La directive NIS2 a été transposée en droit français en octobre 2024. Six mois après, le constat dressé par nos équipes d'audit est nuancé : si les grandes entreprises se sont structurées rapidement, beaucoup d'ETI peinent encore à finaliser leur cartographie des actifs et leur plan de gestion des incidents.
Le périmètre, premier obstacle
Le périmètre élargi de NIS2 — qui touche désormais l'industrie agroalimentaire, le transport, les acteurs publics — surprend encore. Près d'une ETI sur trois n'a pas encore confirmé son statut d'« entité importante » auprès de l'ANSSI.
La gestion des fournisseurs sous-estimée
L'article 21 impose une gouvernance robuste de la chaîne d'approvisionnement. Or, les entreprises peinent à identifier leurs dépendances critiques (cloud, IT outsourcés, éditeurs SaaS). Notre recommandation : démarrer par une matrice de criticité fournisseur avant tout exercice de conformité.
Notification en 24h : un défi opérationnel
L'obligation de signaler un incident significatif sous 24 heures change la donne. Sans SOC actif 24/7 et sans procédure de qualification rapide, le délai est intenable. C'est précisément le rôle de notre NextGen-SOC : qualifier l'incident, mesurer l'impact, et préparer la déclaration ANSSI dans les SLA.
Vers un audit ANSSI ?
L'autorité prévoit une montée en charge des contrôles à partir de 2026. Les sanctions peuvent atteindre 10 M€ ou 2 % du CA mondial. Mieux vaut anticiper que réagir après mise en demeure.
L'équipe Conseil
