réglementaire

NIS 2 est une contrainte. Elle est aussi, pour les entreprises européennes qui s'y conforment sérieusement, un différenciateur compétitif — notamment dans les appels d'offres publics et les chaînes d'approvisionnement industrielles européennes, où la directive s'impose de fait à l'ensemble de l'écosystème fournisseur.

Les ETI qui traitent NIS 2 comme un exercice de conformité minimaliste subiront le prochain incident. Celles qui en font un levier de restructuration de leur architecture SI — en réduisant leur surface d'exposition aux acteurs soumis à des juridictions étrangères — construisent une résilience durable.

Le signal à surveiller : plusieurs grands groupes industriels européens commencent à intégrer des exigences NIS 2 dans leurs contrats fournisseurs. Si vous êtes sous-traitant d'un acteur du secteur de l'énergie, de la défense ou de la santé, cette vague vous touchera — que vous soyez ou non dans le périmètre direct de la directive.

Ce que ce guide ne règle pas

NIS 2 est une directive, pas une solution. Elle ne résout pas le déséquilibre structurel entre l'offre américaine — massive, financée, intégrée — et l'écosystème européen, encore fragmenté sur plusieurs segments.

Mais elle crée, pour la première fois, une obligation légale de prendre au sérieux la question de la dépendance numérique. C'est une fenêtre d'opportunité pour les DSI qui veulent sortir de la posture défensive.

La vraie question n'est pas "comment être conforme NIS 2 le plus vite possible à moindre coût". Elle est : "À quoi ressemble mon SI dans trois ans, et à qui est-ce que je fais confiance pour le faire fonctionner ?"

Répondre à cette question avant que votre prestataire actuel ne le fasse à votre place, c'est déjà un acte de souveraineté.