En octobre 2024, la directive NIS2 est entrée en vigueur dans l'ensemble des États membres de l'Union européenne. Dix-huit mois plus tard, l'ANSSI estime que moins de 40 % des entités désormais dans le scope ont réalisé une évaluation formelle de leur conformité aux articles 20 et 21 de la directive. Le reste navigue dans une ambiguïté confortable : « nous avons commencé », « nous sommes en cours », « nous prévoyons d'y revenir ».
Ce délai n'est pas anodin. Contrairement au RGPD, dont l'application a mis plusieurs années à se structurer, les autorités compétentes nationales disposent dès à présent de pouvoirs d'inspection formels et de sanctions directes : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes. Dans cet article, nous examinons les trois angles d'audit les plus systématiquement négligés lors des évaluations NIS2, et proposons une structure en 90 jours pour cadrer votre démarche.
Repères chiffrés
- < 40 % des entités NIS2 éligibles ont réalisé un audit de maturité structuré (estimation ANSSI, T1 2026)
- 10 mesures minimum obligatoires — Article 21 NIS2
- 24 heures : délai de notification précoce à l'autorité compétente (Article 23)
- 18 secteurs couverts par la directive (Annexes I et II)
1. L'Article 20 : la gouvernance COMEX, angle mort systémique
La quasi-totalité des projets NIS2 concentrent leurs efforts sur l'Article 21 — les mesures techniques de gestion des risques. C'est compréhensible : les DSI et RSSI s'y reconnaissent, les checklists disponibles sont nombreuses, et les prestataires d'audit proposent des grilles standardisées.
L'Article 20 est structurellement plus difficile à opérationnaliser. Il impose aux organes de direction — conseil d'administration inclus — d'approuver les mesures de gestion des risques cybersécurité, de superviser leur mise en œuvre, et de recevoir une formation adéquate. Ce n'est pas un détail de gouvernance : c'est une obligation légale explicite qui crée une responsabilité personnelle des dirigeants. Une entité qui a déployé MFA, segmentation réseau et plan de réponse aux incidents — mais dont le COMEX n'a jamais formellement approuvé la politique de cybersécurité — est non-conforme au sens de NIS2.
Lors des premiers contrôles NIS2 menés au premier semestre 2026, des observations ont été formulées sur l'absence de traçabilité des décisions COMEX en matière de cybersécurité. Ces observations ne sont pas des sanctions — mais elles figurent dans les rapports d'inspection comme des « contrôles insuffisants », ce qui, lors d'un incident ultérieur, peut faire basculer l'appréciation de la faute.
L'erreur courante : traiter l'Article 20 comme une formalité documentaire. En audit, la question posée n'est pas « existe-t-il un document approuvé ? » mais « quel dirigeant peut vous expliquer ce qu'il a approuvé et pourquoi ? »
Application concrète : lors de votre audit de maturité NIS2, évaluez séparément les deux piliers — technique (Art. 21) et gouvernance (Art. 20). Pour le COMEX, un tableau de bord trimestriel de risques cyber, validé par vote en session et archivé, constitue une trace de conformité robuste.
2. La chaîne d'approvisionnement : le gap le plus fréquent
L'Article 21.2.d impose la gestion de la sécurité de la chaîne d'approvisionnement, incluant les mesures de sécurité relatives aux relations entre les entités et leurs prestataires directs et indirects.
Dans la pratique, les organisations en scope NIS2 ont souvent des centaines de prestataires. Nombre d'entre elles ne disposent pas d'un inventaire consolidé de ces tiers, et encore moins d'un processus de qualification sécurité formalisé. La supply chain est le gap le plus fréquemment identifié lors des audits de maturité. Le vecteur est bien documenté : selon le rapport ENISA Threat Landscape 2025, les attaques via des prestataires compromis représentent désormais plus d'un tiers des incidents significatifs notifiés aux autorités NIS2 dans l'UE.
L'erreur courante : considérer que la clause contractuelle de sécurité suffit. Un prestataire qui signe un addendum de sécurité n'est pas, pour autant, sécurisé. La conformité contractuelle et la maturité opérationnelle de votre tiers sont deux choses distinctes.
Application concrète : catégorisez vos prestataires par criticité (accès aux systèmes d'information, traitement de données sensibles, composant de continuité d'activité). Pour les prestataires critiques, planifiez a minima un questionnaire de sécurité annuel et une revue des incidents signalés. Pour les prestataires essentiels, envisagez un audit contractuel tous les deux ans. Presidio intègre un module TPRM dédié pour structurer cette catégorisation et automatiser les cycles de révision.
3. La notification réglementaire : préparée sur papier, impossible sous pression
L'Article 23 NIS2 impose un délai de notification précoce de 24 heures à l'autorité compétente, suivi d'un rapport circonstancié à 72 heures. Ces contraintes sont connues. Ce que les organisations sous-estiment, c'est leur caractère opérationnel — elles s'appliquent dès le début de l'incident, pas après investigation complète.
Un audit de maturité NIS2 doit tester votre capacité à notifier, pas seulement à documenter la procédure. À l'heure 24 d'un incident actif, votre équipe gère simultanément la containment technique, la communication interne, la pression des métiers, et la rédaction d'une notification réglementaire partielle. Les exercices de simulation révèlent systématiquement deux lacunes : l'absence de template pré-validé par le DPO et le conseil juridique, et l'absence d'une personne clairement désignée comme pilote de la notification — distincte du pilote de l'incident.
L'erreur courante : valider la procédure de notification lors d'une revue documentaire, sans jamais la tester sous contrainte de temps. Un processus validé en comité et un réflexe opérationnel à 03h00 sont deux choses différentes.
Application concrète : intégrez une simulation de notification réglementaire dans votre prochain exercice de crise. Objectif : produire une notification partielle NIS2-conforme en moins de quatre heures, avec les informations disponibles au moment T+4 d'un incident fictif. Impliquez votre DPO et votre conseil juridique — pas seulement les équipes techniques.
Structurer votre audit de maturité en 90 jours
Pour les organisations qui n'ont pas encore réalisé d'évaluation formelle — ou dont la dernière remonte à plus de 12 mois — voici une structure en trois phases :
Phase 1 — Cadrage (J1 à J30) : inventaire des entités dans le scope réglementaire (essentielles vs. importantes), cartographie des systèmes critiques, identification des prestataires tier-1 et tier-2, revue de la gouvernance COMEX existante et des délibérations documentées en matière de cybersécurité.
Phase 2 — Évaluation (J30 à J60) : audit des 10 mesures Article 21 — gestion des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, contrôle des accès, cryptographie, MFA, sécurité des systèmes de réseau, politiques de ressources humaines, et sécurité des communications. Évaluation distincte Article 20 avec traçabilité des décisions de direction.
Phase 3 — Plan de remédiation (J60 à J90) : priorisation des gaps par niveau de risque réglementaire et opérationnel, plan d'action avec owners et deadlines, tableau de bord de suivi COMEX, simulation de notification réglementaire avec DPO et conseil juridique.
Presidio automatise les étapes de collecte, de scoring et de traçabilité de cet audit : référentiels NIS2 / DORA / RGPD unifiés, questionnaires tiers intégrés, dashboards COMEX et workflows de notification pré-configurés.
Conclusion
NIS2 n'est plus une échéance future. Dix-huit mois après son entrée en vigueur, elle est une obligation légale active — avec une autorité d'inspection compétente, un régime de sanctions effectif, et des entités qui commencent à en faire l'expérience directe.
Les organisations qui traversent leur premier audit de conformité avec le moins de friction partagent une caractéristique commune : elles ont traité les trois piliers avec la même rigueur — les mesures techniques (Art. 21), la gouvernance dirigeante (Art. 20), et la capacité opérationnelle de notification (Art. 23). Chaque pilier négligé est un gap documenté dans le rapport d'inspection.
Dans votre contexte — avez-vous testé votre capacité à notifier dans les délais, ou seulement votre capacité à décrire la procédure qui devrait s'y appliquer ?
Lire aussi : NIS2 — les pièges opérationnels de la notification en 24h — IAM et contrôle d'accès : les priorités d'audit NIS2 et DORA.