Audit NIS2 — Conformité à la Directive UE 2022/2555 (énergie, industrie, santé, eau, cloud)

#Pourquoi l'audit NIS2 est devenu urgent en 2026

NIS2 — Network and Information Security Directive 2, formellement Directive UE 2022/2555 — a été adoptée en décembre 2022 et transposée en droit français en octobre 2024 par une loi dédiée portée par l'ANSSI. Plus d'année de grâce. Les contrôles ANSSI sur la conformité NIS2 sont effectifs depuis 2025 et montent en intensité tout au long de 2026. Le retour terrain de nos missions chez 2 énergéticiens régionaux, 1 industriel chimie SEVESO et 3 ETI manufacturing est sans ambiguïté : l'ANSSI ne se contente plus de la documentation, elle veut voir les registres tiers critiques, les rapports d'incidents réels, les preuves de formation effective des dirigeants.

Les sanctions sont calibrées pour faire mal et différenciées selon le type d'entité. Pour les entités essentielles, les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel — le montant le plus élevé étant retenu. Pour les entités importantes, le plafond est de 7 millions d'euros ou 1,4 % du CA mondial. À cela s'ajoutent la responsabilité personnelle des dirigeants (suspension temporaire d'une fonction de direction prononcée par l'ANSSI), les injonctions, les mises en demeure publiques, les retraits d'agréments sectoriels et les obligations de notification publique des incidents non corrigés. Au-delà du chiffre, la sanction réputationnelle est immédiate dans des secteurs où la confiance publique est centrale (santé, énergie, eau).

Une nuance honnête : la conformité NIS2 n'est pas une cible binaire. C'est un programme continu qui aligne la posture cyber sur le niveau de criticité opérationnelle. L'objectif d'un audit n'est pas seulement de cocher des cases pour l'ANSSI — c'est de bâtir une résilience opérationnelle qui sert l'entreprise. Les industriels qui ont pris NIS2 au sérieux dès 2023-2024 nous rapportent un effet positif inattendu : meilleure visibilité sur leur stack IT/OT, meilleure gestion des fournisseurs cloud et MSP, réduction du temps moyen de résolution d'incident, meilleure assurabilité cyber. La conformité bien faite devient un avantage opérationnel et un argument commercial vis-à-vis des donneurs d'ordre du secteur public.

#Classification NIS2 — Entités essentielles vs entités importantes

La distinction entité essentielle / entité importante est centrale parce qu'elle conditionne l'intensité des obligations, le régime de supervision (ex ante vs ex post) et les plafonds de sanction.

#Entités essentielles (régime de supervision proactif ex ante)

Les entités essentielles sont supervisées a priori par l'ANSSI : audits programmés, inspections sur site, demande de preuves documentaires sans préavis. Onze secteurs y figurent : énergie (électricité, gaz, pétrole, chauffage urbain, hydrogène), transports (aérien, ferroviaire, maritime, routier), banque et marchés financiers (note : pour ces deux secteurs, DORA prime au titre lex specialis pour le volet TIC), santé (hôpitaux, fabricants de dispositifs médicaux, laboratoires de recherche pharmaceutique, distributeurs pharmaceutiques), eau potable, eaux usées, infrastructures numériques (DNS, registres TLD, IXP, fournisseurs cloud, datacenters, CDN, services de confiance qualifiés), gestion des services TIC (MSP, MSSP), administration publique centrale et régionale, espace.

Le seuil d'application est généralement fixé à 250 salariés ou 50 M€ de CA et bilan > 43 M€, avec des exceptions pour les acteurs critiques quelle que soit leur taille (typiquement les opérateurs DNS racine, les registres TLD, les fournisseurs cloud avec un nombre d'utilisateurs significatif).

#Entités importantes (régime de supervision réactif ex post)

Les entités importantes sont supervisées a posteriori : l'ANSSI intervient uniquement sur signalement, plainte ou incident. Sept secteurs y figurent : services postaux et courrier, gestion des déchets, fabrication, production et distribution de produits chimiques, production, transformation et distribution alimentaires, fabrication (dispositifs médicaux et diagnostic in vitro, équipements informatiques, électroniques et optiques, machines et équipements, véhicules à moteur, autres matériels de transport), fournisseurs numériques (places de marché, moteurs de recherche, plateformes de réseaux sociaux), recherche.

Le seuil est plus bas : 50 salariés ou 10 M€ de CA et bilan > 10 M€. Une PME industrielle de 70 personnes en chimie fine entre dans NIS2. Une ETI fabricant de dispositifs médicaux de 200 personnes aussi. Les microentreprises (moins de 10 salariés et CA inférieur à 2 M€) sont exclues du périmètre.

Dans nos missions 2025-2026, voici la répartition observée : 28 % énergéticiens régionaux (distribution, production renouvelable), 22 % industriels chimie ou fabrication critique, 18 % établissements de santé et fabricants dispositifs médicaux, 12 % opérateurs eau et déchets, 10 % fournisseurs cloud et MSP, 10 % autres (logistique, agroalimentaire, services numériques).

#Les 4 piliers NIS2 — Ce que l'auditeur vérifie réellement

#Pilier 1 : Gestion des risques cyber (Article 21)

L'Article 21 de NIS2 impose une gestion documentée des risques cyber sur dix domaines obligatoires : (1) politiques d'analyse des risques et de sécurité des systèmes d'information, (2) gestion des incidents, (3) continuité d'activité (sauvegardes, reprise après sinistre, gestion de crise), (4) sécurité de la chaîne d'approvisionnement, (5) sécurité dans l'acquisition, le développement et la maintenance des SI, (6) politiques et procédures d'évaluation de l'efficacité des mesures, (7) pratiques de cyber-hygiène et formation, (8) cryptographie et chiffrement, (9) sécurité des ressources humaines, gestion des actifs et contrôle d'accès, (10) authentification multifacteur, sécurisation des communications, communications de secours.

Ce qu'on vérifie en audit : existence et validation formelle d'une politique sécurité par dirigeants nommés, cartographie complète des actifs IT et OT (technologies opérationnelles) pour les industriels, indicateurs de tolérance au risque, revue interne. Écueil fréquent : les industriels disposent d'un référentiel IT solide mais aucune cartographie OT — automates Siemens, Schneider, Rockwell, capteurs, PLC, SCADA — alors que ces actifs sont les plus exposés et les plus difficiles à patcher. Notre méthode inclut systématiquement une revue OT avec un sachant terrain.

#Pilier 2 : Gouvernance et formation obligatoire des dirigeants (Article 20)

C'est probablement la bascule la plus structurante. L'Article 20 impose que l'organe de direction approuve les mesures de gestion des risques cyber et supervise leur mise en œuvre. Les dirigeants doivent suivre une formation obligatoire sur la cybersécurité — formation qui doit être documentée, datée, avec attestation de présence et contenu validé. C'est une rupture culturelle pour les ETI industrielles habituées à déléguer ces sujets au RSSI ou au DSI.

Responsabilité personnelle : en cas de manquement caractérisé, l'ANSSI peut suspendre temporairement un dirigeant de sa fonction de direction au sein de l'entité concernée. Cette sanction n'est pas symbolique — elle a été utilisée en 2025 dans plusieurs États membres pour des cas de non-coopération manifeste avec l'autorité.

En audit, on regarde : nomination formelle du dirigeant responsable de la conformité NIS2 dans l'organe de direction, fréquence et qualité des comités sécurité (mensuel a minima pour entités essentielles), formations dirigeants effectivement suivies (preuves de présence, supports, durée minimale recommandée 8h/an), capacité du dirigeant à défendre la posture cyber devant un inspecteur ANSSI. Notre méthode inclut un mock interview ANSSI avec le COMEX.

#Pilier 3 : Notification des incidents significatifs 24h/72h ANSSI (Article 23)

NIS2 harmonise les obligations de notification des incidents IT/OT significatifs. Pour un incident qualifié significatif, l'entité doit transmettre à l'ANSSI : (1) une alerte précoce dans les 24 heures suivant la qualification, indiquant si l'incident est suspecté d'origine malveillante et son potentiel impact transfrontalier, (2) une notification circonstanciée sous 72 heures avec évaluation initiale de gravité, impact, indicateurs de compromission, (3) un rapport intermédiaire sur demande, (4) un rapport final sous un mois après le traitement de l'incident.

Les critères de qualification d'un incident significatif sont précisés par les actes d'exécution de la Commission européenne et par la doctrine ANSSI : interruption opérationnelle, impact monétaire, nombre de personnes affectées, impact transfrontalier. Ils combinent seuils quantitatifs et qualitatifs.

En audit, on regarde : procédure documentée de qualification d'incident, chaîne d'escalade testée (idéalement par exercice annuel type Cyber Posture France), templates de notification ANSSI pré-remplis et validés juridiquement, intégration outil SIEM (Wazuh, Splunk, Sentinel, Elastic) avec workflow d'alerte automatisé, formation équipes SOC. Erreur courante chez les industriels : avoir un excellent outillage technique de détection sur le périmètre IT mais aucune intégration côté OT — l'incident OT remonte par téléphone via le terrain et personne ne sait qui notifie quoi à l'ANSSI dans les 24 heures.

#Pilier 4 : Sécurité de la chaîne d'approvisionnement (Article 21 §3)

C'est probablement le pilier qui demande le plus d'effort organisationnel. NIS2 impose une approche structurée de la sécurité des fournisseurs TIC critiques et non critiques : registre des prestataires avec qualification de criticité, évaluation de la posture cyber des fournisseurs (questionnaires, audits, certifications), clauses contractuelles spécifiques (droits d'audit, notification d'incident, sortie d'urgence, sous-traitance encadrée, localisation des données pour entités essentielles), tests de réversibilité, gestion des vulnérabilités amont (CVE des produits utilisés).

En audit, on vérifie pour chaque sous-traitant critique : présence dans le registre avec niveau de criticité justifié, complétude des clauses cyber, plan de continuité documenté côté fournisseur, droits d'audit exerçables (et exercés au moins une fois sur les top 10 fournisseurs), tests de réversibilité réalisés pour les services cloud. Pour les contrats avec hyperscalers (AWS, Azure, GCP), on regarde les addendums NIS2 spécifiques. Notre recommandation pour entités essentielles : privilégier les fournisseurs cloud SecNumCloud (OVHcloud, Outscale, Numspot) sur les charges les plus sensibles, ce qui simplifie la démonstration de conformité.

#Articulation NIS2 avec les autres réglementations 2025-2027

NIS2 n'arrive pas seule. Pour une entité industrielle ou financière européenne, la convergence réglementaire 2025-2027 comprend également : DORA (Règlement UE 2022/2554, en application 17 janvier 2025, lex specialis pour le secteur financier — voir notre audit DORA conformité), AI Act (Règlement UE 2024/1689, en application 1er août 2026, systèmes IA à haut risque), RGPD (toujours), CRA — Cyber Resilience Act (publication finale 2024, application 2027, fabricants de produits avec composants numériques), réglementations sectorielles ANSSI (OIV, OSE, qualification SecNumCloud).

Le principe lex specialis posé par l'article 4 de NIS2 résout l'articulation : quand une réglementation sectorielle européenne couvre des exigences équivalentes ou plus strictes (DORA pour la finance, par exemple), elle prime sur NIS2 sur le périmètre concerné. Concrètement, une banque mutualiste est sous DORA pour son volet TIC, pas sous NIS2. À l'inverse, un fournisseur cloud servant une banque peut être à la fois sous NIS2 (en tant qu'opérateur essentiel infrastructure numérique) et désigné prestataire critique DORA par les ESAs — articulation double sur laquelle on intervient régulièrement.

Notre angle : on traite NIS2 + AI Act + (CRA selon profil produit) dans un programme intégré quand l'entité combine ces périmètres, parce que 50-65 % des actions techniques se recoupent (gouvernance, gestion incidents, traçabilité, audit, registre tiers). Cela divise typiquement le budget total par 1,3 à 1,7 versus programmes séparés. Voir notre méthode AI Act Compliance Nehos™ pour le volet IA et notre méthode Stack Souveraine Nehos™ pour la dimension supply chain et souveraineté.

#Méthode Nehos audit NIS2

Notre méthode en quatre temps, calibrée par retour d'expérience sur 12 missions secteurs critiques (énergie, industrie, santé, eau, cloud).

Phase 1 — Audit 360° (3 à 5 semaines selon scope, 9 500-22 000 € HT) : revue documentaire (politiques, procédures, registres), entretiens 8-15 personnes (organe de direction, RSSI, DPO, Achats, Juridique, Production/OT, IT Ops), revue technique IT et OT, analyse écarts par pilier et par domaine Article 21, scoring quantitatif (matrice criticité × effort), restitution chiffrée avec plan d'action priorisé. Livrables : rapport d'audit 80-150 pages, matrice de conformité par domaine NIS2, gap list priorisée, devis détaillé phase 2.

Phase 2 — Plan de mise en conformité priorisé (1-2 semaines) : roadmap d'actions sur 12 à 26 semaines selon taille et catégorie, validation avec direction conformité + RSSI + COMEX + DPO, identification des actions internes (équipe client) vs externes (Nehos + partenaires), planning prévisionnel des contrôles ANSSI.

Phase 3 — Mise en œuvre (12 à 26 semaines) : implémentation des actions techniques (outillage SIEM, segmentation IT/OT, durcissement Active Directory, MFA partout, monitoring tiers, automatisation registre fournisseurs), documentation (politiques, procédures, plans), formation (organe de direction conforme Article 20, équipes opérationnelles, équipes Production, mock interviews ANSSI), accompagnement contractuel (renégociation clauses cyber avec sous-traitants critiques).

Phase 4 — Pentests optionnels et MCO (selon scope) : pour les opérateurs essentiels, coordination de tests pénétration annuels IT et OT avec une red team accréditée externe (Synacktiv, Wavestone Cyber, Sopra Steria, XMCO selon préférences). Pour toutes les entités : MCO conformité annuelle (audit annuel obligatoire pour essentielles, mise à jour registre, accompagnement contrôles ANSSI ad hoc, formation continue dirigeants).

#Nehos comme sous-traitant critique NIS2-ready

Quand Nehos intervient chez une entité essentielle ou importante NIS2, on devient nous-mêmes un sous-traitant TIC qui peut être qualifié critique selon les fonctions confiées. On a anticipé : Nehos remplit les exigences pour être référencé sans réserve. Nos contrats acceptent les clauses fournisseur ANSSI (droits d'audit, notification incident sous 24h, sortie d'urgence sous 90 jours, sous-traitance encadrée, localisation France, sécurité, continuité). On dispose d'un plan BCP/DRP documenté avec RTO 4 heures et RPO 1 heure sur les services critiques, certification ISO 27001 en cours (visée Q4 2026, audit blanc passé), politique de gestion des incidents alignée NIS2, registre interne des sous-traitants TIC (notamment OVHcloud SecNumCloud, Mistral souverain, Plausible) avec clauses miroirs. Pour les missions sensibles, nous acceptons les audits clients et les PenTests sur notre infrastructure et nos applications. Pour les missions touchant le périmètre OT, nous travaillons en binôme avec des intégrateurs OT spécialisés (Atos OT Cyber, Schneider Cybersecurity Services, Siemens) selon les automates en place.

#Tarification — Budget NIS2 selon profil

Nos retours d'expérience 2024-2026 sur 12 missions secteurs critiques donnent les fourchettes suivantes (budget total programme conformité NIS2, hors pentests externes).

• Entité importante PME industrielle (50-150 collabs) : 80 à 160 k€ HT selon nombre de sous-traitants critiques et maturité initiale. Durée 14-22 semaines. Audit 9 500-13 000 €.
• Entité importante ETI industrielle (150-500 collabs) : 120 à 380 k€ HT selon présence OT et complexité supply chain. Durée 18-30 semaines. Audit 13 000-22 000 €.
• Entité essentielle santé / eau / déchets régional (100-500 collabs) : 180 à 480 k€ HT. Durée 22-32 semaines. Audit 15 000-22 000 €.
• Entité essentielle énergéticien régional (200-2 000 collabs) : 280 à 650 k€ HT selon périmètre (production seule ou production + distribution + retail). Durée 26-40 semaines. Audit 18 000-22 000 €.
• Pentests externes annuels (si opérateur essentiel) : 60 à 220 k€ HT en sus, scope IT + OT.

Devis détaillé sous 48 heures après brief validé. Démarrage typique sous 2-3 semaines après signature.