NIS2 : les 10 erreurs à éviter pour réussir sa mise en conformité

En 2025, 62 % des incidents cybers majeurs en Europe trouvaient leur origine dans une défaillance chez un partenaire tiers non évalué. Face à ce constat, l’Union européenne a renforcé son cadre réglementaire avec la directive NIS2, qui étend les obligations de cybersécurité à plus de 15 000 entités françaises, contre 300 sous NIS1. Les sanctions sont à la mesure de l’enjeu : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles.

Malgré ces exigences, de nombreuses organisations commettent des erreurs qui retardent ou compromettent leur mise en conformité. Attendre la transposition française, sous-estimer le périmètre, négliger la chaîne d’approvisionnement… Ces faux pas, souvent stratégiques avant d’être techniques, exposent les entreprises à des risques juridiques, financiers et opérationnels. Voici les 10 erreurs à éviter pour aborder NIS2 avec méthode.

Erreurs stratégiques : sous-estimer la portée de NIS2

La première erreur consiste à attendre la transposition française pour lancer sa démarche de conformité. La France n’a pas respecté l’échéance du 17 octobre 2024 fixée par Bruxelles. Après un avis motivé en mai 2025, la Commission européenne a décidé en juin 2026 de renvoyer la France devant la Cour de justice de l’Union européenne pour défaut de transposition. Côté législatif, la Loi Résilience a bien été adoptée au Sénat en mars 2025 et examinée en commission spéciale à l’Assemblée nationale en septembre 2025, mais le vote en séance plénière se fait toujours attendre il est désormais envisagé pour septembre 2026. Or, attendre ce texte revient à perdre un temps précieux. La directive NIS2 s’applique à l’échelle européenne depuis octobre 2024, et les chantiers qu’elle impose gouvernance, analyse de risques, gestion des incidents nécessitent plusieurs mois de préparation. Les organisations qui anticipent prendront une longueur d’avance sur celles qui subiront l’urgence.

La deuxième erreur est de croire que l’on a le temps. L’ANSSI a certes annoncé une période d’accompagnement de trois ans sans sanctions immédiates. Mais les coûts de mise en conformité estimés pour les entités essentielles oscillent entre 450 000 et 880 000 euros en investissement initial. Mener un tel chantier dans la précipitation, c’est s’exposer à des surcoûts et à une conformité partielle. Une ETI industrielle qui ne lancerait sa démarche qu’en 2027 n’aurait plus qu’un an pour structurer sa gouvernance cyber, former ses dirigeants et formaliser ses procédures un calendrier difficilement tenable.

Troisième erreur : croire que l’on n’est pas concerné. Le périmètre de NIS2 a été multiplié par dix et couvre désormais 18 secteurs d’activité, de l’énergie à la gestion des déchets en passant par l’agroalimentaire. Toute entreprise de plus de 50 salariés ou réalisant plus de 10 millions d’euros de chiffre d’affaires dans un secteur couvert est potentiellement visée y compris dans des secteurs que l’on ne juge pas forcément sensibles, comme l’industrie manufacturière, l’agroalimentaire ou la gestion des déchets. Les sous-traitants critiques d’entités assujetties peuvent également être concernés, même en dessous de ces seuils. L’ANSSI a mis en place la plateforme MonEspaceNIS2 pour permettre à chaque organisation de vérifier son statut.

Quatrième erreur : croire que NIS2 n’est qu’un sujet IT. L’article 20 de la directive est clair : les organes de direction doivent approuver et superviser les mesures de gestion des risques cyber. Les dirigeants doivent suivre une formation en cybersécurité et engagent leur responsabilité personnelle En cas de manquement, les sanctions peuvent aller jusqu’à une interdiction temporaire d’exercer. La cybersécurité devient un enjeu de gouvernance au même titre que le risque financier. Confier la conformité à la seule DSI, sans impliquer le comité de direction, c’est ignorer l’esprit même de la réglementation.

Erreurs opérationnelles : négliger les exigences concrètes de NIS2

Cinquième erreur : oublier ses sous-traitants et la chaîne d’approvisionnement. En 2025, les attaques visant des fournisseurs représentaient près d’un tiers des incidents de sécurité recensés. La directive NIS2 impose d’évaluer la posture de cybersécurité de chaque prestataire critique, d’intégrer des clauses contractuelles spécifiques et d’identifier les vulnérabilités introduites par des tiers. L’attaque subie par Jaguar Land Rover via un partenaire technologique en est l’illustration : six semaines d’arrêt de production, 5 000 fournisseurs affectés et un coût estimé à 1,9 milliard de livres. Négliger sa supply chain dans sa démarche de conformité NIS2, c’est laisser la porte ouverte au maillon le plus faible.

Sixième erreur : négliger la documentation et la preuve. NIS2 ne demande pas seulement de sécuriser ses systèmes : elle exige de prouver ce qui est fait. Politiques formalisées, procès-verbaux de comités de direction, traces de formations, résultats d’audits internes… En cas de contrôle, une organisation incapable de produire ces éléments s’expose à des sanctions, même si ses pratiques de sécurité sont réelles. La documentation est la matière première de la conformité. C’est d’ailleurs l’un des points de convergence majeurs entre NIS2 et la norme ISO 27001, qui impose elle aussi de formaliser, prouver et améliorer en continu ses pratiques de sécurité. Les organisations déjà engagées dans une démarche ISO 27001 couvrent ainsi une part significative des exigences documentaires de NIS2. Pour celles qui partent de zéro, un audit cybersécurité initial permet de poser un socle documentaire solide dès le départ..

Septième erreur : sous-estimer les délais de notification des incidents. La directive impose un processus en trois étapes : une alerte précoce dans les 24 heures suivant la détection d’un incident significatif, une notification détaillée sous 72 heures, puis un rapport final sous un mois. Ces délais sont très courts pour les organisations qui n’ont pas formalisé leur procédure de gestion de crise. Une PME du secteur logistique qui découvrirait une compromission un vendredi soir devrait notifier l’ANSSI avant le samedi soir un scénario qui exige une préparation rigoureuse en amont.

Huitième erreur : confondre sécurité « papier » et sécurité réelle. Rédiger des politiques sans les appliquer, documenter des procédures sans les tester, afficher une conformité de façade : c’est le piège dans lequel tombent de nombreuses organisations. Or, NIS2 prévoit des contrôles allant au-delà de la revue documentaire. Les entités essentielles peuvent faire l’objet d’audits sur site, de tests de pénétration et de vérifications techniques. En 2024, 47 % des organisations françaises avaient subi au moins une cyberattaque significative la preuve que les politiques écrites ne suffisent pas à stopper les attaquants.

Erreurs de périmètre et de ressources : les angles morts qui coûtent cher

Neuvième erreur : oublier le périmètre industriel (OT). Beaucoup d’organisations concentrent leurs efforts sur les systèmes d’information classiques (IT) en négligeant les systèmes opérationnels qui pilotent les lignes de production, les automates et les équipements industriels. Or, les attaques contre les systèmes OT/IoT ont progressé de 110 % entre 2020 et 2023, et 65 % des automates industriels en Europe fonctionnent sur des systèmes obsolètes, privés de support sécuritaire. La directive NIS2 couvre explicitement les secteurs industriels énergie, transports, eau où la convergence IT/OT crée des vulnérabilités spécifiques. Un industriel agroalimentaire qui sécuriserait son ERP sans auditer ses automates de production laisserait un angle mort critique. L’articulation entre les référentiels IT (ISO 27001) et OT (IEC 62443) offre un cadre structurant pour couvrir l’ensemble du périmètre.

Dixième erreur : vouloir tout faire seul, notamment sur les sujets d’expertise. La mise en conformité NIS2 mobilise des compétences transverses juridiques, techniques, organisationnelles que peu d’organisations maîtrisent en interne. Analyse de risques, politiques de sécurité, outils de détection, mise en conformité réglementaire : chaque chantier requiert une expertise pointue. Tout internaliser, c’est risquer de disperser ses ressources et de retarder sa conformité. C’est d’autant plus vrai que 51 % des victimes de cyberattaques sont des TPE/PME/ETI, des structures qui disposent rarement d’équipes cybersécurité dédiées.

Conclusion

La directive NIS2 marque un tournant dans la réglementation européenne en matière de cybersécurité. Les 10 erreurs décrites dans cet article partagent un point commun : elles naissent d’une sous-estimation de la portée, de la rigueur et des délais imposés par ce nouveau cadre. Attendre la transposition, négliger la chaîne d’approvisionnement, confondre documentation et sécurité réelle, oublier le périmètre OT chacune peut compromettre une démarche de conformité et exposer l’organisation à des sanctions lourdes.

Fidens, filiale cybersécurité du groupe TVH Consulting, accompagne les organisations dans leur mise en conformité NIS2 : diagnostic initial, cartographie des risques, déploiement des mesures de sécurité et préparation aux contrôles. Vous souhaitez évaluer votre niveau de maturité face aux exigences de NIS2 ? Échangez avec nos experts pour définir votre feuille de route.