La Commission européenne a publié le 20 janvier 2026 une proposition de règlement révisant le Cybersecurity Act de 2019. Ce texte, désigné CSA2, ne se limite pas à une mise à jour technique du cadre de certification européen. Il introduit une notion absente du règlement initial : la certification de posture cyber. Pour les organisations soumises à NIS2, la mécanique de la preuve de conformité change en profondeur.
Ce que le CSA2 modifie dans le paysage réglementaire
Le Cybersecurity Act de 2019 avait posé le cadre européen de certification de cybersécurité : l'EUCS pour les services cloud, l'EUCC pour les produits TIC. Ces schémas permettent de certifier qu'un produit ou service répond à un niveau de sécurité défini. Leur limite est structurelle : ils portent sur des produits ou des services, pas sur la posture globale d'une organisation.
Le CSA2 étend le périmètre de l'ECCF (European Cybersecurity Certification Framework) pour y inclure des schémas de certification portant sur les entités elles-mêmes. C'est le saut conceptuel central de cette révision.
La certification de posture cyber : ce qu'elle couvre
Un certificat de posture cyber atteste qu'une organisation respecte les exigences de gestion des risques cyber définies par un référentiel donné. Dans le contexte NIS2, cela correspond aux dix mesures de l'article 21 : gestion des risques, politique de sécurité, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, chiffrement, contrôle d'accès, tests et audits, formation, et recours aux technologies appropriées.
Le mécanisme est simple en théorie. L'organisation se soumet à un audit réalisé par un organisme accrédité au niveau européen, qui délivre un certificat. Ce certificat vaut preuve de conformité auprès des autorités nationales compétentes. En France, l'autorité compétente pour NIS2 est l'ANSSI. Aucune re-certification nationale n'est requise en parallèle.
La logique est proche de celle de l'ISO 27001. La différence est que la certification de posture cyber serait reconnue directement comme preuve de conformité NIS2 dans tous les États membres, sans que chaque autorité nationale n'impose sa propre démarche d'audit. Pour une organisation opérant dans plusieurs pays de l'Union, c'est un allègement substantiel.
Les chiffres qui illustrent l'attente du marché
Une enquête d'ISC2, publiée en juin 2026 auprès de 430 responsables sécurité européens, révèle que 36 % des organisations utiliseraient la certification de posture cyber pour démontrer leur conformité NIS2 si elle était disponible aujourd'hui, et 49 % ont répondu "probablement". Ce n'est pas un enthousiasme timide : 85 % du panel exprime un intérêt sérieux pour un outil dont le texte est encore en cours de négociation.
Ce signal confirme un problème réel. Les organisations soumises à NIS2 dans plusieurs États membres font face à une multiplication d'exigences de preuve qui divergent selon les pays. L'Allemagne, la France et les Pays-Bas ont chacun leur propre interprétation des mesures de l'article 21, leurs propres exigences documentaires et leurs propres calendriers d'inspection. Un certificat européen unique remplacerait une partie de ce mille-feuille.
Un exemple concret : l'éditeur SaaS transfrontalier
Prenez l'exemple d'un éditeur SaaS de taille intermédiaire, commercialisant sa plateforme auprès de clients en France, en Allemagne et en Belgique. Sous NIS2 dans sa version actuelle, cet opérateur doit démontrer sa conformité aux trois autorités nationales compétentes. Les exigences documentaires et de reporting ne sont pas identiques d'un pays à l'autre, même si elles dérivent du même texte européen.
Avec la certification de posture cyber du CSA2, un seul audit délivré par un organisme accrédité au niveau européen suffit. L'éditeur présente son certificat aux trois autorités. Aucune ne peut lui imposer un audit complémentaire si le schéma de certification couvre les exigences NIS2. Le gain en charge administrative est immédiat et quantifiable.
Ce que le CSA2 ne résout pas encore
La proposition est en trilogue entre la Commission, le Parlement et le Conseil européens. Les négociations sont attendues tout au long de 2026 : le texte final ne sera pas adopté avant 2027 au plus tôt. La certification de posture cyber n'est donc pas encore disponible.
De plus, le CSA2 ne rend pas cette certification obligatoire. Les organisations qui préfèrent continuer à démontrer leur conformité NIS2 via d'autres moyens, notamment les audits contractuels ou les certifications sectorielles existantes, pourront le faire. La certification de posture cyber est un outil supplémentaire, pas un remplacement.
Autre point d'attention : les schémas de certification seront développés par l'ENISA selon un processus technique qui peut prendre plusieurs années. L'EUCS cloud a nécessité plus de trois ans pour atteindre sa première version formelle. Le calendrier entre l'adoption du CSA2 et la disponibilité des premiers certificats de posture cyber se mesurera en années, pas en mois.
Ce que les organisations peuvent faire maintenant
La certification de posture cyber ne change pas les obligations NIS2 en vigueur. L'article 21 s'applique. La notification d'incident en 24 heures s'applique. Ce que le CSA2 annonce, c'est une future évolution de la façon dont la preuve de conformité pourra être produite.
Pour les responsables sécurité, deux actions sont utiles dès aujourd'hui.
La première consiste à documenter la conformité NIS2 de façon structurée et auditable. Si un schéma de certification de posture cyber devient disponible dans deux ou trois ans, les organisations qui auront documenté leurs mesures selon un référentiel clair auront moins de chemin à parcourir pour se faire certifier. L'investissement n'est pas perdu : il répond aux exigences actuelles et prépare les exigences futures.
La seconde consiste à suivre les travaux de l'ENISA sur les schémas de certification. L'ENISA publie régulièrement des documents de travail et des consultations publiques. Répondre à ces consultations permet d'influencer le périmètre des futurs schémas et d'anticiper leurs exigences avant qu'elles ne soient gravées dans les textes.
La même logique s'applique à la convergence réglementaire globale : l'article sur la cartographie des exigences NIS2, DORA et EU AI Act illustre pourquoi anticiper les recoupements coûte moins que de s'y conformer en urgence.
Ce que cela révèle sur la direction prise par l'Europe
Le CSA2 s'inscrit dans une tendance claire : l'Union européenne construit progressivement un marché unique de la certification cyber. NIS2 a posé les obligations de sécurité. DORA a posé celles du secteur financier. Le Cyber Resilience Act s'attaque aux produits numériques. Le CSA2 vise à créer l'infrastructure de preuve commune à l'ensemble de ces règlements.
L'objectif n'est pas d'alléger les exigences de sécurité : elles restent inchangées. Il est d'unifier la façon dont les organisations démontrent qu'elles les respectent, pour réduire les coûts de conformité transfrontaliers et renforcer la lisibilité du marché européen pour les investisseurs et les acheteurs.
C'est une transformation structurelle lente, qui produit ses effets sur une décennie. Les organisations qui commencent à aligner leur documentation sur les futurs schémas de certification seront en position avantageuse quand ces schémas deviendront disponibles.