L’échéance est passée. L’obligation, elle, demeure.
Le 30 juin 2026 a marqué une étape importante pour les organisations européennes relevant du champ d’application de la directive NIS2 : la date limite pour mener à bien un premier audit de conformité. Pour de nombreuses équipes conformité, ce fut un sprint - évaluer les contrôles, combler les lacunes et réunir la documentation sous pression.
Mais réussir le premier audit n’est pas la ligne d’arrivée. C’est le signal de départ. NIS2 n’est pas une certification ponctuelle. C’est une obligation continue, et les autorités nationales compétentes des États membres de l’UE entrent désormais dans une phase de supervision active. Les organisations qui ont traité l’échéance de juin comme une simple case à cocher se retrouveront exposées dans les mois à venir.
Cet article expose ce qui se passe ensuite - et comment rendre votre posture de conformité réellement défendable, et pas seulement documentée périodiquement.
Ce que le premier audit a réellement couvert
Le premier audit de conformité NIS2 portait sur les dix mesures minimales de cybersécurité définies à l’article 21. Elles comprennent les politiques de gestion des risques, les procédures de gestion des incidents, les mesures de continuité des activités, la sécurité de la chaîne d’approvisionnement et les pratiques de contrôle d’accès.
Pour de nombreuses organisations, en particulier celles nouvellement classées comme entités essentielles ou importantes en vertu des lois nationales de transposition, l’audit a été leur première évaluation structurée de la gouvernance de la cybersécurité. Le portail d’enregistrement du BSI allemand a été mis en service en janvier 2026. Au Portugal, le décret-loi n° 125/2025 a fait entrer en vigueur ses propres obligations en avril 2026. Dans toute l’UE, les régulateurs sont passés de la directive à une application effective.
L’audit a permis de déterminer si une organisation disposait des bonnes politiques et des bons contrôles à un instant donné. Ce qu’il ne pouvait pas facilement vérifier, c’est si ces contrôles tiendraient jour après jour, système après système.
Les lacunes fréquentes relevées après le premier cycle
Au sein de la communauté de la conformité, plusieurs faiblesses récurrentes sont ressorties des premiers audits NIS2 :
Qualité des preuves. De nombreuses organisations disposaient de politiques et de procédures, mais manquaient d’enregistrements vérifiables et horodatés prouvant que ces contrôles étaient effectivement appliqués. Un document de politique n’est pas une preuve. Un journal d’audit doté d’une intégrité cryptographique, si.
Couverture de la chaîne d’approvisionnement. L’article 21 impose explicitement aux organisations d’évaluer et de gérer les risques de cybersécurité dans leurs chaînes d’approvisionnement. Beaucoup ont constaté que leurs inventaires de fournisseurs étaient incomplets ou que leurs évaluations des tiers manquaient de substance.
Préparation à la détection et à la notification des incidents. NIS2 exige que les incidents importants soient notifiés aux autorités compétentes dans les 24 heures suivant la notification initiale, puis qu’un rapport complet soit transmis dans les 72 heures. De nombreuses organisations ont découvert que leur processus, de la détection à la notification, n’avait pas fait l’objet d’exercices.
Surveillance continue. Une évaluation ponctuelle vous indique où vous en étiez un jour donné. Elle ne vous dit pas si un fichier a été modifié mardi dernier, si une configuration a dérivé la semaine dernière ou si l’intégrité de vos sauvegardes s’est dégradée depuis votre dernier test.
De l’audit périodique à la conformité continue
Le changement que signalent les régulateurs - et que les équipes conformité les plus avancées opèrent déjà - consiste à passer de l’audit périodique à des preuves de conformité continues.
Cela signifie disposer de systèmes qui ne se contentent pas d’enregistrer des politiques, mais vérifient en continu l’intégrité des actifs que ces politiques sont censées protéger. Chaque fichier, base de données et configuration critique devrait disposer d’une empreinte cryptographique - un enregistrement scellé et horodaté de son état exact à chaque instant. Tout écart par rapport à cet enregistrement déclenche une alerte, et non une découverte six mois plus tard lors de l’audit suivant.
L’infrastructure de confiance vérifiable de ROOTKey a été conçue précisément pour cet environnement. En ancrant vos actifs de données critiques dans un registre public indépendant et en maintenant une vérification continue de leur intégrité, votre organisation peut démontrer sa conformité non seulement le jour de l’audit - mais tous les jours.
Engagez votre démarche de conformité continue avec ROOTKey - plan gratuit disponible, aucune carte bancaire requise.
- Ancrer cryptographiquement tous les actifs de données critiques - fichiers, bases de données, sorties d’API et enregistrements de configuration - afin que toute modification soit immédiatement détectable.
- Mettre en place une couche de surveillance continue de l’intégrité qui alerte en temps réel en cas d’écart, et pas seulement au moment de l’audit.
- S’assurer que le processus de notification des incidents a fait l’objet d’exercices et s’appuie sur des preuves vérifiées, et non sur une reconstitution de mémoire.
- Cartographier les actifs de votre chaîne d’approvisionnement et exiger une intégrité vérifiable de la part des principaux fournisseurs de technologies.
- Documenter vos preuves de conformité dans un format que les autorités nationales compétentes peuvent vérifier de manière indépendante - et pas seulement dans des tableurs internes.
Ce que les régulateurs vont examiner ensuite
Les autorités nationales compétentes n’attendent pas 2027. La supervision est active dès maintenant. En Allemagne, le BSI a signalé un contrôle renforcé des entités essentielles des secteurs de l’énergie et de la santé. Au Portugal, le CNCS rend opérationnel son cadre de contrôle de l’application à la suite du DL 125/2025. Dans toute l’UE, l’attention passe de « Avez-vous une politique ? » à « Pouvez-vous prouver qu’elle fonctionne ? »
Les organisations qui évolueront avec le plus d’assurance dans cet environnement sont celles qui peuvent répondre aux demandes des autorités de supervision avec des preuves vérifiables et lisibles par machine - et non en rassemblant la documentation a posteriori, après la demande d’un régulateur.
La conformité NIS2 n’est plus un projet. C’est une capacité opérationnelle.