En 2025, 62 % des incidents cybers majeurs en Europe trouvaient leur origine dans une défaillance chez un partenaire tiers non évalué. Face à ce constat, l’Union européenne a renforcé son cadre réglementaire avec la directive NIS2, qui étend les obligations de cybersécurité à plus de 15 000 entités françaises, contre 300 sous NIS1. Les sanctions sont à la mesure de l’enjeu : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles.

Malgré ces exigences, de nombreuses organisations commettent des erreurs qui retardent ou compromettent leur mise en conformité. Attendre la transposition française, sous-estimer le périmètre, négliger la chaîne d’approvisionnement… Ces faux pas, souvent stratégiques avant d’être techniques, exposent les entreprises à des risques juridiques, financiers et opérationnels. Voici les 10 erreurs à éviter pour aborder NIS2 avec méthode.

Erreurs stratégiques : sous-estimer la portée de NIS2

La première erreur consiste à attendre la transposition française pour lancer sa démarche de conformité. La France n’a pas respecté l’échéance du 17 octobre 2024 fixée par Bruxelles. Après un avis motivé en mai 2025, la Commission européenne a décidé en juin 2026 de renvoyer la France devant la Cour de justice de l’Union européenne pour défaut de transposition. Côté législatif, la Loi Résilience a bien été adoptée au Sénat en mars 2025 et examinée en commission spéciale à l’Assemblée nationale en septembre 2025, mais le vote en séance plénière se fait toujours attendre il est désormais envisagé pour septembre 2026. Or, attendre ce texte revient à perdre un temps précieux. La directive NIS2 s’applique à l’échelle européenne depuis octobre 2024, et les chantiers qu’elle impose gouvernance, analyse de risques, gestion des incidents nécessitent plusieurs mois de préparation. Les organisations qui anticipent prendront une longueur d’avance sur celles qui subiront l’urgence.

La deuxième erreur est de croire que l’on a le temps. L’ANSSI a certes annoncé une période d’accompagnement de trois ans sans sanctions immédiates. Mais les coûts de mise en conformité estimés pour les entités essentielles oscillent entre 450 000 et 880 000 euros en investissement initial. Mener un tel chantier dans la précipitation, c’est s’exposer à des surcoûts et à une conformité partielle. Une ETI industrielle qui ne lancerait sa démarche qu’en 2027 n’aurait plus qu’un an pour structurer sa gouvernance cyber, former ses dirigeants et formaliser ses procédures un calendrier difficilement tenable.

Troisième erreur : croire que l’on n’est pas concerné. Le périmètre de NIS2 a été multiplié par dix et couvre désormais 18 secteurs d’activité, de l’énergie à la gestion des déchets en passant par l’agroalimentaire. Toute entreprise de plus de 50 salariés ou réalisant plus de 10 millions d’euros de chiffre d’affaires dans un secteur couvert est potentiellement visée y compris dans des secteurs que l’on ne juge pas forcément sensibles, comme l’industrie manufacturière, l’agroalimentaire ou la gestion des déchets. Les sous-traitants critiques d’entités assujetties peuvent également être concernés, même en dessous de ces seuils. L’ANSSI a mis en place la plateforme MonEspaceNIS2 pour permettre à chaque organisation de vérifier son statut.

Quatrième erreur : croire que NIS2 n’est qu’un sujet IT. L’article 20 de la directive est clair : les organes de direction doivent approuver et superviser les mesures de gestion des risques cyber. Les dirigeants doivent suivre une formation en cybersécurité et engagent leur responsabilité personnelle En cas de manquement, les sanctions peuvent aller jusqu’à une interdiction temporaire d’exercer. La cybersécurité devient un enjeu de gouvernance au même titre que le risque financier. Confier la conformité à la seule DSI, sans impliquer le comité de direction, c’est ignorer l’esprit même de la réglementation.

Erreurs opérationnelles : négliger les exigences concrètes de NIS2

Cinquième erreur : oublier ses sous-traitants et la chaîne d’approvisionnement. En 2025, les attaques visant des fournisseurs représentaient près d’un tiers des incidents de sécurité recensés. La directive NIS2 impose d’évaluer la posture de cybersécurité de chaque prestataire critique, d’intégrer des clauses contractuelles spécifiques et d’identifier les vulnérabilités introduites par des tiers. L’attaque subie par Jaguar Land Rover via un partenaire technologique en est l’illustration : six semaines d’arrêt de production, 5 000 fournisseurs affectés et un coût estimé à 1,9 milliard de livres. Négliger sa supply chain dans sa démarche de conformité NIS2, c’est laisser la porte ouverte au maillon le plus faible.

Sixième erreur : négliger la documentation et la preuve. NIS2 ne demande pas seulement de sécuriser ses systèmes : elle exige de prouver ce qui est fait. Politiques formalisées, procès-verbaux de comités de direction, traces de formations, résultats d’audits internes… En cas de contrôle, une organisation incapable de produire ces éléments s’expose à des sanctions, même si ses pratiques de sécurité sont réelles. La documentation est la matière première de la conformité. C’est d’ailleurs l’un des points de convergence majeurs entre NIS2 et la norme ISO 27001, qui impose elle aussi de formaliser, prouver et améliorer en continu ses pratiques de sécurité. Les organisations déjà engagées dans une démarche ISO 27001 couvrent ainsi une part significative des exigences documentaires de NIS2. Pour celles qui partent de zéro, un audit cybersécurité initial permet de poser un socle documentaire solide dès le départ..

Septième erreur : sous-estimer les délais de notification des incidents. La directive impose un processus en trois étapes : une alerte précoce dans les 24 heures suivant la détection d’un incident significatif, une notification détaillée sous 72 heures, puis un rapport final sous un mois. Ces délais sont très courts pour les organisations qui n’ont pas formalisé leur procédure de gestion de crise. Une PME du secteur logistique qui découvrirait une compromission un vendredi soir devrait notifier l’ANSSI avant le samedi soir un scénario qui exige une préparation rigoureuse en amont.

Huitième erreur : confondre sécurité « papier » et sécurité réelle. Rédiger des politiques sans les appliquer, documenter des procédures sans les tester, afficher une conformité de façade : c’est le piège dans lequel tombent de nombreuses organisations. Or, NIS2 prévoit des contrôles allant au-delà de la revue documentaire. Les entités essentielles peuvent faire l’objet d’audits sur site, de tests de pénétration et de vérifications techniques. En 2024, 47 % des organisations françaises avaient subi au moins une cyberattaque significative la preuve que les politiques écrites ne suffisent pas à stopper les attaquants.

Erreurs de périmètre et de ressources : les angles morts qui coûtent cher

Neuvième erreur : oublier le périmètre industriel (OT). Beaucoup d’organisations concentrent leurs efforts sur les systèmes d’information classiques (IT) en négligeant les systèmes opérationnels qui pilotent les lignes de production, les automates et les équipements industriels. Or, les attaques contre les systèmes OT/IoT ont progressé de 110 % entre 2020 et 2023, et 65 % des automates industriels en Europe fonctionnent sur des systèmes obsolètes, privés de support sécuritaire. La directive NIS2 couvre explicitement les secteurs industriels énergie, transports, eau où la convergence IT/OT crée des vulnérabilités spécifiques. Un industriel agroalimentaire qui sécuriserait son ERP sans auditer ses automates de production laisserait un angle mort critique. L’articulation entre les référentiels IT (ISO 27001) et OT (IEC 62443) offre un cadre structurant pour couvrir l’ensemble du périmètre.

Dixième erreur : vouloir tout faire seul, notamment sur les sujets d’expertise. La mise en conformité NIS2 mobilise des compétences transverses juridiques, techniques, organisationnelles que peu d’organisations maîtrisent en interne. Analyse de risques, politiques de sécurité, outils de détection, mise en conformité réglementaire : chaque chantier requiert une expertise pointue. Tout internaliser, c’est risquer de disperser ses ressources et de retarder sa conformité. C’est d’autant plus vrai que 51 % des victimes de cyberattaques sont des TPE/PME/ETI, des structures qui disposent rarement d’équipes cybersécurité dédiées.

Conclusion

La directive NIS2 marque un tournant dans la réglementation européenne en matière de cybersécurité. Les 10 erreurs décrites dans cet article partagent un point commun : elles naissent d’une sous-estimation de la portée, de la rigueur et des délais imposés par ce nouveau cadre. Attendre la transposition, négliger la chaîne d’approvisionnement, confondre documentation et sécurité réelle, oublier le périmètre OT chacune peut compromettre une démarche de conformité et exposer l’organisation à des sanctions lourdes.

Fidens, filiale cybersécurité du groupe TVH Consulting, accompagne les organisations dans leur mise en conformité NIS2 : diagnostic initial, cartographie des risques, déploiement des mesures de sécurité et préparation aux contrôles. Vous souhaitez évaluer votre niveau de maturité face aux exigences de NIS2 ? Échangez avec nos experts pour définir votre feuille de route.

En 2025, environ un tiers des incidents de sécurité recensés impliquaient un fournisseur ou un partenaire technologique. Face à cette réalité, les donneurs d’ordre ne se contentent plus de simples déclarations de bonne volonté en matière de cybersécurité. Ils exigent des preuves tangibles, vérifiables et reconnues. Résultat : dans de nombreux appels d’offre, l’absence de garanties solides sur la sécurité de l’information devient un motif d’élimination dès la pré-sélection.

Cette tendance est portée par une double dynamique : la multiplication des cyberattaques transitant par la chaîne de sous-traitance, et le durcissement du cadre réglementaire européen avec l’entrée en application de NIS 2 et de DORA en janvier 2025. Ces réglementations imposent aux organisations de maîtriser non seulement leurs propres risques, mais aussi ceux introduits par leurs prestataires.

Dans ce contexte, la certification ISO 27001 s’impose comme un véritable sésame. Norme internationale de référence, elle atteste qu’une organisation a mis en place un cadre structuré, documenté et continuellement amélioré pour protéger ses données. Délivrée par un organisme tiers indépendant, elle offre aux donneurs d’ordre une garantie d’impartialité que peu d’autres démarches peuvent revendiquer.

Gestion des risques liés aux tiers : pourquoi les donneurs d’ordre exigent des garanties cyber

La menace ne vient plus seulement de l’intérieur. En 2025, l’attaque subie par Jaguar Land Rover via un partenaire technologique a provoqué l’arrêt de plusieurs sites de production pendant six semaines, affectant plus de 5 000 fournisseurs et mettant en péril jusqu’à 200 000 emplois . Les chaînes d’approvisionnement interconnectées multiplient les points d’entrée pour les attaquants, et la sécurité d’une organisation dépend désormais étroitement de celle de ses partenaires.

Ce constat pousse les donneurs d’ordre à durcir leurs exigences : clauses contractuelles renforcées, questionnaires de sécurité détaillés, audits fournisseurs intrusifs. La directive NIS 2 impose explicitement d’évaluer la posture de sécurité de chaque sous-traitant sur 18 secteurs critiques. Le règlement DORA va encore plus loin pour le secteur financier, avec une gestion rigoureuse des risques liés aux prestataires TIC, un registre obligatoire et des clauses contractuelles harmonisées au niveau européen.

La conséquence est un effet domino : même les organisations non directement soumises à ces réglementations se retrouvent concernées dès lors qu’elles fournissent des services à une entité régulée. Un éditeur de logiciels, un hébergeur ou un prestataire de maintenance doit désormais apporter la preuve formelle de son engagement en matière de sécurité de l’information. C’est précisément là que la question de la certification prend tout son sens.

ISO 27001 : une norme mondialement reconnue qui inspire confiance

La norme ISO/IEC 27001 n’est pas un simple label. C’est un outil stratégique pour sécuriser les données, renforcer les processus internes et inspirer la confiance des parties prenantes. En 2024, ce sont 96 709 organisations dans le monde qui étaient certifiées, avec une croissance annuelle de 15,2 %. Elle définit les exigences pour établir un SMSI (Système de Management de la Sécurité de l’Information) couvrant les aspects organisationnels, techniques, humains et physiques de la sécurité.

Son atout majeur réside dans son mécanisme de certification par un organisme tiers accrédité le COFRAC en France. Contrairement à une auto-évaluation, la certification résulte d’un audit rigoureux en deux phases : revue documentaire puis évaluation sur site avec preuves concrètes. Cette impartialité est décisive pour les donneurs d’ordre : un certificat ISO 27001 n’est pas une déclaration unilatérale, mais une évaluation objective et indépendante.

L’ISO 27001 impose également un cadre exigeant. Dans sa version 2022, l’Annexe A regroupe 93 mesures de sécurité réparties en quatre thématiques. Mais surtout, la norme exige de documenter ses pratiques, de les prouver et de les améliorer continuellement à travers des audits internes, des revues de direction et des actions correctives. Sans cette rigueur, pas de certification possible. C’est précisément cette exigence qui confère à l’ISO 27001 sa crédibilité auprès des donneurs d’ordre.

Comment la certification ISO 27001 fait la différence dans un appel d’offre

En 2026, la certification ISO 27001 devient un critère de pré-sélection, voire éliminatoire. Un appel d’offre récent portant sur des prestations SAP, d’une valeur de 230 millions d’euros, exige explicitement une attestation ISO 27001 comme condition de recevabilité. Dans la finance, la santé, l’énergie ou les services numériques, la tendance est identique.

Une organisation certifiée dispose d’un avantage décisif face aux questionnaires de sécurité : son SMSI couvre l’ensemble des thématiques attendues à travers les 93 mesures de l’Annexe A. La documentation est formalisée, les politiques en place, les preuves d’audit disponibles. Répondre à un questionnaire devient un exercice de compilation plutôt qu’un chantier de construction. Les entreprises certifiées constatent d’ailleurs que leurs clients demandent moins d’audits supplémentaires, la certification simplifiant la démonstration de conformité.

L’impact commercial est mesurable : 88 % des entreprises certifiées reconnaissent que la démarche a renforcé leurs relations clients et fidélisé des partenaires. Le retour d’expérience de la société ARTEVA, accompagnée par Fidens dans sa démarche de certification, illustre cette dynamique : l’entreprise a ouvert un nouveau chapitre de son développement grâce à l’ISO 27001, accédant à des marchés auparavant fermés. À l’inverse, les entreprises non certifiées s’exposent à un risque croissant d’exclusion dès la pré-sélection, indépendamment de la qualité technique de leur proposition.

Au-delà de l’appel d’offre : les bénéfices durables de la certification ISO 27001

L’impact de la certification se mesure d’abord sur le terrain opérationnel : 89 % des entreprises constatent une réduction significative de leurs incidents de sécurité après la mise en place de leur SMSI. Ce chiffre s’explique par la rigueur du cadre imposé : identification systématique des risques, mesures de protection adaptées, plans d’intervention documentés et testés régulièrement.

La certification constitue également un accélérateur de conformité réglementaire. Une entreprise certifiée couvre déjà 70 à 80 % des exigences de NIS 2 et de DORA, sous réserve d’adapter le périmètre. L’approche intégrée permet de mutualiser les analyses de risques, de rationaliser la documentation et de réduire les coûts d’audit. Pour les organisations soumises à plusieurs cadres réglementaires, l’ISO 27001 devient le pivot central d’une stratégie de conformité unifiée.

Les bénéfices dépassent la sécurité informatique : 83 % des certifiés reconnaissent que la norme a structuré leurs processus internes. Les entreprises constatent aussi une réduction de leurs primes d’assurance cyber de 10 à 30 %. Dans un contexte où 69 % des DSI considèrent la cybersécurité comme leur priorité principale, la certification n’est plus un luxe réservé aux grands groupes mais un investissement stratégique qui transforme la contrainte sécuritaire en levier de performance.

Conclusion

La certification ISO 27001 n’est plus une option pour les organisations qui souhaitent rester compétitives. Face aux cyberattaques par la supply chain et au durcissement réglementaire, les donneurs d’ordre exigent des preuves tangibles de maturité cyber. L’ISO 27001 y répond : norme mondialement reconnue, certifiée par un organisme indépendant, elle atteste d’un cadre structuré, documenté et continuellement amélioré.

Ses bénéfices vont bien au-delà de l’appel d’offre : réduction des incidents, couverture de 70 à 80 % des exigences NIS 2 et DORA, fidélisation client et baisse des primes d’assurance. La certification transforme la contrainte sécuritaire en levier de croissance et de différenciation.Fidens, filiale cybersécurité du groupe TVH Consulting, est le spécialiste de l’ISO 27001. Avec plus de 200 sociétés accompagnées et 30 consultants certifiés Lead Implementor et Lead Auditor, Fidens propose un accompagnement sur-mesure adapté à chaque contexte de l’état des lieux initial à la préparation de l’audit, en passant par le déploiement du logiciel de pilotage APOS.

Seulement 41 % des dirigeants français déclarent comprendre réellement les exigences de la directive NIS2. Pourtant, cette réglementation européenne place la cybersécurité au cœur des responsabilités du COMEX — et non plus uniquement entre les mains du DSI ou du RSSI. Jusqu’ici, la plupart des organisations traitaient la sécurité informatique comme un sujet purement technique, délégué aux équipes IT ou à un prestataire externe. Ce temps est révolu.

Avec l’article 20 de la directive NIS2, les organes de direction deviennent personnellement responsables de l’approbation, de la supervision et de la compréhension des mesures de gestion des risques cyber. Concrètement, chaque dirigeant d’une entité concernée doit suivre une formation obligatoire pour être en mesure d’identifier les menaces et d’évaluer les pratiques de sécurité de son organisation. Il ne s’agit plus d’une bonne pratique : c’est une obligation légale, vérifiable et sanctionnable.

Ce texte décrypte ce que la directive NIS2 et ses implications pour votre organisation imposent précisément aux dirigeants, les sanctions encourues en cas de manquement et les étapes concrètes pour atteindre la conformité NIS2 avant l’échéance de la loi Résilience, attendue au second semestre 2026.

Ce que dit vraiment l’article 20 de NIS2

L’article 20 de la directive (UE) 2022/2555 pose un cadre sans ambiguïté. Il impose aux organes de direction des entités essentielles et importantes deux obligations distinctes. La première : approuver formellement les mesures de gestion des risques prévues à l’article 21 (politiques de sécurité, plans de continuité, gestion des incidents). La seconde : suivre une formation permettant d’acquérir les connaissances suffisantes pour identifier les risques cyber et évaluer leur impact sur l’activité de l’organisation.

Ce double impératif marque une rupture nette avec les réglementations précédentes. Il ne suffit plus de signer un document de politique de sécurité rédigé par le RSSI. Le dirigeant doit comprendre ce qu’il approuve, être capable de poser les bonnes questions et de superviser la mise en œuvre effective des mesures. En France, la transposition via la loi Résilience — adoptée au Sénat le 12 mars 2025 et votée en commission spéciale à l’Assemblée nationale le 10 septembre 2025 — confirme cette exigence. Le périmètre concerne entre 15 000 et 18 000 organisations françaises, classées en entités essentielles (plus de 250 salariés ou CA supérieur à 50 M€) et en entités importantes (plus de 50 salariés ou CA supérieur à 10 M€), réparties sur 18 secteurs d’activité.

Une responsabilité personnelle, non délégable

Le point le plus structurant de l’article 20 tient au caractère non délégable de cette responsabilité. Un directeur général peut confier l’exécution opérationnelle de la cybersécurité à un RSSI interne ou externalisé. Il peut mandater un prestataire pour déployer les solutions techniques. Mais il ne peut pas transférer sa responsabilité de supervision et de formation.

Prenons l’exemple hypothétique d’une ETI industrielle de 300 salariés, classée entité importante. Son PDG ne pourra pas se retrancher derrière le fait que « le sujet est géré par l’IT ». En cas de contrôle de l’ANSSI, c’est bien la preuve de sa formation personnelle et de son implication dans la gouvernance cyber qui sera exigée. Les membres du COMEX, les administrateurs et les gérants sont donc directement exposés.

Quelles sanctions en cas de manquement ?

Les conséquences d’un défaut de conformité sont à la fois organisationnelles et personnelles, et les montants en jeu méritent l’attention de tout dirigeant. Pour les entités essentielles, les amendes administratives peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel — le montant le plus élevé étant retenu. Pour les entités importantes, le plafond s’établit à 7 millions d’euros ou 1,4 % du CA mondial.

La dimension la plus inédite de NIS2 concerne les sanctions personnelles. L’autorité de contrôle peut demander l’interdiction temporaire d’exercer des fonctions de direction pour un dirigeant qui n’aurait pas respecté ses obligations de gouvernance et de formation. Cette mesure, sans précédent dans le droit européen de la cybersécurité, change radicalement la perception du risque. Un DG de PME qui néglige de se former ne met plus seulement son entreprise en danger : il engage sa propre carrière.

À ces sanctions administratives s’ajoutent les risques de responsabilité civile en cas de négligence grave ayant conduit à un incident, ainsi que la publication nominative des sanctions — un impact réputationnel considérable pour l’entreprise comme pour le dirigeant concerné. À titre d’illustration hypothétique : dans le secteur de la santé, si le dirigeant n’a jamais suivi de formation cyber et qu’une fuite de données patients survient, la publication de la sanction pourrait suffire à compromettre durablement la relation commerciale avec les partenaires — au-delà même de la nécessité d’anticiper et gérer un incident cyber.

La promulgation de la loi Résilience est attendue au second semestre 2026, avec une mise en conformité progressive entre 2026 et 2028 et des premiers contrôles ciblés sur les entités essentielles dès 2027. Le calendrier ne laisse plus de place à l’attentisme.

Qu’est-ce qu’une formation NIS2 pour dirigeants en pratique ?

Un malentendu revient souvent : la formation NIS2 pour dirigeants ne vise pas à transformer un PDG en expert technique. Il ne s’agit ni d’apprendre à configurer un pare-feu, ni de passer une certification de RSSI. L’objectif est de donner aux membres de la direction les clés pour identifier les risques cyber, comprendre les pratiques de gestion des risques et évaluer l’impact business d’un incident de sécurité.

En pratique, une formation conforme doit couvrir plusieurs domaines : la cartographie des menaces pesant sur l’organisation, les fondamentaux de la gouvernance cyber, la gestion et la notification des incidents, le cadre réglementaire applicable et la sécurité de la chaîne d’approvisionnement. L’investissement en temps est estimé entre 4 et 8 heures par dirigeant et par an, avec une session initiale plus structurée de 1 à 5 jours selon le format retenu.

Plusieurs formats répondent à ces exigences. Les briefings au niveau du COMEX permettent une sensibilisation ciblée en quelques heures. Les ateliers intra-entreprise (1 à 2 jours) offrent le meilleur équilibre entre pertinence contextuelle et profondeur de contenu. Les formations certifiantes (3 à 5 jours), dispensées par des organismes agréés, constituent la preuve de conformité la plus solide. Des exercices de crise guidés peuvent compléter le dispositif, en confrontant les dirigeants à des scénarios réalistes d’attaque.

Un point à ne pas négliger : la traçabilité est obligatoire. Les preuves de formation — certificats, attestations de présence, procès-verbaux de COMEX mentionnant la cybersécurité — doivent être documentées et conservées en vue d’un éventuel contrôle de l’ANSSI. Cette exigence documentaire rejoint d’ailleurs les principes de vos obligations de documentation et de traçabilité que l’on retrouve dans les référentiels ISO 27001. Les nouveaux dirigeants disposent d’un délai de six mois après leur nomination pour compléter leur formation initiale.

Comment financer cette formation ?

Le coût ne devrait pas constituer un frein, en particulier pour les PME. Plusieurs dispositifs de financement sont mobilisables. Les OPCO (Opérateurs de Compétences, organismes qui financent la formation professionnelle) peuvent prendre en charge jusqu’à 100 % des frais pour les entreprises de moins de 50 salariés, avec des budgets pouvant atteindre 8 000 € HT par an. Le CPF (Compte Personnel de Formation) permet de compléter le financement, tandis que les FAF (Fonds d’Assurance Formation) couvrent les dirigeants non salariés (TNS). Des aides régionales et le FNE-Formation peuvent également intervenir, couvrant entre 40 et 70 % du coût pédagogique pour les entreprises engagées dans une transformation numérique.

La condition à remplir : l’organisme de formation doit être certifié Qualiopi, gage de qualité reconnu par les financeurs publics. Le budget moyen d’un programme de formation pour dirigeant se situe entre 500 et 2 000 euros par personne et par an. Pour de nombreuses PME, le reste à charge peut donc être nul ou très faible.

Plan d’action concret : se mettre en conformité avant fin 2026

L’échéance approche, mais la démarche reste parfaitement atteignable pour toute organisation qui s’y engage maintenant. Voici les cinq étapes pour structurer votre mise en conformité.

Étape 1 — Vérifier son éligibilité.

L’ANSSI met à disposition l’outil MonEspaceNIS2 (accessible sur messervices.cyber.gouv.fr) qui permet d’évaluer en quelques minutes si votre organisation est concernée par la directive et d’identifier sa catégorie : entité essentielle ou entité importante. C’est le point de départ. À titre d’exemple hypothétique, une société de services numériques de 80 salariés réalisant 15 M€ de chiffre d’affaires sera très probablement classée entité importante et donc soumise à l’ensemble des obligations de l’article 20.

Étape 2 — Formaliser la gouvernance cyber.

Désignez un pilote NIS2 au sein de la direction. Produisez une note de gouvernance validée par le COMEX — deux pages suffisent — qui formalise les rôles, les responsabilités et les processus de décision en matière de cybersécurité. Ce document constitue la première preuve tangible de l’engagement de la direction.

Étape 3 — Planifier la formation des dirigeants.

Identifiez un organisme certifié Qualiopi proposant des formations adaptées aux profils non techniques. Anticipez les délais d’inscription (les demandes de prise en charge OPCO doivent être déposées 15 à 30 jours avant le début de la formation) et bloquez les créneaux dans les agendas du COMEX dès maintenant. La première année suivant l’entrée en vigueur des textes, les autorités privilégieront l’accompagnement plutôt que les amendes, mais les preuves d’une démarche engagée seront déterminantes.

Étape 4 — Documenter les preuves.

Conservez systématiquement les PV de COMEX mentionnant la cybersécurité, les certificats de formation, les décisions formalisées d’arbitrage des risques et les comptes rendus d’exercices de crise. Cette documentation sera votre meilleur atout en cas de contrôle ANSSI.

Étape 5 — S’appuyer sur un RSSI externalisé si nécessaire.

Toutes les organisations ne disposent pas des ressources internes pour piloter une telle démarche. Pour les PME et ETI sans équipe cybersécurité dédiée, faire appel à un RSSI externalisé permet de bénéficier d’une expertise opérationnelle immédiate : pilotage de la conformité, accompagnement à la formation des dirigeants, mise en place de la documentation et préparation aux contrôles.

Le référentiel ReCyF, publié par l’ANSSI le 17 mars 2026, structure 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes. Non obligatoire par défaut, il constitue un outil de référence utile pour structurer votre feuille de route — et les entités qui l’appliquent pourront s’en prévaloir lors des contrôles.

FAQ

Ce qu’il faut retenir

La directive NIS2 change en profondeur la relation entre dirigeants et cybersécurité. La formation des organes de direction n’est plus optionnelle ni une simple case à cocher : c’est une obligation légale, personnelle et traçable qui engage directement la responsabilité de chaque membre du COMEX. Les sanctions — financières, professionnelles et réputationnelles — sont à la hauteur de l’enjeu.

Avec la promulgation de la loi Résilience attendue au second semestre 2026 et les premiers contrôles ciblés prévus dès 2027, le calendrier ne laisse plus de marge. Les organisations qui engagent dès maintenant leur démarche — vérification d’éligibilité, formalisation de la gouvernance, planification des formations — bénéficieront de la posture d’accompagnement privilégiée par l’ANSSI durant la première année.

Pour structurer votre démarche de conformité NIS2 et accompagner vos dirigeants dans cette transition, Fidens — la marque cybersécurité de TVH Consulting — propose un accompagnement sur mesure : audit de maturité, formation des dirigeants, pilotage par un RSSI externalisé et préparation aux contrôles. Prenez contact avec nos experts pour évaluer votre situation et définir ensemble votre feuille de route.

En 2026, 68 % des collaborateurs utilisent des outils d’intelligence artificielle générative au travail sans en informer leur hiérarchie. ChatGPT, Copilot, Claude : ces assistants font désormais partie du quotidien professionnel, souvent sans cadre ni autorisation formelle. Cette adoption silencieuse — que les experts désignent sous le terme de shadow AI — expose les entreprises à des risques juridiques, réputationnels et cyber bien réels.

Quand la gouvernance des risques numériques figure en tête des priorités, encadrer l’usage de l’IA générative devient un choix stratégique. La charte IA entreprise répond précisément à ce besoin : elle définit ce que les collaborateurs peuvent faire, ce qui est interdit et ce qui nécessite une validation. Ce guide vous explique ce qu’elle recouvre, pourquoi l’AI Act, le RGPD et NIS2 la rendent aujourd’hui nécessaire, et comment la construire dans votre organisation.

Qu’est-ce qu’une charte IA et à quoi sert-elle concrètement ?

Un document de gouvernance, pas un simple texte RH

La charte IA est un document interne qui fixe les règles d’usage des outils d’intelligence artificielle pour l’ensemble des collaborateurs. Elle précise quels outils sont autorisés, lesquels sont interdits, lesquels nécessitent une validation préalable. Elle définit les règles de confidentialité applicables aux données saisies dans les prompts, les obligations de supervision humaine sur les contenus générés, et les sanctions encourues en cas de manquement.

Ce n’est pas un frein à l’innovation. La charte IA structure la transformation numérique en offrant un cadre clair qui sécurise les usages tout en permettant aux équipes d’exploiter pleinement ces outils. Selon une étude KPMG, 86 % des grandes entreprises avaient déjà validé une charte d’usage responsable de l’IA en 2026. La majorité des PME, elles, n’en disposent pas encore — ou ne la font pas vivre.

Les risques qu’elle prévient

Le premier est celui du shadow AI : l’usage non déclaré d’outils d’IA par les équipes, en dehors du périmètre de la DSI. Les chiffres sont parlants — 80 % des organisations n’ont pas de vision claire de l’utilisation de l’IA par leurs collaborateurs. Ce phénomène rend impossible toute maîtrise des flux de données.

Le deuxième risque concerne les fuites de données. Des collaborateurs injectent quotidiennement des données confidentielles, des informations clients ou des éléments stratégiques dans des outils tiers non maîtrisés. Une étude récente indique que 54 % des outils shadow AI détectés avaient ingéré des données sensibles, dont du code source et des documents internes réglementés.

Le troisième risque est celui de la responsabilité juridique. L’entreprise reste responsable des contenus produits par ses salariés, y compris lorsqu’ils sont générés par une IA. Sans politique formalisée, cette responsabilité est d’autant plus difficile à défendre en cas de litige.

AI Act, RGPD, NIS2 : le cadre réglementaire qui rend la charte IA nécessaire

L’AI Act : des obligations concrètes dès 2025

Le règlement européen sur l’intelligence artificielle — l’AI Act (UE 2024/1689) — est entré en vigueur le 1er août 2024 et sera pleinement applicable le 2 août 2026. Son article 4 impose, depuis février 2025, une obligation de compétences IA pour toute organisation qui déploie ou utilise des systèmes d’IA. Concrètement, cela implique de documenter une politique d’usage interne — autrement dit, une charte IA.

Les jalons sont désormais bien établis : les pratiques interdites (notation sociale, manipulation subliminale) sont effectives depuis février 2025 ; les obligations relatives aux modèles d’IA à usage général (GPAI) s’appliquent depuis août 2025 ; l’application complète pour les systèmes à haut risque interviendra en août 2026. Les premiers contrôles par les autorités nationales — CNIL, DGCCRF, ARCOM — sont attendus dès le second semestre 2026.

Les sanctions ne sont pas symboliques : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour les manquements aux obligations des systèmes à haut risque, et jusqu’à 35 millions d’euros ou 7 % du CA pour les pratiques interdites. Fait notable, 78 % des entreprises françaises n’avaient pas encore engagé de démarche de conformité à l’AI Act.

RGPD et NIS2 : deux textes qui renforcent l’obligation

Le RGPD ne mentionne pas explicitement la charte IA, mais son article 32 impose des « mesures techniques et organisationnelles appropriées » pour garantir la sécurité du traitement des données personnelles. La charte IA constitue précisément l’une de ces mesures organisationnelles. Elle documente la façon dont l’entreprise encadre les flux de données personnelles vers les outils d’IA générative.

Du côté de la directive NIS2, dont la transposition française via la loi Résilience est attendue courant 2026, l’article 21 exige une gouvernance documentée des risques numériques pour les entités essentielles et importantes — soit environ 15 000 entités en France. L’usage non encadré de l’IA générative entre pleinement dans ce périmètre.

Un point pratique mérite l’attention des décideurs : les cyberassureurs intègrent désormais la gouvernance IA dans leurs questionnaires de souscription. Plusieurs ont déjà refusé d’indemniser des sinistres liés à des fuites via ChatGPT en l’absence de charte documentée. Les entreprises sans politique IA formalisée subissent une hausse de prime de 15 à 20 %, tandis que celles qui prouvent leur conformité bénéficient de réductions de 50 à 60 %.

Les 8 clauses d’une charte IA efficace

Le socle de base (clauses 1 à 4)

La première clause porte sur le périmètre et les définitions. Elle précise quels outils sont concernés, quels usages sont visés et quels collaborateurs sont soumis à la charte. Cette clarification initiale évite les zones grises qui, dans la pratique, génèrent l’essentiel des incidents. Les audits montrent qu’avant la mise en place d’une charte, 90 % des ETI utilisaient entre 15 et 40 outils IA différents, dont 80 % relevaient de comptes personnels.

La deuxième clause établit la liste des outils autorisés et interdits. Il faut distinguer les versions grand public des versions entreprise disposant de garanties contractuelles en matière de confidentialité et de non-réutilisation des données. ChatGPT en version gratuite, par exemple, n’offre pas les mêmes garanties que ChatGPT Enterprise ou un accès via Azure OpenAI.

La troisième clause fixe les règles de confidentialité. Elle interdit formellement la saisie de données personnelles, de secrets d’affaires, d’informations clients ou de tout élément stratégique dans les prompts. Cette clause est directement liée à la conformité RGPD et constitue le rempart le plus concret contre les fuites de données.

La quatrième clause concerne la supervision humaine. Toute production issue d’un outil d’IA doit être relue, vérifiée et validée par un collaborateur avant diffusion ou utilisation. Cette obligation s’inscrit dans l’esprit de l’article 50 de l’AI Act, qui impose des obligations de transparence sur les contenus générés par IA.

La gouvernance et la durabilité (clauses 5 à 8)

La cinquième clause traite de la propriété intellectuelle. Elle clarifie la titularité des contenus générés par IA et les conditions dans lesquelles ils peuvent être réutilisés, publiés ou intégrés dans des livrables clients. Sans cette clause, les litiges sur la paternité des productions se multiplient.

La sixième clause traduit les obligations de conformité RGPD et AI Act en consignes opérationnelles quotidiennes. Elle rend les exigences réglementaires lisibles et applicables par les équipes métiers.

La septième clause prévoit des sanctions disciplinaires graduées, de l’avertissement au licenciement pour faute grave. Pour être juridiquement opposable, la charte doit être annexée au règlement intérieur après consultation du CSE. C’est une condition sine qua non de son effectivité.

La huitième clause organise la gouvernance et la mise à jour. Elle désigne un référent IA, prévoit un comité de suivi trimestriel et impose une révision formelle du document au minimum une fois par an. L’IA générative évolue si vite qu’une charte rédigée en 2024 peut être obsolète dès 2026.

Comment déployer une charte IA en entreprise : méthode en 5 étapes

Le déploiement d’une charte IA ne s’improvise pas. Voici une méthode structurée en cinq étapes, éprouvée auprès de nos clients, qui garantit à la fois la conformité réglementaire et l’adoption effective par les équipes.

Première étape : l’audit des usages existants (1 à 2 semaines). Il s’agit de cartographier l’ensemble des outils d’IA déjà utilisés par les collaborateurs, y compris ceux relevant du shadow AI. Cet état des lieux réserve souvent des surprises : selon France Num, 55 % des PME avaient engagé un projet d’intelligence artificielle en 2025, mais la plupart sans cadre formalisé. L’audit mesure l’écart entre les pratiques réelles et le niveau de gouvernance attendu.

Deuxième étape : les ateliers de co-construction (2 à 3 ateliers). Impliquer la DSI, le DPO, les RH et les représentants métiers est nécessaire. Une charte imposée d’en haut, sans concertation, n’est jamais adoptée. Ces ateliers permettent de recueillir les besoins opérationnels, d’identifier les cas d’usage légitimes et de définir des règles réalistes.

Troisième étape : la relecture juridique. Le DPO et un expert en droit du numérique vérifient l’alignement du document avec l’AI Act, le RGPD et NIS2. Cette étape garantit que la charte sera opposable en cas de contrôle ou de contentieux.

Quatrième étape : la validation et la communication. Les instances du personnel (CSE, délégués syndicaux, etc.) sont consultées, puis le COMEX ou la direction générale valide le document. Celui-ci fait ensuite l’objet d’une signature individuelle par chaque collaborateur. La diffusion par simple e-mail collectif ne suffit pas : elle n’a aucune valeur juridique probante.

Cinquième étape : la formation et l’animation. Des ateliers de sensibilisation sont organisés par service, des ambassadeurs IA sont désignés et un calendrier de révision est mis en place. C’est cette animation continue qui fait la différence entre une charte vivante et un document oublié dans un tiroir.

En termes de délais, une PME peut raisonnablement déployer sa charte en 4 à 6 semaines. Pour une ETI, le processus s’étend généralement sur 2 à 3 mois en raison de la complexité organisationnelle. Un avertissement s’impose : une charte copiée-collée depuis un modèle générique, non adaptée au contexte de l’entreprise, a peu de valeur — ni juridique, ni opérationnelle.

Charte IA et cybersécurité : un levier de maturité pour le RSSI

Pour le RSSI (Responsable de la Sécurité des Systèmes d’Information), la charte IA n’est pas un document isolé. Elle s’intègre dans la politique de sécurité globale de l’organisation et complète la charte informatique existante. Les deux documents sont complémentaires : la charte informatique encadre l’usage général des outils numériques, la charte IA traite spécifiquement des risques liés à l’IA générative.

Le lien avec la norme ISO/IEC 42001 (premier standard international dédié au management de l’intelligence artificielle) est direct, mais il serait inexact d’assimiler la charte IA à la « Politique IA » exigée par la clause 5.2 de ce référentiel : les deux documents répondent à des logiques et des exigences distinctes, notamment dans le contexte ISO 42001. En mars 2026, les demandes d’audit ISO 42001 en France avaient progressé de 300 % depuis l’entrée en application de l’AI Act [12]. Les organisations certifiées constatent une réduction moyenne de 40 % des incidents liés à l’IA.

L’argument est solide : une charte documentée réduit la surface d’attaque liée au shadow AI, facilite les audits de conformité et renforce la confiance des clients, partenaires et assureurs. En 2025, 62 % des appels d’offres B2B exigeaient déjà une gouvernance de l’IA documentée.

FAQ

La charte informatique encadre l’usage général des outils numériques au sein de l’entreprise. La charte IA va plus loin en traitant les risques propres à l’intelligence artificielle générative : fuites de données dans les prompts, supervision humaine obligatoire, propriété intellectuelle des contenus générés, conformité à l’AI Act. Les deux documents sont complémentaires et doivent s’articuler de façon cohérente dans la politique de sécurité globale.

Pour aller plus loin

En 2026, la charte IA entreprise est un outil de gouvernance, de protection des données et de maturité cyber qui s’impose à toute organisation utilisant des outils d’intelligence artificielle — ce qui concerne désormais la grande majorité des entreprises françaises.

La convergence de l’AI Act, du RGPD et de NIS2 crée un cadre réglementaire exigeant, mais aussi une opportunité : structurer vos usages de l’IA pour les exploiter en toute sécurité. Nos équipes chez TVH Consulting accompagnent les décideurs — DSI, RSSI, DPO — dans l’élaboration et le déploiement de chartes IA adaptées à leur contexte sectoriel et organisationnel. Contactez-nous pour évaluer votre maturité IA et définir ensemble les prochaines étapes.

Obligatoire depuis fin 2024, le Cadre de Conformité Cybersécurité France (3CF) impose à tous les acteurs de l’aviation civile française de démontrer leur conformité aux exigences de cybersécurité. Mais concrètement, que vérifient les inspecteurs de la DGAC lors de leurs audits ? Comment s’y préparer efficacement sans perdre de temps sur des aspects secondaires ?

Décryptage des points de contrôle réels, basé sur le référentiel 3CF version 3 et les retours d’expérience terrain.

Comprendre la logique de l’audit 3CF

L’audit 3CF n’est pas un audit purement technique. Les inspecteurs de la DSAC (Direction de la Sécurité de l’Aviation Civile) recherchent autre chose.

Leur priorité : vérifier que votre gouvernance cybersécurité fonctionne réellement. Que votre Système de Management de la Sécurité de l’Information (SMSI) existe et qu’il est opérationnel. Que vous gérez vos risques cyber de manière continue. Que vous respectez les exigences réglementaires spécifiques au secteur aérien.

L’approche ressemble à celle d’un audit de Système de Gestion de la Sécurité (SGS) : les auditeurs veulent la preuve que votre système fonctionne, pas seulement qu’il existe sur le papier.

Ce qui distingue radicalement le 3CF de l’ISO 27001

Si le 3CF s’inspire de l’ISO 27001, il impose des contraintes spécifiques au secteur aérien qui changent profondément la donne. Quatre différences majeures rendent impossible de se contenter d’un SMSI classique.

L’interconnexion obligatoire entre SMSI et SGS

Votre SMSI ne peut pas vivre en vase clos. Le 3CF impose une articulation étroite avec votre Système de Gestion de la Sécurité aérienne. Concrètement, cela signifie que le moindre changement de votre SMSI doit s’interconnecter avec le processus de gestion des changements de la sécurité aérienne.

Toute modification du SMSI nécessitant l’approbation préalable de la DSAC doit être notifiée avant sa mise en œuvre. Cela concerne les changements majeurs de la chaîne de responsabilité SMSI (responsable SMSI, responsable de la conformité), les modifications majeures de la politique de sécurité de l’information ayant un impact potentiel sur la sécurité aérienne, les évolutions importantes de la procédure de gestion des changements SMSI.

Cette exigence n’existe pas dans l’ISO 27001. Vous ne pouvez pas faire évoluer votre SMSI de manière autonome comme dans d’autres secteurs.

Un périmètre imposé par la réglementation

Avec l’ISO 27001, vous définissez librement le périmètre de votre SMSI en fonction de vos enjeux métier. Avec le 3CF, pas le choix : le périmètre est fixé par la réglementation.

Vous devez identifier l’ensemble des fonctions essentielles pour la sûreté et la sécurité aérienne. Les annexes II et III du référentiel 3CF listent ces fonctions de manière exhaustive. Pour un aéroport : contrôle d’accès aux zones critiques, inspection-filtrage des passagers et bagages, protection des données sensibles (contrôles d’antécédents, données supply chain), détection et interception de drones. Pour une compagnie aérienne : gestion de la configuration des aéronefs, planification et allocation des vols, gestion des données de vol, accès aux informations de vol critiques.

Vous devez ensuite cartographier tous les systèmes d’information qui contribuent à ces fonctions. Ce n’est pas négociable. Vous ne pouvez pas exclure un système critique de votre périmètre SMSI sous prétexte qu’il est complexe à sécuriser.

Des vérifications d’antécédents renforcées

Le 3CF impose deux niveaux de vérification selon que vous traitez de sûreté ou de sécurité aérienne.

Pour le personnel intervenant sur les systèmes critiques de sûreté (ceux identifiés lors de votre analyse de risques sûreté), les vérifications d’antécédents sont renforcées. Ces personnes doivent disposer d’une autorisation préfectorale valide (badge d’accès en zone réglementée de sûreté ou autorisation sans badge). L’organisme doit vérifier leur parcours professionnel, leur formation et les interruptions éventuelles sur les 5 dernières années dans tous les pays de résidence. Ces vérifications doivent être renouvelées tous les 12 mois maximum.

Pour le personnel intervenant sur les systèmes critiques de sécurité aérienne, l’organisme définit sa propre politique de contrôle de fiabilité. Cette politique identifie les catégories de personnel en fonction de leur niveau de risque pour la sécurité aérienne. Les mesures de contrôle sont proportionnelles : vérification d’identité minimale pour tous, vérification approfondie du parcours pour les postes à risque élevé.

Cette double exigence sûreté/sécurité n’existe pas dans l’ISO 27001. Elle reflète la réalité opérationnelle du secteur aérien où une cyberattaque peut compromettre à la fois la sûreté (ligne frontière Schengen d’un aéroport international) et la sécurité (intégrité des données de navigabilité).

Un Dirigeant Responsable unique

Le 3CF impose que le Dirigeant Responsable (DR) soit la même personne pour le SGS et le SMSI. Cette personne dispose de l’autorité et des moyens techniques et financiers pour maintenir la conformité aux exigences réglementaires.

Le DR peut déléguer ses activités au titre de la Partie-IS (cybersécurité) à une Personne Responsable Commune (PRC) lorsque l’organisme partage des structures organisationnelles, politiques, processus et procédures de sécurité de l’information avec d’autres organisations ou d’autres périmètres de sa propre organisation. Mais même dans ce cas, le DR reste le garant final.

Les auditeurs vérifient systématiquement lors de leurs entretiens avec le DR et, le cas échéant, la PRC que la coordination entre sécurité aérienne et cybersécurité fonctionne réellement. Que les mesures nécessaires à la bonne coordination de l’ensemble des activités sont en place.

Les 8 piliers de l’audit 3CF

Le référentiel 3CF version 3 (juillet 2025) structure l’audit autour de 8 chapitres. Chacun fait l’objet de vérifications spécifiques.

1.     Gouvernance : l’engagement du Dirigeant Responsable

Les auditeurs vérifient l’existence d’un engagement formel et signé du Dirigeant Responsable (Accountable Manager) sur la mise en œuvre du SMSI. Ils examinent la définition d’une politique de sécurité de l’information approuvée par le DR. Ils analysent la cohérence entre la stratégie cyber et la stratégie globale de l’organisation. Ils s’assurent de l’allocation de ressources suffisantes pour gérer la cybersécurité.

Les auditeurs organisent systématiquement un entretien avec le Dirigeant Responsable pour vérifier sa compréhension réelle de ses responsabilités. Un DR qui ne maîtrise pas les enjeux cyber de son organisation est un signal d’alarme immédiat.

Preuves attendues : lettre d’engagement du DR intégrée au manuel SMSI, politique de sécurité de l’information datée et signée, compte-rendus de comités de direction mentionnant la cybersécurité, budget alloué à la cybersécurité.

2.     Gestion des risques : le cœur du réacteur

Les auditeurs vérifient l’identification des fonctions essentielles pour la sûreté et la sécurité aérienne. Les annexes II et III du 3CF listent ces fonctions. Ils examinent la cartographie des systèmes d’information contribuant à ces fonctions. Ils analysent votre documentation de risques avec une méthodologie reconnue (EBIOS Risk Manager, ISO 27005). Ils vérifient votre plan de traitement des risques avec priorisation et calendrier de mise en œuvre. Ils contrôlent la traçabilité des décisions : qui a validé quoi, quand, et pourquoi.

Les auditeurs ne se contentent pas de vérifier l’existence d’une analyse de risques. Ils vérifient qu’elle est vivante : mise à jour régulière, prise en compte lors des changements, utilisée pour prendre des décisions réelles.

Preuves attendues : registre des risques cyber à jour, matrices d’évaluation (probabilité × impact), plans de traitement des risques avec responsables et échéances, comptes-rendus de comités risques.

3.     Gestion des incidents : êtes-vous prêts à réagir ?

Les auditeurs vérifient l’identification des incidents redoutés ayant un impact potentiel sur la sûreté ou la sécurité aérienne. Ils examinent les sources de collecte d’événements (logs, alertes, remontées internes). Ils analysent votre procédure de détection, qualification et notification des incidents. Ils contrôlent les délais de notification à la DGAC via ECCAIRS 2 pour les incidents ayant un impact significatif sur la sécurité aérienne. Ils vérifient vos procédures de réponse et de récupération en cas d’incident.

La notification à la DGAC est une obligation réglementaire stricte. Les auditeurs vérifient que vous avez ouvert un compte ECCAIRS 2 et que vous savez l’utiliser. Ils peuvent demander à consulter vos derniers comptes-rendus d’incidents.

Preuves attendues : procédure de gestion des incidents documentée, registre des incidents (même si aucun incident majeur n’est survenu), preuve d’ouverture du compte ECCAIRS 2, résultats de tests de la procédure (exercices de crise).

4.     Gestion des tiers : votre maillon faible ?

Les auditeurs vérifient la liste des organismes interfacés (fournisseurs, sous-traitants, contractants) présentant un risque cyber. Ils examinent les clauses contractuelles de cybersécurité imposées aux tiers. Ils contrôlent le suivi de la conformité des tiers aux exigences cyber. Ils vérifient les procédures de notification d’incidents entre vous et vos tiers. Ils analysent la gestion spécifique des sous-traitants SMSI si vous externalisez une partie de votre SMSI.

C’est souvent le point le plus faible des organisations. Les auditeurs sélectionnent un échantillon de contrats et vérifient la présence effective de clauses cyber. Ils interrogent vos équipes sur la manière dont elles s’assurent que les tiers respectent leurs obligations.

Preuves attendues : cartographie des tiers avec évaluation du risque cyber, modèles de clauses contractuelles cyber, contrats signés avec clauses cyber effectives, comptes-rendus de revues de la conformité des tiers.

5.     Personnel et compétences : qui fait quoi ?

Les auditeurs vérifient l’identification des personnels sensibles (administrateurs, personnels avec accès aux systèmes critiques). Ils contrôlent les vérifications d’antécédents pour le personnel sûreté (autorisation préfectorale, badge ZRR). Ils examinent votre politique de contrôle de fiabilité pour le personnel sécurité aérienne. Ils vérifient les programmes de sensibilisation à la cybersécurité. Ils analysent les formations spécifiques pour les équipes de management et opérationnelles.

Les auditeurs vérifient la traçabilité : qui a été sensibilisé quand ? Qui a suivi quelle formation ? Ils peuvent interroger des collaborateurs pour vérifier le niveau réel de sensibilisation.

Preuves attendues : liste du personnel sensible à jour, registre des autorisations préfectorales, feuilles d’émargement des sensibilisations, certificats de formation des équipes cyber.

6.     Pilotage du SMSI : montrez que ça vit

Les auditeurs vérifient le suivi de la mise en œuvre du plan de traitement des risques. Ils examinent l’évaluation de la conformité du SMSI aux exigences 3CF. Ils analysent l’évaluation de l’efficacité et de la maturité du SMSI. Ils contrôlent le processus d’amélioration continue. Ils vérifient la gestion des changements du SMSI.

Les auditeurs recherchent des tableaux de bord, des indicateurs, des revues régulières. Un SMSI qui n’a pas évolué depuis sa mise en place est suspect. Ils vérifient que vous traitez les écarts identifiés lors de vos audits internes.

Preuves attendues : tableaux de bord de suivi du SMSI, comptes-rendus de revues de direction, rapports d’audits internes, plans d’actions d’amélioration continue.

7.     Conservation des enregistrements : la mémoire du système

Les auditeurs vérifient l’existence d’une procédure de gestion documentaire. Ils contrôlent la conservation des documents clés pendant au moins 5 ans (certificats, analyses de risques, rapports d’incidents). Ils examinent la protection des documents sensibles. Ils vérifient les modalités de destruction sécurisée.

Les auditeurs peuvent demander à consulter des documents archivés pour vérifier que votre système de conservation fonctionne réellement.

Preuves attendues : procédure de gestion documentaire, registre des documents archivés, preuve de la mise en œuvre de la protection (chiffrement, contrôle d’accès).

8.     Documentation : votre manuel SMSI

Les auditeurs vérifient l’existence d’un manuel SMSI ou son intégration dans le manuel SGS. Ils contrôlent la complétude du manuel : toutes les procédures requises sont-elles présentes ? Ils analysent la cohérence entre le manuel et la réalité du terrain. Ils vérifient la traçabilité des versions et des approbations.

Un manuel SMSI copié-collé d’un modèle générique est immédiatement détecté. Les auditeurs vérifient que le manuel reflète votre organisation réelle et vos processus effectifs.

Preuves attendues : manuel SMSI approuvé par le DR, liste des procédures référencées, historique des versions du manuel.

Les spécificités selon votre type d’organisation

Le 3CF s’applique différemment selon que vous êtes compagnie aérienne, aéroport, organisme de maintenance ou CAMO.

Compagnie aérienne (AOC)

Focus particulier sur la gestion des données de vol, la protection des systèmes de planification, la cybersécurité des systèmes embarqués si applicable.

Aéroport / Héliport

Focus particulier sur la protection de la ligne frontière (zone Schengen / hors Schengen), les systèmes de sûreté (contrôle d’accès, vidéosurveillance, inspection-filtrage), la gestion des multiples interfaces avec les tiers.

Organisme de maintenance (Part-145) ou de production (Part-21G)

Focus particulier sur la protection des données techniques sensibles, la cybersécurité des équipements de test et de production, la gestion de la chaîne d’approvisionnement.

Organisme de gestion du maintien de navigabilité (CAMO)

Focus particulier sur la protection des programmes d’entretien, l’intégrité des données de navigabilité, la gestion des interfaces avec les opérateurs et les ateliers.

Qui est concerné par le 3CF ?

Le périmètre du 3CF version 3 (juillet 2025) est particulièrement large. Sont concernés tous les organismes détenant un agrément ou un certificat de sécurité aérienne.

Organismes de conception et production

Organismes de conception (DOA) soumis aux sous-parties G et J de la section A de l’annexe I (Part 21) du règlement (UE) n°748/2012. Organismes de production (POA) soumis aux mêmes exigences.

Organismes de maintenance et navigabilité

Ateliers de maintenance soumis à la section A de l’annexe II (Part-145) du règlement (UE) n°1321/2014. Organismes de gestion du maintien de la navigabilité (CAMO) soumis à la section A de l’annexe Vc (Part-CAMO) du même règlement.

Exploitants aériens

Compagnies aériennes soumises à l’annexe III (Part-ORO) du règlement (UE) n°965/2012.

Organismes de formation

Organismes de formation agréés (ATO) soumis à l’annexe VII (Part-ORA) du règlement (UE) n°1178/2011. Opérateurs de simulateurs de vol (FSTD). Organismes de formation des contrôleurs aériens (ATCO TO).

Centres aéro-médicaux

Centres aéro-médicaux des personnels de bord et des contrôleurs aériens soumis aux annexes VII (Part-ORA) du règlement (UE) n°1178/2011 et III (Part ATCO.OR) du règlement (UE) 2015/340.

Prestataires de services

Prestataires de services de navigation aérienne (ANSP) soumis à l’annexe III (Part-ATM/ANS.OR) du règlement d’exécution (UE) 2017/373. Exploitants d’aérodromes et prestataires de services de gestion d’aire de trafic soumis à l’annexe III (Part-ADR.OR) du règlement (UE) n°139/2014. Organismes de conception de procédures de vol (FPD). Prestataires de services U-space et fournisseurs de services d’information communs uniques soumis au règlement d’exécution (UE) 2021/664.

Exemptions possibles

Certains organismes peuvent bénéficier d’une dispense d’application de certaines exigences Part-IS s’ils démontrent, via une analyse de risques formalisée, qu’ils présentent un risque limité pour la sécurité aérienne. Les critères d’éligibilité sont précisés dans les communications METEOR DSAC et le Bulletin d’Information OSAC 2025-03.

Les erreurs qui déclenchent systématiquement un écart

Certaines lacunes conduisent quasi-systématiquement à la notification d’un écart par les auditeurs.

Écarts classiques de niveau 2 (à corriger sous 3 mois)

Absence de compte ECCAIRS 2 alors que l’organisme est soumis à Part-IS. Politique de Sécurité de l’Information non approuvée par le DR. Analyse de risques non documentée ou obsolète (datant de plus de 2 ans sans révision). Absence de procédure de gestion des changements du SMSI. Personnel désigné (RSC, RGS) non formellement accepté ou sans preuve de compétences. Contrats avec les tiers critiques sans clauses cyber. Absence de sensibilisation du personnel à la cybersécurité.

Écarts de niveau 1 (suspension possible de l’agrément)

Absence totale de SMSI alors que l’organisme n’est pas dispensé. Non-notification d’un incident significatif à la DGAC. Mise en œuvre d’une modification majeure du SMSI sans approbation préalable de la DGAC. Défaillance grave du système de gestion compromettant la sécurité aérienne.

Comment se préparer efficacement ?

3 mois avant l’audit

Réalisez un pré-audit interne. Utilisez la matrice de conformité 3CF pour identifier vos écarts. Le référentiel est structuré en exigences claires : créez un tableau de suivi avec pour chaque exigence le paragraphe du manuel SMSI qui y répond, les preuves de mise en œuvre, le statut (conforme / écart identifié / action en cours).

Complétez votre documentation manquante. Priorisez les documents obligatoires : manuel SMSI (ou son intégration au manuel SGS), politique de Sécurité de l’Information signée par le DR, analyse de risques à jour, plan de traitement des risques, procédure de gestion des incidents, procédure de gestion des tiers.

Formalisez vos processus existants. Souvent, vous faites déjà beaucoup de choses bien, mais elles ne sont pas documentées. Formalisez ce qui existe avant de créer de nouveaux processus.

1 mois avant l’audit

Préparez vos preuves. Constituez un dossier de preuves pour chaque exigence : comptes-rendus de comités, registres (risques, incidents, tiers), feuilles d’émargement, captures d’écran de systèmes, contrats avec clauses cyber.

Testez votre organisation. Simulez un incident cyber : votre procédure fonctionne-t-elle ? Vérifiez que votre compte ECCAIRS 2 est opérationnel. Assurez-vous que les personnes clés (DR, RSC, RGS) seront disponibles le jour J.

Sensibilisez vos équipes. Les auditeurs interrogent le personnel. Vos collaborateurs doivent connaître l’existence du SMSI, savoir à qui remonter un incident cyber, comprendre leur rôle dans la cybersécurité.

La semaine de l’audit

Organisez la logistique. Préparez une salle dédiée avec accès réseau. Rassemblez tous vos documents (version papier ET électronique). Bloquez les agendas du DR, RSC, RGS et responsables opérationnels. Désignez un coordinateur côté organisme.

Adoptez la bonne posture. Transparence : ne cachez rien, les auditeurs le découvriront de toute façon. Collaboration : l’auditeur vérifie votre conformité. Réactivité : répondez rapidement aux demandes de compléments d’information.

Le déroulé type d’un audit 3CF

Jour 1 : Réunion d’ouverture et revue documentaire

Matin : réunion d’ouverture (30 min – 1h) avec présentation de l’équipe d’audit, rappel des objectifs, confirmation du planning. Entretien avec le DR (30 min – 1h) pour vérifier son engagement et sa compréhension. Revue documentaire : examen du manuel SMSI, de la politique SI, de l’analyse de risques.

Après-midi : entretiens avec le RSC (Responsable de la Surveillance de la Conformité) et le RGS (Responsable de la Gestion de la Sécurité), revue des procédures clés, premières vérifications terrain.

Jour 2 : Audits terrain et vérifications

Visite des installations si applicable. Entretiens avec les responsables opérationnels. Échantillonnage de dossiers (incidents, contrats, formations). Vérification de la mise en œuvre effective des procédures. Tests de cohérence entre documentation et réalité.

Jour 3 : Consolidation et réunion de clôture

Matin : compléments d’investigation si nécessaire, préparation de la réunion de clôture.

Après-midi : réunion de clôture avec présentation des constats, notification des écarts éventuels, remise du compte-rendu d’intervention de surveillance (CRIS) préliminaire.

Sous 14 jours calendaires : réception du CRIS définitif avec les écarts formellement notifiés.

Après l’audit : traiter les écarts

Si des écarts vous sont notifiés, vous disposez de délais stricts pour les traiter.

Écarts de niveau 2 : 3 mois maximum

Vous devez analyser les causes racines du dysfonctionnement, proposer un plan d’actions (curatif + correctif + préventif), mettre en œuvre les actions, apporter les preuves de mise en œuvre à la DGAC.

Écarts de niveau 1 : action immédiate

En cas d’écart de niveau 1, la DGAC peut suspendre tout ou partie de votre agrément. Vous devez mettre en œuvre des actions curatives immédiates, informer la DGAC des mesures prises, démontrer le retour à un niveau de sécurité acceptable.

La levée de la suspension intervient après validation par la DGAC des actions réalisées.

Les outils qui facilitent la conformité

APOS : la solution dédiée aux aéroports

Pour les aéroports et les organisations complexes, la solution APOS (Assistance au Pilotage des Objectifs de Sécurité) intègre le référentiel 3CF. Elle permet de gérer votre conformité en temps réel, générer automatiquement les tableaux de bord attendus par la DGAC, suivre vos plans d’actions, préparer vos audits avec une vision consolidée.

L’avantage : fini les fichiers Excel dispersés et difficiles à maintenir. Tout est centralisé, traçable, partageable.

L’auto-évaluation : un passage obligé

Avant tout audit DGAC, réalisez une auto-évaluation complète en utilisant la matrice de conformité du référentiel 3CF. Cet exercice vous permet d’identifier vos écarts en amont, prioriser vos actions, constituer votre dossier de preuves, rassurer votre direction sur le niveau de préparation.

Les questions que posent systématiquement les auditeurs

Préparez vos réponses à ces questions récurrentes.

Au Dirigeant Responsable :

• « Quels sont selon vous les principaux risques cyber de votre organisation ? »
• « Comment êtes-vous informé de l’état de la cybersécurité ? »
• « Quelles ressources avez-vous allouées à la cybersécurité ? »

Au RSC (Responsable de la Surveillance de la Conformité) :

• « Comment vérifiez-vous la conformité du SMSI ? »
• « Quand a eu lieu votre dernier audit interne ? »
• « Combien d’écarts avez-vous identifiés et comment sont-ils traités ? »

Au RGS (Responsable de la Gestion de la Sécurité) :

• « Quel est votre dernier incident cyber significatif ? »
• « Comment gérez-vous les risques induits par vos sous-traitants ? »
• « Avez-vous testé votre plan de continuité cyber ? »

Aux équipes opérationnelles :

• « Que faites-vous si vous détectez un comportement suspect sur votre système ? »
• « Avez-vous été sensibilisé à la cybersécurité ? Quand ? »
• « Connaissez-vous les procédures cyber de votre organisation ? »

L’audit 3CF n’est pas une formalité

L’audit DGAC 3CF est un exercice exigeant qui nécessite une préparation sérieuse. Les inspecteurs de la DSAC sont des professionnels aguerris qui savent distinguer un SMSI de façade d’un système réellement opérationnel.

Quatre conseils pour réussir votre audit :

• Anticipez. Ne vous y prenez pas 15 jours avant. La mise en conformité 3CF demande plusieurs mois, surtout si vous partez de zéro.
• Soyez authentiques. Documentez ce que vous faites vraiment, pas ce que vous aimeriez faire. Les auditeurs vérifient la cohérence entre vos procédures et la réalité terrain.
• Impliquez votre direction. Sans engagement réel du DR, vous partez perdant. Le DR doit comprendre ses responsabilités et les assumer.
• Pensez intégration. Le 3CF n’est pas un projet cyber isolé. C’est une extension de votre système de gestion de la sécurité aérienne. Votre SMSI doit s’articuler avec votre SGS, pas vivre en parallèle.

L’audit 3CF n’est pas une fin en soi. C’est l’opportunité de construire une véritable résilience cyber dans un secteur où les enjeux de sécurité sont vitaux. Une cyberattaque sur un aéroport peut compromettre l’étanchéité de la ligne frontière. Une attaque sur une compagnie aérienne peut clouer des milliers de passagers au sol. Une compromission des systèmes de maintenance peut affecter la navigabilité des aéronefs.

La cybersécurité dans l’aviation civile n’est pas qu’une question de conformité réglementaire. C’est une question de sécurité publique.

---

Vous préparez votre audit 3CF ? Nos experts, qui connaissent le référentiel dans ses moindres détails et accompagnent régulièrement des organismes dans leurs audits DGAC, peuvent réaliser votre pré-audit et vous aider à constituer votre dossier de preuves. Échangeons sur votre situation.