NIS 2 et souveraineté numérique : le réveil forcé d'une ETI industrielle européenne

NIS 2 et souveraineté numérique : le réveil forcé d'une ETI industrielle européenne

Il y a deux ans, le DSI d'une ETI industrielle de 800 salariés, implantée en France et en Allemagne, ne parlait pas de souveraineté numérique. Il parlait de coûts, de disponibilité, et de licences. Aujourd'hui, NIS 2 l'a contraint à rouvrir chaque tiroir de son système d'information — et ce qu'il y a trouvé l'a surpris.

Ce retour terrain est celui de nombreuses organisations similaires en Europe. Les détails ont été anonymisés. Les enseignements, eux, sont transférables.

NIS 2 : de quoi parle-t-on exactement ?

Commençons par le début. NIS 2 (Network and Information Security Directive 2) est une directive européenne entrée en vigueur en 2023 et transposée dans les droits nationaux des États membres à partir de 2024-2025. Elle élargit considérablement le périmètre de la première directive NIS, adoptée en 2016.

Concrètement : là où NIS 1 ne concernait qu'un cercle restreint d'opérateurs critiques (énergie, transports, santé), NIS 2 descend jusqu'aux ETI — les entreprises de taille intermédiaire, entre 250 et 5 000 salariés environ — dans des secteurs élargis : industrie manufacturière, chimie, agroalimentaire, logistique, et bien d'autres.

Une ETI qui entre dans le scope NIS 2 doit désormais :

• Identifier et cartographier ses actifs numériques critiques
• Mettre en place des mesures de gestion du risque cyber
• Notifier les incidents graves sous 72 heures
• S'assurer que ses fournisseurs respectent eux aussi un niveau de sécurité adéquat

Ce dernier point — la sécurité de la chaîne d'approvisionnement numérique — est celui qui a tout changé pour notre ETI industrielle.

Le déclencheur : un audit qui dérange

Tout commence par un audit interne commandé à la suite de la mise en conformité NIS 2. L'équipe du DSI cartographie les flux de données, les accès, les outils utilisés par les 800 collaborateurs.

Le constat est net : une part très significative des données de l'entreprise — communications internes, fichiers de production, données RH, échanges avec les clients — transite par ou est stockée chez des prestataires dont les serveurs sont localisés hors d'Europe, ou dont les maisons mères sont soumises au droit américain.

Pas par négligence. Par habitude. Par facilité. Et parce que personne n'avait jamais posé la question sous cet angle.

Or NIS 2 pose exactement cette question : qui contrôle réellement vos données, et sous quelle juridiction ?

Le Cloud Act américain, adopté en 2018, autorise les autorités des États-Unis à exiger l'accès aux données hébergées par des entreprises américaines, y compris quand ces données sont stockées sur des serveurs européens. Ce n'est pas une hypothèse d'école. C'est un risque juridique documenté, que NIS 2 oblige désormais les entreprises européennes à considérer sérieusement.

Première décision : reprendre la cartographie depuis zéro

Notre ETI industrielle ne disposait pas d'une cartographie complète de son système d'information. C'est fréquent. Les outils s'accumulent, les usages évoluent, et personne n'a de vue globale.

La première étape a donc été de reconstruire cette cartographie — non pas outil par outil, mais par flux de données critiques.

Une question simple guide cet exercice : *si cette donnée était accessible à un acteur extérieur, quel serait l'impact sur notre activité, sur nos clients, sur notre compétitivité ?*

Trois catégories émergent naturellement :

1. Les données dont la fuite serait catastrophique (plans industriels, contrats clients, données personnelles des salariés)

2. Les données sensibles mais récupérables

3. Les données peu critiques

Seule la première catégorie impose une action immédiate. Cette hiérarchisation évite le piège du "tout changer d'un coup" — une erreur coûteuse et déstabilisatrice.

Deuxième décision : identifier des alternatives européennes crédibles — sans en faire un catalogue

Le DSI de notre ETI a posé une règle simple à son équipe : *on ne remplace pas un outil parce qu'il est américain. On le remplace quand l'alternative européenne offre un niveau de service suffisant ET une garantie juridictionnelle supérieure.*

C'est une position raisonnable. Et elle a permis d'éviter deux écueils classiques : le dogmatisme (tout remplacer coûte que coûte) et l'inaction (rien ne vaut ce qu'on a déjà).

Sur la **messagerie et la collaboration**, l'équipe a évalué des solutions hébergées en Europe, auditables, et opérées par des entités soumises exclusivement au droit européen. Des acteurs comme **Infomaniak, l'hébergeur suisse, ou Proton**, également suisse, sont apparus dans l'analyse — non pas comme des références parfaites, mais comme des alternatives crédibles et documentées pour des usages bureautiques courants.

Sur la gestion des identités et des accès — ce qu'on appelle l'IAM (Identity and Access Management) —, le marché européen est encore en construction. Mais des acteurs français et allemands émergent, souvent issus de l'univers open source, avec des offres adaptées aux ETI.

Aucune solution miracle. Aucune liste exhaustive. Mais un principe directeur : chaque brique critique doit pouvoir être auditée, localisée et, si nécessaire, rapatriée.

Le vrai obstacle : les habitudes, pas la technique

Le DSI est formel sur ce point : la résistance la plus forte n'est pas venue de la technique. Elle est venue des utilisateurs.

Changer d'outil de collaboration, c'est changer des réflexes ancrés depuis des années. Les équipes ont des habitudes, des raccourcis, des workflows construits autour des outils dominants américains. Toute migration, même vers un outil techniquement équivalent, génère une friction.

La solution adoptée : ne pas migrer tout le monde en même temps. Commencer par les équipes qui manipulent les données les plus critiques — l'équipe R&D, la direction, les RH. Documenter les bénéfices. Laisser le changement se propager par l'exemple plutôt que par l'injonction.

C'est une leçon transférable : la souveraineté numérique se construit par couches, pas par révolution.

Ce que NIS 2 révèle sur la position de l'Europe en 2026

Prenons du recul. Ce cas individuel illustre un mouvement plus large.

L'Europe se trouve dans une position ambivalente. D'un côté, elle dispose d'un cadre réglementaire qui, avec NIS 2 mais aussi le RGPD (Règlement Général sur la Protection des Données) et le Data Act, crée une pression réelle en faveur de la souveraineté numérique. Ces textes sont des leviers concrets, pas des déclarations d'intention.

De l'autre côté, l'offre industrielle européenne en logiciels d'entreprise reste fragmentée. Les acteurs sont nombreux, souvent excellents techniquement, mais peu connus au-delà de leurs marchés nationaux. La question de l'interopérabilité — la capacité des outils à fonctionner ensemble — reste un défi.

Qui s'en sort ? Les ETI qui ont commencé la cartographie tôt, qui ont un DSI ou un RSSI (Responsable de la Sécurité des Systèmes d'Information) sensibilisé à la question juridictionnelle, et qui ont la patience de construire progressivement.

Qui décroche ? Celles qui attendent une injonction formelle de leur autorité nationale, ou qui pensent que NIS 2 ne les concerne pas encore. Le délai de grâce est court.

Qui peut émerger ? Les éditeurs européens de solutions de gestion des identités, de chiffrement de bout en bout et de collaboration sécurisée sont en position de gagner des parts de marché significatives — à condition de consolider leur offre et de la rendre lisible pour des DSI qui n'ont pas le temps d'évaluer dix solutions.

La conclusion du DSI, dix-huit mois après

Notre ETI industrielle n'a pas reconstruit son SI de zéro. Elle a identifié ses données critiques, replacé les briques les plus exposées sur des infrastructures juridiquement sécurisées, et formé ses équipes.

Elle est aujourd'hui en capacité de répondre à un audit NIS 2. Ce n'était pas le cas au départ.

Mais le DSI retient une leçon au-delà de la conformité : *"On pensait que c'était un projet technique. C'était en réalité un projet de gouvernance. Qui décide de nos données ? Sous quel droit ? Ces questions n'ont pas de réponse technique. Elles ont une réponse stratégique."*

NIS 2 n'est pas une contrainte réglementaire de plus. C'est une invitation — parfois forcée — à reprendre la main sur son système d'information. Pour les ETI européennes qui sauront s'en saisir, c'est aussi une opportunité de construire un avantage durable face à des dépendances qui, jusqu'ici, semblaient inévitables.