Audit NIS2 — Conformité à la Directive UE 2022/2555 (énergie, industrie, santé, eau, cloud)

#Pourquoi l'audit NIS2 est devenu urgent en 2026

NIS2 — Network and Information Security Directive 2, formellement Directive UE 2022/2555 — a été adoptée en décembre 2022 et transposée en droit français en octobre 2024 par une loi dédiée portée par l'ANSSI. Plus d'année de grâce. Les contrôles ANSSI sur la conformité NIS2 sont effectifs depuis 2025 et montent en intensité tout au long de 2026.

Une chose est claire : l'ANSSI ne se contente plus de la documentation, elle veut voir les registres tiers critiques, les rapports d'incidents réels, les preuves de formation effective des dirigeants.

Les sanctions sont calibrées pour faire mal et différenciées selon le type d'entité. Pour les entités essentielles, les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel — le montant le plus élevé étant retenu. Pour les entités importantes, le plafond est de 7 millions d'euros ou 1,4 % du CA mondial.

À cela s'ajoutent la responsabilité personnelle des dirigeants (suspension temporaire d'une fonction de direction prononcée par l'ANSSI), les injonctions, les mises en demeure publiques, les retraits d'agréments sectoriels et les obligations de notification publique des incidents non corrigés.

Au-delà du chiffre, la sanction réputationnelle est immédiate dans des secteurs où la confiance publique est centrale (santé, énergie, eau).

Une nuance honnête : la conformité NIS2 n'est pas une cible binaire. C'est un programme continu qui aligne la posture cyber sur le niveau de criticité opérationnelle. L'objectif d'un audit n'est pas seulement de cocher des cases pour l'ANSSI — c'est de bâtir une résilience opérationnelle qui sert l'entreprise.

Les industriels qui ont pris NIS2 au sérieux dès 2023-2024 nous rapportent un effet positif inattendu : meilleure visibilité sur leur stack IT/OT, meilleure gestion des fournisseurs cloud et MSP, réduction du temps moyen de résolution d'incident, meilleure assurabilité cyber. La conformité bien faite devient un avantage opérationnel et un argument commercial vis-à-vis des donneurs d'ordre du secteur public.

#Classification NIS2 — Entités essentielles vs entités importantes

La distinction entité essentielle / entité importante est centrale parce qu'elle conditionne l'intensité des obligations, le régime de supervision (ex ante vs ex post) et les plafonds de sanction.

#Entités essentielles (régime de supervision proactif ex ante)

Les entités essentielles sont supervisées a priori par l'ANSSI : audits programmés, inspections sur site, demande de preuves documentaires sans préavis. Onze secteurs y figurent : énergie (électricité, gaz, pétrole, chauffage urbain, hydrogène), transports (aérien, ferroviaire, maritime, routier), banque et marchés financiers (note : pour ces deux secteurs, DORA prime au titre lex specialis pour le volet TIC), santé (hôpitaux, fabricants de dispositifs médicaux, laboratoires de recherche pharmaceutique, distributeurs pharmaceutiques), eau potable, eaux usées, infrastructures numériques (DNS, registres TLD, IXP, fournisseurs cloud, datacenters, CDN, services de confiance qualifiés), gestion des services TIC (MSP, MSSP), administration publique centrale et régionale, espace.

Le seuil d'application est généralement fixé à plus de 250 salariés, ou plus de 50 M€ de chiffre d'affaires et plus de 43 M€ de total de bilan, avec des exceptions pour les acteurs critiques quelle que soit leur taille (typiquement les opérateurs DNS racine, les registres TLD, les fournisseurs cloud avec un nombre d'utilisateurs significatif).

#Entités importantes (régime de supervision réactif ex post)

Les entités importantes sont supervisées a posteriori : l'ANSSI intervient uniquement sur signalement, plainte ou incident. Sept secteurs y figurent : services postaux et courrier, gestion des déchets, fabrication, production et distribution de produits chimiques, production, transformation et distribution alimentaires, fabrication (dispositifs médicaux et diagnostic in vitro, équipements informatiques, électroniques et optiques, machines et équipements, véhicules à moteur, autres matériels de transport), fournisseurs numériques (places de marché, moteurs de recherche, plateformes de réseaux sociaux), recherche.

Le seuil est plus bas : à partir de 50 salariés ou 10 M€ de chiffre d'affaires ou de total de bilan. Une PME industrielle de 70 personnes en chimie fine entre dans NIS2. Une ETI fabricant de dispositifs médicaux de 200 personnes aussi. Les microentreprises (moins de 10 salariés et CA inférieur à 2 M€) sont exclues du périmètre.

Les secteurs les plus concernés dans nos échanges sont l'énergie (distribution, production renouvelable), la chimie et la fabrication critique, la santé et les dispositifs médicaux, l'eau et les déchets, le cloud et les MSP, puis la logistique, l'agroalimentaire et les services numériques.

#Les 4 piliers NIS2 — Ce que l'auditeur vérifie réellement

#Pilier 1 : Gestion des risques cyber (Article 21)

L'Article 21 de NIS2 impose une gestion documentée des risques cyber sur dix domaines obligatoires : (1) politiques d'analyse des risques et de sécurité des systèmes d'information, (2) gestion des incidents, (3) continuité d'activité (sauvegardes, reprise après sinistre, gestion de crise), (4) sécurité de la chaîne d'approvisionnement, (5) sécurité dans l'acquisition, le développement et la maintenance des SI, (6) politiques et procédures d'évaluation de l'efficacité des mesures, (7) pratiques de cyber-hygiène et formation, (8) cryptographie et chiffrement, (9) sécurité des ressources humaines, gestion des actifs et contrôle d'accès, (10) authentification multifacteur, sécurisation des communications, communications de secours.

Ce qu'on vérifie en audit : existence et validation formelle d'une politique sécurité par dirigeants nommés, cartographie complète des actifs IT et OT (technologies opérationnelles) pour les industriels, indicateurs de tolérance au risque, revue interne. Écueil fréquent : les industriels disposent d'un référentiel IT solide mais aucune cartographie OT — automates Siemens, Schneider, Rockwell, capteurs, PLC, SCADA — alors que ces actifs sont les plus exposés et les plus difficiles à patcher. Notre méthode inclut systématiquement une revue OT avec un sachant terrain.

#Pilier 2 : Gouvernance et formation obligatoire des dirigeants (Article 20)

C'est probablement la bascule la plus structurante. L'Article 20 impose que l'organe de direction approuve les mesures de gestion des risques cyber et supervise leur mise en œuvre. Les dirigeants doivent suivre une formation obligatoire sur la cybersécurité — formation qui doit être documentée, datée, avec attestation de présence et contenu validé. C'est une rupture culturelle pour les ETI industrielles habituées à déléguer ces sujets au RSSI ou au DSI.

Responsabilité personnelle : en cas de manquement caractérisé, l'ANSSI peut suspendre temporairement un dirigeant de sa fonction de direction au sein de l'entité concernée. Cette sanction n'est pas symbolique : elle vise les cas de non-coopération manifeste avec l'autorité.

En audit, on regarde : nomination formelle du dirigeant responsable de la conformité NIS2 dans l'organe de direction, fréquence et qualité des comités sécurité (mensuel a minima pour entités essentielles), formations dirigeants effectivement suivies (preuves de présence, supports, durée minimale recommandée 8h/an), capacité du dirigeant à défendre la posture cyber devant un inspecteur ANSSI. Notre méthode inclut un mock interview ANSSI avec le COMEX.

#Pilier 3 : Notification des incidents significatifs 24h/72h ANSSI (Article 23)

NIS2 harmonise les obligations de notification des incidents IT/OT significatifs. Pour un incident qualifié significatif, l'entité doit transmettre à l'ANSSI : (1) une alerte précoce dans les 24 heures suivant la qualification, indiquant si l'incident est suspecté d'origine malveillante et son potentiel impact transfrontalier, (2) une notification circonstanciée sous 72 heures avec évaluation initiale de gravité, impact, indicateurs de compromission, (3) un rapport intermédiaire sur demande, (4) un rapport final sous un mois après le traitement de l'incident.

Les critères de qualification d'un incident significatif sont précisés par les actes d'exécution de la Commission européenne et par la doctrine ANSSI : interruption opérationnelle, impact monétaire, nombre de personnes affectées, impact transfrontalier. Ils combinent seuils quantitatifs et qualitatifs.

En audit, on regarde : procédure documentée de qualification d'incident, chaîne d'escalade testée (idéalement par exercice annuel type Cyber Posture France), templates de notification ANSSI pré-remplis et validés juridiquement, intégration outil SIEM (Wazuh, Splunk, Sentinel, Elastic) avec workflow d'alerte automatisé, formation équipes SOC.

Erreur courante chez les industriels : avoir un excellent outillage technique de détection sur le périmètre IT mais aucune intégration côté OT — l'incident OT remonte par téléphone via le terrain et personne ne sait qui notifie quoi à l'ANSSI dans les 24 heures.

#Pilier 4 : Sécurité de la chaîne d'approvisionnement (Article 21 §3)

C'est probablement le pilier qui demande le plus d'effort organisationnel. NIS2 impose une approche structurée de la sécurité des fournisseurs TIC critiques et non critiques : registre des prestataires avec qualification de criticité, évaluation de la posture cyber des fournisseurs (questionnaires, audits, certifications), clauses contractuelles spécifiques (droits d'audit, notification d'incident, sortie d'urgence, sous-traitance encadrée, localisation des données pour entités essentielles), tests de réversibilité, gestion des vulnérabilités amont (CVE des produits utilisés).

En audit, on vérifie pour chaque sous-traitant critique : présence dans le registre avec niveau de criticité justifié, complétude des clauses cyber, plan de continuité documenté côté fournisseur, droits d'audit exerçables (et exercés au moins une fois sur les principaux fournisseurs), tests de réversibilité réalisés pour les services cloud.

Pour les contrats avec hyperscalers (AWS, Azure, GCP), on regarde les addendums NIS2 spécifiques. Notre recommandation pour entités essentielles : privilégier des fournisseurs cloud qualifiés SecNumCloud sur les charges les plus sensibles, ce qui simplifie la démonstration de conformité.

#Articulation NIS2 avec les autres réglementations 2025-2027

NIS2 n'arrive pas seule. Pour une entité industrielle ou financière européenne, la convergence réglementaire 2025-2027 comprend également : DORA (Règlement UE 2022/2554, en application 17 janvier 2025, lex specialis pour le secteur financier — voir notre audit DORA conformité), AI Act (Règlement UE 2024/1689, en application 1er août 2026, systèmes IA à haut risque), RGPD (toujours), CRA — Cyber Resilience Act (publication finale 2024, application 2027, fabricants de produits avec composants numériques), réglementations sectorielles ANSSI (OIV, OSE, qualification SecNumCloud).

Le principe lex specialis posé par l'article 4 de NIS2 résout l'articulation : quand une réglementation sectorielle européenne couvre des exigences équivalentes ou plus strictes (DORA pour la finance, par exemple), elle prime sur NIS2 sur le périmètre concerné. Concrètement, une banque mutualiste est sous DORA pour son volet TIC, pas sous NIS2.

À l'inverse, un fournisseur cloud servant une banque peut être à la fois sous NIS2 (en tant qu'opérateur essentiel infrastructure numérique) et désigné prestataire critique DORA par les ESAs — articulation double sur laquelle on intervient régulièrement.

Notre angle : on traite NIS2 + AI Act + (CRA selon profil produit) dans un programme intégré quand l'entité combine ces périmètres, parce qu'une part importante des actions techniques se recoupent (gouvernance, gestion incidents, traçabilité, audit, registre tiers). Cela évite de refaire plusieurs fois le même travail.

Voir notre méthode AI Act Compliance Nehos™ pour le volet IA et notre méthode Stack Souveraine Nehos™ pour la dimension supply chain et souveraineté.

#Méthode Nehos audit NIS2

Notre méthode en quatre temps.

Phase 1 — Audit 360° (3 à 5 semaines selon le scope) : revue documentaire (politiques, procédures, registres), entretiens avec les parties prenantes (organe de direction, RSSI, DPO, Achats, Juridique, Production/OT, IT Ops), revue technique IT et OT, analyse écarts par pilier et par domaine Article 21, scoring quantitatif (matrice criticité × effort), restitution chiffrée avec plan d'action priorisé. Livrables : rapport d'audit, matrice de conformité par domaine NIS2, gap list priorisée, devis détaillé phase 2.

Phase 2 — Plan de mise en conformité priorisé (1-2 semaines) : roadmap d'actions sur 12 à 26 semaines selon taille et catégorie, validation avec direction conformité + RSSI + COMEX + DPO, identification des actions internes (équipe client) vs externes (Nehos + partenaires), planning prévisionnel des contrôles ANSSI.

Phase 3 — Mise en œuvre (12 à 26 semaines) : implémentation des actions techniques (outillage SIEM, segmentation IT/OT, durcissement Active Directory, MFA partout, monitoring tiers, automatisation registre fournisseurs), documentation (politiques, procédures, plans), formation (organe de direction conforme Article 20, équipes opérationnelles, équipes Production, mock interviews ANSSI), accompagnement contractuel (renégociation clauses cyber avec sous-traitants critiques).

Phase 4 — Pentests optionnels et MCO (selon scope) : pour les opérateurs essentiels, coordination de tests pénétration annuels IT et OT avec une red team accréditée externe choisie avec vous. Pour toutes les entités : MCO conformité annuelle (audit annuel obligatoire pour essentielles, mise à jour registre, accompagnement contrôles ANSSI ad hoc, formation continue dirigeants).

#Nehos comme sous-traitant critique NIS2-ready

Quand Nehos intervient chez une entité essentielle ou importante NIS2, nous devenons nous-mêmes un sous-traitant TIC, qui peut être qualifié de critique selon les fonctions confiées. Les clauses fournisseur (droits d'audit, notification d'incident sous 24 h, sortie d'urgence, sous-traitance encadrée, localisation des données, sécurité, continuité) se discutent au contrat avec vos équipes achats et juridique.

Nous tenons un registre de nos propres sous-traitants TIC (hébergeur, modèles d'IA, analytics) et acceptons les audits de nos clients pour les missions sensibles. Pour les missions touchant le périmètre OT, nous travaillons en binôme avec des intégrateurs OT spécialisés selon les automates en place.

#Tarification — sur devis

Le budget d'un programme de conformité NIS2 dépend du profil de l'entité (hors pentests externes). Chaque programme est chiffré sur devis, en 48 h après un premier échange.

• Entité importante, PME industrielle : selon le nombre de sous-traitants critiques et la maturité initiale. Durée 14-22 semaines.
• Entité importante, ETI industrielle : selon la présence d'OT et la complexité de la supply chain. Durée 18-30 semaines.
• Entité essentielle, santé / eau / déchets régional : sur devis. Durée 22-32 semaines.
• Entité essentielle, énergéticien régional : sur devis, selon le périmètre (production seule ou production + distribution + retail). Durée 26-40 semaines.
• Pentests externes annuels (si opérateur essentiel) : en sus, sur devis du prestataire accrédité, scope IT + OT.

Devis détaillé sous 48 heures après un premier échange.