En 2025, les dépenses mondiales en conformité réglementaire ont atteint 213 milliards de dollars (Gartner). La même année, le nombre de violations de données notifiées aux autorités européennes a progressé de 22 % par rapport à 2024 (ENISA). La corrélation n'est pas une coïncidence : les organisations qui investissent massivement dans la conformité ne sont pas nécessairement mieux protégées — elles sont parfois mieux exposées.
Ce paradoxe a un nom : l'approche compliance-first. Elle consiste à traiter la conformité réglementaire comme l'objectif de la fonction sécurité, plutôt que comme l'indicateur d'un état de sécurité réel. Dans cet article, vous découvrirez par quels mécanismes cette approche génère du risque supplémentaire, ce que font différemment les organisations qui en sont sorties, et comment évaluer votre propre positionnement.
Ce que l'approche compliance-first produit concrètement
La conformité réglementaire repose sur une logique d'état : à la date de l'audit, vos contrôles respectent-ils les exigences du référentiel ? Cette logique est fondamentalement incompatible avec la nature du risque cyber, qui est dynamique, continu, et indifférent aux calendriers d'audit.
NIS2 exige une politique de gestion des risques documentée et mise à jour. DORA impose des tests de résilience opérationnelle selon un calendrier défini. ISO 27001 certifie un système de management de la sécurité de l'information lors d'un audit périodique. Dans les trois cas, la conformité démontre un état — pas une capacité. Un certificat ISO 27001 délivré en janvier ne dit rien de votre posture de sécurité en septembre.
La première organisation à avoir subi une violation massive malgré une conformité PCI-DSS à jour n'est pas un cas isolé : c'est l'illustration d'une propriété structurelle. La conformité est rétrospective. Le risque est prospectif. Les aligner exige un effort délibéré que l'approche compliance-first n'encourage pas.
Trois mécanismes par lesquels la conformité aggrave l'exposition
Premier mécanisme : l'optimisation du contrôle plutôt que de la résilience. Lorsque la conformité est l'objectif, les équipes optimisent naturellement la réponse aux exigences de l'auditeur. Elles choisissent des contrôles documentables, des politiques rédigées, des formations traçables — non parce que ces mesures sont les plus efficaces pour réduire le risque, mais parce qu'elles sont les plus auditables.
Un exemple concret : la gestion des accès privilégiés. L'Article 21 de NIS2 impose des « mesures relatives à la sécurité dans le domaine des ressources humaines, des politiques de contrôle d'accès ». Un programme compliance-first produira une politique de contrôle d'accès documentée, un processus de revue annuel des droits, et des logs conservés 12 mois. Ce qui n'apparaît pas dans le rapport d'audit : que 23 % des comptes administrateurs actifs appartiennent à des collaborateurs partis depuis plus de 6 mois (données internes Presidio, périmètre clients 2025).
Deuxième mécanisme : la distorsion des ressources vers le reporting. Dans une organisation compliance-first, la part du budget sécurité consacrée au reporting, à la documentation, et à la préparation d'audit croît structurellement. Une étude Forrester sur 240 RSSI européens en 2025 indique que les équipes sécurité des organisations compliance-first consacrent en moyenne 31 % de leur temps annuel aux activités de conformité administrative, contre 12 % dans les organisations ayant adopté une approche risk-first.
Ces 19 points de différence représentent, pour une équipe de 10 personnes, deux équivalents temps plein dédiés au reporting plutôt qu'à la détection, à la réponse aux incidents, ou à l'amélioration des contrôles techniques. Le risque résiduel de cette distorsion est rarement modélisé dans les registres de risques des mêmes organisations.
Troisième mécanisme : l'illusion de couverture. Être conforme à NIS2 sur les 10 exigences de l'Article 21 ne signifie pas être protégé contre les vecteurs d'attaque les plus utilisés par les groupes APT actifs sur votre secteur. Les référentiels de conformité sont construits par consensus réglementaire, avec des délais de révision de plusieurs années. Les attaquants adaptent leurs techniques en quelques semaines.
L'erreur la plus fréquente : valider la conformité sur un périmètre restreint — les systèmes déclarés dans le scope NIS2 — tout en laissant hors scope des actifs qui, en cas de compromission, permettraient un accès à ce périmètre. L'approche compliance-first encourage cette définition restrictive du scope. Elle simplifie l'audit, réduit le périmètre documenté, produit un résultat conforme. Elle ne réduit pas le risque réel.
Ce que les organisations risk-first font différemment
Les organisations qui ont inversé la logique traitent la conformité comme un sous-produit de leur programme de gestion des risques, non comme son objectif. La distinction est opérationnelle autant que sémantique.
Concrètement : elles construisent leur registre de risques depuis les scénarios de menace réels (MITRE ATT&CK, rapports sectoriels ENISA, veille CTI) et identifient ensuite les référentiels réglementaires qui adressent ces risques. Elles ne partent pas des exigences réglementaires pour les mapper à leurs actifs. Cette inversion change la priorisation des contrôles, la définition du périmètre, et l'allocation budgétaire.
Dans ce modèle, la préparation d'un audit NIS2 n'est pas une phase de mobilisation spéciale — c'est la production d'une documentation qui existe déjà parce qu'elle sert à la gestion opérationnelle des risques. Les équipes qui préparent un audit en 6 semaines de sprint de mise en conformité signalent, sans le savoir, que leur programme de sécurité n'était pas opérationnel hors période d'audit.
Comment évaluer votre positionnement
Quatre questions permettent de diagnostiquer si votre organisation est compliance-first ou risk-first.
Votre registre de risques est-il mis à jour entre deux audits, ou essentiellement lors de la préparation d'audit ? Vos contrôles sont-ils priorisés par leur impact sur le risque résiduel ou par leur présence dans les exigences réglementaires ? Votre périmètre de sécurité couvre-t-il les actifs présentant le risque le plus élevé, ou les actifs déclarés dans votre scope de conformité ? Votre RSSI rend-il compte de la posture de sécurité ou du taux de conformité ?
Si trois de ces quatre questions orientent vers la conformité, votre programme est structurellement compliance-first — indépendamment du langage que vous utilisez pour le décrire.
Presidio propose un module d'évaluation de maturité GRC qui cartographie votre programme selon ces dimensions et identifie les zones de sur-investissement conformité et de sous-investissement risque. Découvrir le module d'évaluation →
Conclusion
Trois insights à retenir. La conformité mesure un état passé : elle ne prédit pas votre capacité à résister à une attaque future. L'optimisation du reporting détourne les ressources de la réduction effective du risque, à un coût rarement modélisé. Et l'illusion de couverture — être conforme sans être sécurisé — est le risque opérationnel le plus sous-estimé des programmes GRC en 2026.
Les organisations qui sortent de l'approche compliance-first ne réduisent pas leurs investissements en conformité — elles les réorientent vers ce qui réduit réellement leur exposition. La différence entre les deux se voit rarement dans les rapports d'audit. Elle se voit dans les incidents.
Et dans votre contexte, quelle est la part de votre programme de sécurité qui résisterait à un audit de pertinence plutôt qu'à un audit de conformité ?
Lire aussi : Les 4 erreurs du théâtre de conformité GRC — Automatisation GRC : ROI calculé vs réalité.