Zone de risque ENISA NIS360 : comment les régulateurs choisissent qui auditer en premier

En mai 2026, l'ENISA a publié la troisième édition de NIS360. La plupart des gens y voient un classement. Les autorités de contrôle y voient un plan de travail.

Cette différence compte. NIS360 positionne chaque secteur NIS2 sur deux axes : son niveau de criticité et la maturité réelle de sa cybersécurité. Là où la criticité dépasse la maturité, l'ENISA trace une "zone de risque". Les régulateurs nationaux utilisent cette carte pour décider où affecter une capacité d'inspection limitée — et en 2026, ils disposent enfin des effectifs pour le faire.

Si vous conseillez des organisations sur NIS2, la zone de risque ENISA NIS360 vous indique quels clients seront contactés en premier par un régulateur. Voici ce qui a changé cette année et ce qu'il faut en faire.

La zone de risque est une liste de priorités de contrôle, pas une note

L'ENISA évalue la criticité selon le niveau de numérisation, l'impact socio-économique d'un incident, la criticité temporelle et la dépendance des autres secteurs. Ces facteurs évoluent lentement, donc les scores de criticité restent globalement stables d'une année à l'autre.

La maturité est la partie mouvante. Elle couvre les pratiques de gestion des risques, la préparation aux incidents, le partage d'informations, la capacité de l'autorité nationale et la coordination sectorielle.

Un secteur entre en zone de risque lorsque sa maturité est inférieure à la moyenne et inférieure à sa propre criticité. En clair : la société en dépend plus qu'il ne peut se défendre.

Les autorités n'ont pas les effectifs pour auditer chaque entité enregistrée. Elles trient. Un secteur signalé par l'ENISA comme hautement critique avec une maturité en retard est la justification la moins coûteuse pour un programme d'inspection ciblé — le régulateur peut invoquer l'évaluation d'une agence européenne plutôt que de construire le dossier lui-même.

Le rail, l'eau potable et les eaux usées sont entrés en zone de risque sans se dégrader

C'est le constat que la plupart lisent de travers.

Le rail, l'eau potable et les eaux usées sont tous entrés en zone de risque dans l'édition 2026. Aucun n'a régressé. Le rail a même amélioré son score de maturité, et sa criticité a été revue à la hausse pour refléter la dépendance croissante des autres secteurs et la fréquence des attaques dont il fait l'objet.

Ils ont franchi la ligne parce que la moyenne s'est déplacée. La banque, l'électricité, les télécommunications et les services internet centraux ont continué de progresser. L'aviation, les services de confiance et les infrastructures de marchés financiers sont montés dans la bande de maturité élevée. Quand le haut de la distribution monte, la barre de la "moyenne" monte avec.

Conséquence pratique pour les consultants : un client qui n'a rien fait de mal peut néanmoins se retrouver reclassé dans un secteur prioritaire pour le contrôle. "Nous avons passé l'évaluation de préparation l'an dernier" n'est pas une défense. La compliance posture se mesure par rapport à une base de référence mouvante.

Le gaz est le contre-exemple à étudier. Le secteur a commencé à sortir de la zone de risque, porté par trois choses peu spectaculaires : un meilleur partage d'informations, une collaboration sectorielle renforcée et des mesures de gestion des risques réellement mises en œuvre plutôt que simplement documentées. C'est une méthode reproductible, pas de la chance.

La NIS2 s'applique-t-elle à votre organisation ?
1
Votre organisation opère-t-elle dans un secteur essentiel ou important (énergie, transport, santé, infrastructure numérique, etc.) ?
Oui▼
Non▼
2
Votre organisation compte-t-elle 50 employés ou plus, ou réalise-t-elle un chiffre d'affaires annuel supérieur à 10 millions d'euros ?
✗
La NIS2 ne s'applique pas directement à votre organisation.
Oui▼
Non▼
✓
La NIS2 s'applique à votre organisation en tant qu'entité essentielle ou importante.
3
Votre organisation est-elle un opérateur d'infrastructure critique ou un prestataire de services de confiance qualifié ?
Oui▼
!
La NIS2 pourrait s'appliquer à votre organisation — consultez un juriste pour confirmer votre statut.
1
Votre organisation opère-t-elle dans un secteur essentiel ou important (énergie, transport, santé, infrastructure numérique, etc.) ?
Oui ↓Non →
2
Votre organisation compte-t-elle 50 employés ou plus, ou réalise-t-elle un chiffre d'affaires annuel supérieur à 10 millions d'euros ?
Oui ↓Non →
3
Votre organisation est-elle un opérateur d'infrastructure critique ou un prestataire de services de confiance qualifié ?
Oui ↓Non →
✗
La NIS2 ne s'applique pas directement à votre organisation.
✓
La NIS2 s'applique à votre organisation en tant qu'entité essentielle ou importante.
!
La NIS2 pourrait s'appliquer à votre organisation — consultez un juriste pour confirmer votre statut.
S'applique
Possiblement applicable
Ne s'applique pas

La gestion des services TIC est en zone de risque — et cela vous inclut

L'ENISA signale la gestion des services TIC comme préoccupation dans chaque édition de NIS360 à ce jour, et 2026 ne fait pas exception. Le secteur s'est adapté aux exigences NIS2, mais l'ENISA décrit ses mesures de sécurité et sa préparation opérationnelle comme inégales.

Lisez cela attentivement si vous dirigez un MSP ou un MSSP. Ce n'est pas un commentaire sur vos clients. C'est un commentaire sur votre propre secteur.

Deux conséquences en découlent.

Premièrement, vous êtes vous-même une entité réglementée. Les fournisseurs de services gérés et de services de sécurité gérés figurent à l'Annex I de NIS2 comme entités essentielles ou importantes selon leur taille. Vos propres mesures Article 21 sont dans le périmètre. Nous avons traité cette double obligation en détail dans NIS2 pour les MSP et MSSP.

Deuxièmement, vous êtes le risque de chaîne d'approvisionnement. L'ENISA souligne explicitement les conséquences pour les nombreux secteurs qui dépendent des prestataires gérés. Lorsqu'un hôpital ou un opérateur d'eau est audité, l'auditeur demandera quelles exigences de sécurité sont contractuellement imposées à son prestataire informatique et comment elles sont vérifiées. Cette question atterrit sur votre bureau, formulée comme une demande client, des semaines avant que vous ne rencontriez vous-même un régulateur.

Attendez-vous à des demandes de preuves, pas d'assurances : votre propre évaluation des risques, votre plan de réponse aux incidents, vos SLA de correctifs, votre modèle de contrôle d'accès, votre liste de sous-traitants. Si vous intégrez ces exigences dans les contrats clients, les obligations contractuelles fournisseurs au titre de l'Article 21 est le point de départ.

Escalade des sanctions NIS2 — Au-delà de l'amende
!
Déclencheur
Non-conformité détectée ou incident survenu
Une autorité de contrôle identifie une lacune de conformité ou une organisation ne respecte pas les exigences NIS2
Les autorités peuvent imposer▼
Sanctions non financières
1
Ordres de mise en conformité avec délais contraignants
2
Audits de sécurité obligatoires à vos frais
3
Divulgation publique des violations
4
Instructions contraignantes sur des mesures de sécurité spécifiques
Escalade vers▼
Conséquences opérationnelles et personnelles
1
Suspension de certifications ou licences d'exploitation
2
Interdiction temporaire de fonctions de direction pour les individus
3
Désignation publique des personnes physiques responsables
Déclencheur
Non financier
Opérationnel / personnel

Administration publique, spatial et santé accusent un retard pour des raisons différentes

La zone de risque n'est pas homogène. Les causes diffèrent, et les remèdes aussi.

L'administration publique se situe à une maturité faible à modérée. Elle est nouvellement réglementée, et les pratiques varient énormément entre ministères nationaux, organismes régionaux et petites communes. Une autorité nationale peut exploiter un SOC mature pendant qu'une commune de 12 000 habitants dispose d'un prestataire informatique à temps partiel. Même directive, mêmes obligations, points de départ radicalement différents. Si vous servez le secteur public, partez du principe que l'analyse d'écarts commence vraiment de zéro.

Le spatial se situe au bas de la maturité modérée malgré une criticité croissante. La supervision est fragmentée, les obligations réglementaires diffèrent selon les États membres et l'adoption des normes de cybersécurité est inégale. L'importance stratégique croît plus vite que la gouvernance.

La santé s'est améliorée de manière mesurable et reste dans la bande modérée, soutenue par des acteurs plus solides comme les fabricants pharmaceutiques. Les hôpitaux et les prestataires de soins freinent : systèmes hérités, explosion du nombre d'appareils IoMT, forte dépendance aux tiers, budgets serrés. Nous avons décrit les implications opérationnelles dans NIS2 pour les prestataires de santé.

Le maritime et le rail partagent un problème structurel — de l'OT à longue durée de vie aux côtés de l'IT, et une coordination entre gestionnaires d'infrastructure, transporteurs et fournisseurs technologiques. Personne ne possède l'ensemble du parc, ce qui rend la responsabilité difficile à démontrer.

L'eau potable et les eaux usées sont les secteurs les moins matures évalués par l'ENISA. La sécurité y est largement réactive, les environnements fragmentés, l'héritage omniprésent et le partage d'informations faible.

Ce qu'un client en zone de risque doit avoir prêt avant l'appel du régulateur

Être en zone de risque ne change pas vos obligations. Chaque mesure de l'Article 21 s'applique identiquement à une banque et à une station d'épuration. Cela change la probabilité et le calendrier du contrôle.

L'ordre de travail change donc. Pour un client en zone de risque, procédez ainsi :

Enregistrement. Vérifiez que l'entité est effectivement enregistrée auprès de l'autorité nationale. Des dizaines de milliers d'entités européennes ne le sont toujours pas, et c'est la première chose que vérifie un contrôleur.
Les deux documents de gouvernance. Une politique écrite de gestion des risques et une politique de sécurité de l'information approuvées au niveau de la direction. Ce sont les premiers documents demandés dans presque toutes les inspections.
Preuve d'efficacité. L'Article 21(2)(f) impose d'évaluer si vos mesures fonctionnent. La plupart des équipes l'omettent. Les auditeurs non.
Une gestion des incidents testée. Pas un document — un processus avec un responsable nommé, une voie d'alerte précoce à 24 heures et au moins un exercice consigné.
Registre de la chaîne d'approvisionnement. Qui sont vos fournisseurs critiques, quelles exigences de sécurité les lient et comment elles sont vérifiées.

Si vous ne savez pas où se situe un client sur les dix mesures, notre guide pas à pas de l'analyse d'écarts NIS2 déroule le processus, et les dix mesures de l'Article 21 expliquées détaille ce que chacune exige réellement.

Article 21 — 10 Mesures de Cybersécurité NIS2
🛡️
Article 21
10 Mesures de Cybersécurité
📊Gouvernance & Stratégie
1Analyse des risques & politiques de sécurité de l'information
6Évaluation de l'efficacité des mesures de sécurité
🚨Incidents & Continuité
2Gestion des incidents & notification
3Continuité des activités & reprise après sinistre
🔗Chaîne d'approvisionnement & Systèmes
4Sécurité de la chaîne d'approvisionnement
5Sécurité dans le développement des systèmes d'information
🔐Contrôles Techniques
8Cryptographie & chiffrement
10Authentification multifacteur & communications sécurisées
👥Personnel & Actifs
7Cyber-hygiène & formation
9Sécurité RH & contrôle d'accès

Utilisez NIS360 comme conversation client, pas comme rapport

La version inconfortable de cette conversation donne : "vous risquez d'être inspecté bientôt et vous n'êtes pas prêt." La version utile donne : "une agence européenne a publié la position de votre secteur, et voici l'écart précis entre votre compliance posture et l'exposition de votre secteur."

La seconde version vend de la mission. Elle est aussi plus exacte.

Trois angles qui portent auprès des conseils d'administration :

La criticité ne dépend pas de vous. Le profil de dépendance de votre secteur a été attribué par l'ENISA selon la manière dont le reste de l'économie s'appuie sur vous. La seule variable que vous maîtrisez est la maturité.
Le progrès est visible. Des secteurs ont changé de bande cette année. La trajectoire de sortie du gaz — partage d'informations, collaboration, mesures mises en œuvre — est documentée et peu coûteuse comparée à une amende ou une suspension.
La barre continue de monter. Rester immobile revient à reculer par rapport à ses pairs. C'est désormais mesuré et publié chaque année.

Pour un point de départ structuré avec un client en zone de risque, lancez un quick scan NIS2 gratuit. Quelques minutes suffisent pour produire un aperçu des écarts présentable à une direction sans une semaine de préparation.

En bref

ENISA NIS360 2026 montre de réels progrès : la maturité progresse dans presque tous les secteurs NIS2, et trois secteurs sont montés dans la bande de maturité élevée. Mais la zone de risque ne s'est pas vidée. Le rail, l'eau potable et les eaux usées y sont entrés parce que la moyenne s'est déplacée, la gestion des services TIC y est restée, et l'administration publique, le spatial et la santé continuent d'accuser un retard structurel.

Pour les consultants et les MSP, NIS360 est ce qui se rapproche le plus d'une carte de chaleur publiée du contrôle. Lisez-la ainsi.

Et vérifiez où se situe votre propre secteur. La gestion des services TIC est sur la liste.