L'échéance du premier audit NIS2 est le 30 juin 2026 : ce que les entités essentielles doivent prouver
Le 1er juillet 2026, la conversation avec vos clients change. Jusqu'à cette date, « nous travaillons sur NIS2 » est une réponse défendable. Après, dans la plupart des États membres ayant transposé, une entité essentielle incapable de produire la preuve d'un audit de conformité achevé n'est plus en retard — elle est en infraction.
L'échéance du premier audit au 30 juin 2026 est la première ligne ferme de NIS2 qui mord pour un grand groupe d'organisations en même temps. Ce n'est pas un avis d'amende. C'est la date à laquelle les entités essentielles sont censées avoir mené leur premier audit de conformité formel et détenir la documentation qui le prouve. Pour les consultants IT, MSP et vCISO qui lisent ceci, cela signifie que les prochaines semaines portent sur la preuve, pas sur l'architecture.
L'échéance qui transforme « en cours » en « non conforme »
NIS2 a connu une série de dates, et la plupart ont glissé. L'échéance de transposition était le 17 octobre 2024, et la majorité des États membres l'ont manquée. Les échéances d'enregistrement ont dérivé. Cette histoire a appris à beaucoup d'organisations à traiter les dates NIS2 comme souples.
Celle-ci est de nature différente. Dans les États membres ayant transposé et fixé des obligations d'audit, les entités essentielles sont censées avoir achevé leur premier audit de conformité avant le 30 juin 2026. L'audit est le mécanisme qui transforme les mesures de l'Article 21 d'une politique sur papier en quelque chose qu'un régulateur peut inspecter.
Si votre client est une entité essentielle dans une juridiction ayant transposé, la question au 1er juillet n'est pas « avez-vous mis en œuvre des contrôles ? » C'est « montrez-moi l'audit. » C'est une question de documentation, et la documentation est précisément ce qui manque à la plupart des programmes de conformité menés dans la précipitation.
Essentielle, importante ou hors champ — confirmez-le avant toute autre chose
L'obligation d'audit frappe le plus durement les entités essentielles, donc la première tâche est de confirmer dans quelle catégorie se situe chaque client. Se tromper gaspille les semaines que vous n'avez pas.
NIS2 couvre 18 secteurs et englobe des organisations bien au-delà des infrastructures critiques classiques — fabrication, production alimentaire, gestion des déchets et fournisseurs numériques en font partie. Le seuil courant est de 50+ employés et 10 M€+ de chiffre d'affaires annuel ou de bilan, bien que des règles sectorielles intègrent certaines entités plus petites quelle que soit leur taille.
La distinction essentielle versus importante détermine le régime de supervision. Les entités essentielles font l'objet d'une supervision proactive, ex ante — les régulateurs peuvent les auditer de leur propre initiative, ce qui rend l'obligation d'audit du 30 juin réelle pour ce groupe. Les entités importantes font l'objet d'une supervision plus légère, ex post, déclenchée par des incidents ou des plaintes. Les mêmes obligations de l'Article 21, des probabilités différentes que quelqu'un frappe avant qu'un problème ne survienne.
La NIS2 s'applique-t-elle à votre organisation ?
1Votre organisation opère-t-elle dans un secteur essentiel ou important (énergie, transport, santé, infrastructure numérique, etc.) ?
Oui▼Non▼2Votre organisation compte-t-elle 50 employés ou plus, ou réalise-t-elle un chiffre d'affaires annuel supérieur à 10 millions d'euros ?
✗La NIS2 ne s'applique pas directement à votre organisation.
Oui▼Non▼✓La NIS2 s'applique à votre organisation en tant qu'entité essentielle ou importante.
3Votre organisation est-elle un opérateur d'infrastructure critique ou un prestataire de services de confiance qualifié ?
Oui▼!La NIS2 pourrait s'appliquer à votre organisation — consultez un juriste pour confirmer votre statut.
1Votre organisation opère-t-elle dans un secteur essentiel ou important (énergie, transport, santé, infrastructure numérique, etc.) ?
Oui ↓Non →2Votre organisation compte-t-elle 50 employés ou plus, ou réalise-t-elle un chiffre d'affaires annuel supérieur à 10 millions d'euros ?
Oui ↓Non →3Votre organisation est-elle un opérateur d'infrastructure critique ou un prestataire de services de confiance qualifié ?
Oui ↓Non →✗La NIS2 ne s'applique pas directement à votre organisation.
✓La NIS2 s'applique à votre organisation en tant qu'entité essentielle ou importante.
!La NIS2 pourrait s'appliquer à votre organisation — consultez un juriste pour confirmer votre statut.
S'appliquePossiblement applicableNe s'applique pas
Effectuez cette détermination pour chaque client avant de cadrer un seul contrôle. Une organisation qui se croit à tort « importante » peut sauter l'audit qu'elle devait réellement.
Ce que l'audit doit réellement prouver
Un audit de conformité NIS2 n'est ni un test d'intrusion ni un certificat ISO. C'est un examen visant à déterminer si l'entité a mis en œuvre et peut prouver les mesures de gestion des risques de l'Article 21, ainsi que les obligations de gouvernance et de déclaration qui les accompagnent.
L'Article 21 énonce dix mesures de base : analyse des risques et politiques de sécurité des systèmes d'information, gestion des incidents, continuité d'activité et gestion de crise, sécurité de la chaîne d'approvisionnement, sécurité dans l'acquisition et le développement, politiques d'évaluation de l'efficacité des mesures, cyberhygiène et formation, cryptographie, contrôle d'accès et gestion des actifs, et authentification multifacteur et communications sécurisées. L'audit recherche chacune d'elles comme une pratique opérationnelle avec des preuves derrière — pas comme une ligne dans un document de politique.
Article 21 — 10 Mesures de Cybersécurité NIS2
Article 21
10 Mesures de Cybersécurité
Gouvernance & Stratégie
1Analyse des risques & politiques de sécurité de l'information6Évaluation de l'efficacité des mesures de sécuritéIncidents & Continuité
2Gestion des incidents & notification3Continuité des activités & reprise après sinistreChaîne d'approvisionnement & Systèmes
4Sécurité de la chaîne d'approvisionnement5Sécurité dans le développement des systèmes d'informationContrôles Techniques
8Cryptographie & chiffrement10Authentification multifacteur & communications sécuriséesPersonnel & Actifs
7Cyber-hygiène & formation9Sécurité RH & contrôle d'accès
Deux domaines font trébucher la plupart des programmes. Le premier est la gouvernance : l'Article 20 exige que l'organe de direction approuve les mesures de cybersécurité et supervise leur mise en œuvre, et les membres doivent suivre une formation. Un auditeur demandera le procès-verbal du conseil ou l'approbation signée. « L'équipe IT s'en occupe » est la mauvaise réponse, et une réponse documentée est facile à produire maintenant et impossible à antidater plus tard.
Le second est l'état de préparation à la déclaration d'incidents. L'audit vérifie que l'entité peut réellement exécuter la cascade de déclaration 24-72-30, et pas seulement qu'une politique la décrivant existe.
La déclaration d'incidents est une capacité, pas une clause
L'Article 23 exige un calendrier de déclaration échelonné vers le CSIRT national ou l'autorité compétente. Une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident important. Une notification complète avec une évaluation initiale de gravité et des indicateurs de compromission dans les 72 heures. Un rapport final avec cause racine, atténuation et tout impact transfrontalier dans un délai d'un mois.
Un auditeur ne veut pas lire la politique qui dit cela. Il veut voir que l'entité sait qui déclare un incident important, qui dépose l'alerte précoce, vers quel portail elle va, et que quelqu'un l'a répété. En mai 2026, le NIS2 Cooperation Group a adopté des modèles communs de déclaration d'incidents, ce qui supprime l'excuse « nous ne connaissions pas le format » — le format est désormais standardisé.
Calendrier de Notification des Incidents NIS2
24hAlerte Précoce
Notifiez l'autorité compétente (CSIRT/ANC) dans les 24 heures suivant la prise de connaissance d'un incident significatif.
Étape 172hNotification d'Incident
Soumettez une notification détaillée dans les 72 heures avec une première évaluation de la gravité, de l'impact et des indicateurs de compromission.
Étape 21moRapport Final
Remettez un rapport final complet dans un délai d'un mois couvrant l'analyse des causes, les mesures prises et l'impact transfrontalier.
Étape 324hAlerte Précoce
Notifiez l'autorité compétente (CSIRT/ANC) dans les 24 heures suivant la prise de connaissance d'un incident significatif.
72hNotification d'Incident
Soumettez une notification détaillée dans les 72 heures avec une première évaluation de la gravité, de l'impact et des indicateurs de compromission.
1moRapport Final
Remettez un rapport final complet dans un délai d'un mois couvrant l'analyse des causes, les mesures prises et l'impact transfrontalier.
Pour les MSP, c'est le domaine où vous portez une exposition directe. Si vous exploitez le SOC ou la supervision d'un client, l'horloge des 24 heures démarre de fait à votre détection. Assurez-vous que votre contrat de service et votre runbook s'accordent sur qui dépose quoi, et que l'audit peut voir ce transfert documenté.
Les sanctions rendent l'audit utile dès maintenant
Les chiffres en une sont connus : jusqu'à 10 M€ ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, le montant le plus élevé étant retenu. Mais les amendes sont rarement ce qui fait mal en premier.
Les autorités compétentes peuvent émettre des instructions contraignantes, ordonner un audit de sécurité aux frais de l'entité elle-même et — spécifiquement pour les entités essentielles — suspendre temporairement des certifications ou autorisations et interdire à des individus d'exercer des fonctions de direction. La dimension de responsabilité personnelle est ce qui attire l'attention d'un conseil quand une amende n'y parvient pas.
Un premier audit raté ou absent est le fil que tirent les régulateurs. Une entité incapable de prouver qu'elle s'est auditée avant l'échéance a offert au superviseur une ouverture facile pour escalader.
Escalade des sanctions NIS2 — Au-delà de l'amende
!Déclencheur
Non-conformité détectée ou incident survenu
Une autorité de contrôle identifie une lacune de conformité ou une organisation ne respecte pas les exigences NIS2
Les autorités peuvent imposer▼Sanctions non financières1Ordres de mise en conformité avec délais contraignants
2Audits de sécurité obligatoires à vos frais
3Divulgation publique des violations
4Instructions contraignantes sur des mesures de sécurité spécifiques
Escalade vers▼Conséquences opérationnelles et personnelles1Suspension de certifications ou licences d'exploitation
2Interdiction temporaire de fonctions de direction pour les individus
3Désignation publique des personnes physiques responsables
DéclencheurNon financierOpérationnel / personnel
Que faire dans les semaines qui restent
Vous ne reconstruirez pas un programme de sécurité avant le 30 juin. Ce n'est pas l'objectif. L'objectif est de combler l'écart de preuves pour qu'un client puisse démontrer un audit achevé et un plan d'amélioration crédible pour ce qu'il a révélé.
Triez les mesures de l'Article 21 en mises-en-œuvre-avec-preuve, mises-en-œuvre-sans-preuve et non-mises-en-œuvre. La catégorie intermédiaire offre les gains les plus rapides — le contrôle existe, il faut juste le documenter et le capturer en captures d'écran. Pour la troisième catégorie, un plan de remédiation documenté avec responsables et dates vaut bien mieux que le silence ; les auditeurs et régulateurs distinguent un écart que vous avez identifié et géré d'un écart que vous avez ignoré.
Réglez l'approbation du conseil et les registres de formation en premier. Ce sont les éléments les plus faciles à produire maintenant et les seuls qui ne peuvent réellement pas être créés après coup.
Si vous voulez évaluer rapidement où se situe un client par rapport aux mesures de l'Article 21 avant d'engager des heures d'audit, lancez notre scan rapide NIS2 — il donne un instantané de l'écart en quelques minutes pour prioriser le bon travail dans le temps restant.
Après le 30 juin, la question change durablement
Le premier audit n'est pas un événement unique. La supervision NIS2 est continue, et pour les entités essentielles, les audits deviennent une attente récurrente plutôt qu'un événement ponctuel. Les organisations qui traitent le 30 juin comme le début d'une posture continue, plutôt qu'une échéance à survivre, sont celles qui ne courront pas à nouveau l'an prochain.
Pour les consultants et les MSP, c'est la véritable opportunité. L'échéance force la conversation. Ce que vous construisez pour la respecter — les contrôles documentés, la cascade de déclaration répétée, la validation du conseil — est la base d'un contrat récurrent, pas d'un projet. Vos clients qui franchissent cette ligne en bon ordre auront besoin de quelqu'un pour les y maintenir. Ce quelqu'un devrait être vous.
Pour la mécanique pratique d'une analyse d'écart avant l'audit, voir notre guide pas à pas de l'analyse d'écart NIS2. Pour en savoir plus sur l'exposition à la responsabilité personnelle qui rend l'engagement du conseil incontournable, voir responsabilité des dirigeants NIS2.