Audits de supervision NIS2 : les preuves que les régulateurs demandent vraiment

Le 6 mars 2026, le BSI allemand est entré dans sa phase de supervision active. Depuis cette date, il peut exiger des preuves de vos mesures de sécurité sans attendre un incident. Pas de violation, pas de plainte — juste un courrier vous demandant de démontrer votre posture de conformité NIS2 dans un délai imposé.

Un audit de supervision NIS2 n'est plus un risque théorique. Des programmes d'audit sont désormais en cours dans 14 États membres, et les premières mesures d'exécution ont été signalées en Belgique, en Italie et en Hongrie. Pour les consultants IT, MSP et vCISO, la question a changé : de « mon client est-il dans le champ d'application ? » à « mon client peut-il produire des preuves sur demande ? »

Cet article couvre ce que les régulateurs demandent réellement, ce qui se passe quand les preuves sont insuffisantes, et comment constituer un dossier de preuves défendable avant l'arrivée du courrier.

L'application est passée de l'enregistrement à la preuve

2025 a été l'année des échéances d'enregistrement. 2026 est l'année de la vérification.

Le BSI allemand peut désormais demander de manière proactive la documentation des mesures de sécurité aux entités enregistrées — selon les informations disponibles, des dizaines d'avis formels ont déjà été envoyés. L'ANSSI a émis des injonctions de mise en conformité dans le cadre de son dispositif NIS2. Le CCB belge a ouvert en avril 2026 sa fenêtre d'audit pour les entités essentielles, liée au schéma d'évaluation de conformité CyFun que nous avons traité dans notre guide sur l'échéance d'audit belge.

Le schéma est cohérent dans tous les États membres. Les entités essentielles relèvent d'une supervision ex ante : les régulateurs peuvent auditer à tout moment, sans soupçon. Les entités importantes relèvent d'une supervision ex post : audits déclenchés par des incidents, des plaintes ou des indices de non-conformité. Dans les deux cas, la demande arrive sous forme d'exigence de documents, pas de visite sur site.

Les premières sanctions financières ont été signalées en Belgique (185 000 €), en Italie (450 000 €) et en Hongrie (78 000 €). Que chaque cas signalé résiste ou non à un recours importe moins que la direction prise : les autorités ont dépassé le stade des campagnes de sensibilisation.

Le dossier de preuves découle directement de l'article 21

Les régulateurs ne demandent pas « êtes-vous sécurisé ? ». Ils exigent la preuve que chacune des dix mesures de l'article 21(2) existe, est mise en œuvre et est réévaluée.

En pratique, les demandes de preuves se regroupent autour de cinq types de documents par mesure.

Politiques. Un document daté et approuvé par la direction pour chaque mesure. Une politique d'analyse des risques sans signature de la direction échoue au regard de l'article 20 — l'organe de direction doit approuver les mesures, et les auditeurs vérifient cette approbation.

Analyses de risques. L'analyse actuelle plus au moins une version antérieure. Les auditeurs cherchent l'itération. Une seule analyse de risques datant de novembre 2024 et jamais mise à jour signale un exercice de façade.

Preuves de mise en œuvre. Captures d'écran, configurations, contrats. Rapports d'application de la MFA issus de votre fournisseur d'identité. Journaux de tests de restauration des sauvegardes. Clauses de sécurité dans les contrats fournisseurs en cours — voir notre guide sur les contrats fournisseurs pour le contenu attendu de ces clauses.

Évaluations d'efficacité. L'article 21(2)(f) vous impose d'évaluer si vos mesures fonctionnent. Rapports d'audit interne, résultats de tests d'intrusion, comptes rendus d'exercices sur table avec constats datés et actions de suivi. Nous avons décortiqué cette boucle d'audit dans un article dédié.

Registres de formation. Listes de présence et dates des formations à la cyberhygiène — direction comprise. L'article 20(2) rend la formation des dirigeants obligatoire, et c'est l'une des lacunes les plus faciles à trouver pour un auditeur.

Un exemple concret : dans les audits belges fondés sur CyFun, les entités doivent présenter des preuves par contrôle, pas par thème. « Nous avons des sauvegardes » n'est pas une réponse. Un rapport de test de restauration daté du dernier trimestre, si.

Les régulateurs nationaux posent la même question dans des formats différents

La directive est européenne ; la paperasse est nationale. Trois exemples montrent l'étendue.

L'Allemagne attend des preuves structurées des mesures. Le modèle de supervision du BSI s'appuie sur la pratique KRITIS établie de soumission formelle de preuves, et les entités enregistrées doivent s'attendre à des demandes visant des catégories de mesures précises — voir notre guide sur l'application en Allemagne pour le calendrier.

La Belgique gère le schéma le plus formalisé de l'UE. Les évaluations CyFun fonctionnent contrôle par contrôle, avec des niveaux d'assurance liés à la classification de l'entité. Les preuves sont notées, pas seulement collectées.

L'ACN italienne échelonne les obligations par catégorie et par échéance : les preuves attendues d'un client dépendent donc du moment où l'horloge de sa catégorie a démarré — nous avons cartographié ces dates dans notre article sur la catégorisation italienne.

Pour les consultants servant des clients dans plusieurs États membres, la réponse pratique est de constituer le dossier de preuves une seule fois, aligné sur l'article 21, puis de le formater selon chaque schéma national sur demande. Les artefacts sous-jacents — politiques signées, rapports de tests, registres de formation — sont les mêmes partout.

Ce qui se passe quand vos preuves sont insuffisantes

Une demande de preuves non satisfaite débouche rarement d'emblée sur une amende. Elle déclenche une séquence — et chaque étape augmente le coût.

D'abord vient une instruction contraignante ou une injonction de mise en conformité avec un délai, généralement d'un à trois mois. Manquez-le, et l'autorité peut ordonner un audit de sécurité à vos frais, réalisé par un tiers qualifié. Toujours non conforme ? Les amendes entrent alors en jeu : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions d'euros ou 1,4 % pour les entités importantes.

Pour les entités essentielles, deux sanctions frappent plus fort que n'importe quelle amende. Les autorités peuvent suspendre les certifications ou autorisations nécessaires à l'exploitation. Et elles peuvent interdire temporairement à des dirigeants d'exercer des fonctions de direction jusqu'au rétablissement de la conformité. Nous avons expliqué pourquoi ces sanctions font plus mal que les amendes — une interdiction d'exercer pour un CEO n'est pas une ligne budgétaire.

Il y a aussi un effet chaîne d'approvisionnement. Une entité sous injonction devient un risque fournisseur documenté pour chaque client tenu d'évaluer la sécurité de ses fournisseurs au titre de l'article 21(2)(d). Perdez votre dossier de preuves, et vous pouvez perdre des contrats avant qu'un régulateur n'encaisse un centime.

Comment les MSP et consultants doivent préparer leurs clients dès maintenant

On ne construit pas dix-huit mois de preuves dans les trois semaines qui suivent l'arrivée d'un courrier. Mais vous pouvez rendre un client prêt pour l'audit en un trimestre si vous travaillez dans le bon ordre.

Semaines 1–2 : inventorier l'existant. Rassemblez chaque politique, analyse et rapport du client. Rattachez chaque document à une mesure de l'article 21(2). Les lacunes trouvées constituent votre liste de travail — menez une analyse d'écarts structurée si le client n'en a jamais fait.

Semaines 3–8 : combler les lacunes documentaires. Faites approuver et signer par la direction les politiques non datées. Planifiez les activités manquantes qui génèrent des preuves : un test de restauration, un exercice sur table, une formation de la direction. Chacune produit un artefact daté.

Semaines 9–12 : constituer le dossier lui-même. Une arborescence, un index, un responsable. Par mesure : politique, dernière analyse, preuve de mise en œuvre, dernière évaluation d'efficacité. Si le courrier du régulateur arrive un mardi, la réponse doit être un export, pas un projet.

Pour les MSP, il y a un angle commercial. La préparation à l'audit est un service récurrent — les preuves périment, les évaluations se répètent, la formation revient chaque année. Les MSP qui gagnent des contrats NIS2 en 2026 ne vendent pas des pare-feu. Ils vendent le dossier de preuves et le processus qui le maintient à jour.

Vous ne savez pas où en est un client aujourd'hui ? Lancez un quick scan NIS2 gratuit — quelques minutes suffisent pour voir quelles mesures de l'article 21 ont besoin de preuves en premier.

Le courrier d'audit est une échéance que vous pouvez battre

Les audits de supervision récompensent la préparation et sanctionnent l'improvisation. Le scénario des régulateurs est public : l'article 21 liste les mesures, l'article 20 fixe la responsabilité, et les autorités nationales ont montré quelles preuves elles attendent.

Traitez le dossier de preuves comme le livrable. Un client avec des politiques signées, des rapports de tests datés et des registres de formation à jour n'a pas grand-chose à craindre d'un avis du BSI ou d'une fenêtre d'audit du CCB. Un client avec de bonnes intentions et aucun document est à un courrier d'une injonction.

Le courrier finira par arriver. Ce qu'il trouvera dépend de vous.