Le 10 septembre 2026, l'éditeur Board of Cyber publie le premier panorama à grande échelle de la surface d'attaque externe des entités soumises à NIS2 en France. Le corpus couvre 21 700 organisations extraites de la liste officielle de l'ANSSI. Le score moyen s'établit à 690 sur 1 000. Ce chiffre résume une réalité que les audits documentaires ne voient pas : 7,9 % des entités présentent une exposition technique qualifiée de basique (source : Board of Cyber, 10 septembre 2026, via Silicon.fr).
Ce que mesure ce panorama, et ce qu'il ne mesure pas
Il ne s'agit pas d'un audit de conformité. Board of Cyber évalue la surface d'attaque externe visible depuis internet : ports ouverts, versions logicielles exposées, certificats TLS expirés, enregistrements DNS mal configurés, informations d'identification présentes dans des fuites publiques. Aucune authentification n'est nécessaire pour ce type de reconnaissance. Un attaquant effectue le même travail avant d'engager toute intrusion.
La différence avec un audit documentaire est fondamentale. Un référentiel comme le ReCyF évalue la mise en place de politiques, de procédures, de plans de continuité. Ce panorama évalue ce qu'un adversaire observe depuis l'extérieur. Les deux sont complémentaires. Un programme NIS2 peut produire une documentation irréprochable et exposer des services non corrigés depuis des mois. Cette divergence est précisément ce que le score 690/1 000 révèle à l'échelle nationale.
Ce que la distribution signifie
La répartition est asymétrique. 32,7 % des entités atteignent le niveau avancé : surface d'attaque maîtrisée, correctifs réguliers appliqués, certificats valides, peu de ports superflus exposés. 59,4 % se situent au niveau intermédiaire : exposition partielle, correctifs incomplets sur une partie du périmètre, quelques services de gestion exposés sans nécessité. 7,9 % sont au niveau basique : des services obsolètes accessibles depuis internet, des comptes techniques présents dans des fuites publiques, des configurations permettant une reconnaissance approfondie en quelques minutes.
7,9 % de 21 700 représente environ 1 700 entités. Ces organisations sont soumises à NIS2. Certaines gèrent des infrastructures dans les secteurs de l'énergie, du transport ou de la santé. Leur exposition externe n'est pas hypothétique. Elle est mesurable, accessible, et potentiellement exploitable aujourd'hui.
Un exemple concret dans le secteur de l'eau
Une collectivité de taille moyenne, gestionnaire d'un réseau de distribution d'eau potable, entre dans le périmètre NIS2 comme entité importante. Elle a nommé un référent cyber, produit sa déclaration d'assujettissement auprès de l'ANSSI, et entamé la mise en conformité documentaire avec le ReCyF. Son score externe s'établit à 640.
Deux points de déduction majeurs : un serveur de sauvegarde exposé sur un port non standard, accessible depuis internet depuis dix-huit mois, et deux certificats TLS expirés sur des interfaces web de supervision industrielle. Aucun de ces éléments n'est visible dans un audit documentaire. Les deux sont visibles en quelques minutes avec les outils de reconnaissance standard utilisés avant toute intrusion ciblée.
Cet exemple n'est pas exceptionnel. Il illustre une réalité courante dans le niveau intermédiaire : les organisations progressent sur la conformité procédurale, mais le périmètre technique évolue plus vite que la supervision.
Trois actions concrètes
Première action : obtenez votre propre mesure externe. Ce type d'évaluation, réalisée sans accès à vos systèmes internes, vous donne le point de vue d'un attaquant. Elle complète utilement votre programme de conformité sans le remplacer.
Deuxième action : ne confondez pas ce score avec votre niveau de conformité NIS2. Un score élevé est un signal positif sur votre hygiène externe. Il ne dit rien de votre capacité de détection, de votre plan de continuité, ou de votre politique de gestion des habilitations. La conformité NIS2 couvre un périmètre bien plus large que la surface d'attaque externe.
Troisième action : traitez les expositions identifiées comme des preuves documentées. Si votre diagnostic révèle un service exposé, consignez-le, qualifiez-le, et tracez la remédiation. Cette traçabilité compte dans le cadre d'un éventuel contrôle de l'ANSSI. Les premières sanctions prononcées en Europe portent sur des manquements documentés et persistants — pas sur des incidents imprévisibles.
Le lien avec la Loi Résilience
La transposition française de NIS2 par la Loi Résilience est attendue à l'examen parlementaire depuis septembre 2026. Le calendrier reste incertain. Ce délai ne crée pas de zone franche pour autant. Les entités assujetties ont des obligations actives depuis l'applicabilité de la directive. Une exposition basique en septembre 2026, avec une Loi Résilience adoptée en 2027, ne sera pas traitée comme une absence d'obligation préalable. La date de transposition détermine les modalités de contrôle, pas la naissance des obligations.
Pour préparer ce passage, un audit de maturité interne en 90 jours offre un cadre structuré pour aligner votre documentation NIS2 avec votre réalité technique. La surface d'attaque externe est un point de départ. L'audit de maturité en est le prolongement naturel. Les deux ensemble donnent une image fidèle de votre position : ce que l'autorité verra depuis l'extérieur, et ce que votre dossier peut démontrer en interne.
Ce que la moyenne ne dit pas
Un score moyen de 690/1 000 à l'échelle de 21 700 entités est un résultat en demi-teinte. Il signifie que la majorité des organisations assujetties à NIS2 en France ont engagé un travail réel sur leur périmètre externe. Il signifie aussi qu'environ un tiers de ces organisations n'a pas encore atteint un niveau de maîtrise technique cohérent avec les obligations d'une entité importante ou essentielle.
Le panorama de Board of Cyber ne couvre que la surface externe visible. Il ne mesure ni la sécurité des accès internes, ni la qualité des journaux, ni la robustesse des procédures de notification. Ces dimensions font l'objet de vérifications distinctes dans le cadre des contrôles NIS2. Mais la surface externe est le premier périmètre que vos adversaires évaluent. Elle mérite d'être la première chose que vous mesurez aussi.