Voir clair dans l'écosystème réglementaire européen

Depuis octobre 2024, NIS2 élargit considérablement le champ d’application de la cybersécurité en Europe. Dix-huit secteurs sont désormais concernés en France — de l’énergie, du transport, de la santé et des administrations publiques, jusqu’aux fournisseurs numériques et aux services critiques comme l’eau ou les datacenters. Au total, environ six cents types d’entités sont couverts, avec une exigence renforcée sur la supply chain. Les dirigeants sont directement responsables et peuvent être sanctionnés en cas de manquement. Le calendrier est progressif : d’abord sécuriser l’essentiel et fiabiliser les dépendances (2025–2026), puis industrialiser preuves et supervision (2026–2027).

En septembre 2025, le texte français a ajouté les éditeurs de logiciels, soumis à des obligations de sécurité « by design ». L’ANSSI mènera les contrôles. Le sujet du chiffrement, longtemps au cœur de débats passionnés entre experts de cybersécurité, autorités et forces de l’ordre, a trouvé un point d’équilibre : l’article 16 bis interdit toute « backdoor » ou mécanisme d’affaiblissement volontaire. Cette décision consolide la robustesse des défenses et évite d’ouvrir la porte à des adversaires qui exploiteraient inévitablement de tels accès.

En parallèle, DORA cible spécifiquement la finance. Il impose une gouvernance des risques TIC, des tests de résilience, un pilotage rigoureux des prestataires critiques et une double notification coordonnée ANSSI/AMF. La dissuasion repose sur les autorités nationales, jusqu’à la perte d’agrément dans les cas extrêmes.

À cela s’ajoutent l’AI Act, qui encadre les usages de l’IA selon leur niveau de risque, et le Cyber Resilience Act, qui impose la sécurité des produits numériques mis sur le marché. Ensemble, ces textes composent un paysage dense, parfois perçu comme un maquis. Pour les entreprises, l’enjeu est clair : transformer ce millefeuille réglementaire en trajectoire lisible, en bâtissant un pipeline unique de preuves et en alignant gouvernance et opérations sur des standards reconnus.

Coûts, compétitivité et réalité économique : combien investir ?

Derrière les acronymes — NIS2, DORA, AI Act, Cyber Resilience Act, RGPD — se cachent des chiffres qui parlent d’eux-mêmes. Chaque directive, chaque règlement, c’est un audit supplémentaire à financer, de nouvelles technologies à déployer, des équipes à former pour suivre le rythme. Ces investissements sont indispensables, mais ils pèsent lourd. En France particulièrement, le coût horaire moyen du travail dépasse 41 €, contre 30€ en Italie, 28 € aux États-Unis, 26€ en Espagne et moins de 10 € en Inde. Autrement dit, à chaque mise en conformité, coûte trois à quatre fois plus cher ici que chez certains concurrents mondiaux.

À cela s’ajoute la réalité du marché de l’emploi : la cybersécurité souffre déjà d’une pénurie chronique. Chaque règlement accentue la pression. Recruter un expert devient une compétition féroce, avec des salaires en hausse et une offre de talents qui ne suit pas. Vous devez faire plus, mais avec moins de ressources disponibles.

Et le risque ne s’arrête pas là : ignorer ou repousser la conformité, c’est s’exposer à des amendes très salées, à une réputation écornée, voire à la perte de clients en cas de fuite de données. Entre marges qui s’effritent, fiscalité contraignante et concurrence internationale qui joue avec moins de règles, vous avancez sur une ligne de crête.

La cybersécurité n’est pas un luxe. C’est un passage obligé. La seule question, désormais, n’est plus « faut-il investir ? », mais « comment arbitrer sans se mettre en danger ? ».

Les pratiques observées par notre cabinet situent souvent la fourchette cible a minima entre 8 % et 10 % du budget IT selon le niveau d’exposition et la maturité.
En Europe, la part des investissements IT consacrée à la sécurité atteint 9 % en 2024, d’après l’étude ENISA NIS Investments 2024. Autrement dit, pour 10 M€ d’IT, ~0,9 M€ sont dédiés à la cybersécurité. En comparaison, les entreprises américaines consacrent environ 13 % de leur budget technologique à la cybersécurité.

Cependant, répondre aux exigences réglementaires de manière pragmatique et proportionnée coûte moins cher que subir une cyberattaque majeure. Les dernières analyses d’ENISA montrent un volume d’incidents croissants, avec DDoS et ransomware parmi les menaces dominantes ; côté secteurs, la finance concentre une part significative des cas. Sur le plan financier, le coût moyen mondial d’une violation à près de 5 millions d’euros, avec des montants encore plus élevés pour la finance. Les vecteurs d’entrée qui dominent restent l’exploitation de vulnérabilités, la compromission d’identifiants et le fléau du phishing – des surfaces d’attaque directement réductibles par des contrôles que NIS2 et DORA exigent déjà : gestion active des vulnérabilités, MFA étendu, durcissement, supervision et sauvegardes testées. En clair, ce que vous faites pour « cocher » NIS2 ou DORA est précisément ce qui réduit le risque et donc la facture.

Pour un dirigeant, l’équation est claire : investir maintenant ou payer bien plus cher plus tard.

Transformer la jungle en trajectoire : la boussole des standards de cybersécurité

La multiplication des textes – NIS2, DORA, RGPD, AI Act, Cyber Resilience Act – ressemble à une forêt dense où chaque pas coûte temps, argent et énergie. La tentation est grande de subir ou de faire l’autruche. Mais vous pouvez reprendre la main, en transformant cet empilement réglementaire en une trajectoire lisible.

Comment ? En vous appuyant sur la boussole des standards. ISO/IEC 27001 pour poser la gouvernance, les politiques et les contrôles. NIST CSF 2.0 pour organiser l’opérationnel autour de cinq verbes simples : Identifier, Protéger, Détecter, Répondre, Restaurer. ISO 22301 pour la continuité, OWASP SAMM pour le logiciel, IEC 62443 pour l’OT. Ces fondations sont éprouvées.

Mappez vos obligations réglementaires sur ce socle, puis tenez un registre de proportionnalité — exigence réglementaire — qui justifie vos choix face aux risques réels. C’est ce qu’un régulateur ou un auditeur cherchera à voir : non pas la perfection immédiate, mais des décisions proportionnées, documentées et validées par la gouvernance. Enfin, alignez vos contrats fournisseurs et vos métriques internes sur ces mêmes exigences.

Vous gagnez trois choses concrètes. D’abord, la stabilité : un cadre qui résiste aux changements de textes et aux vagues de directives. Ensuite, la vitesse : audits et notifications deviennent plus fluides grâce à des preuves déjà structurées. Enfin, la valeur : une cybersécurité crédible qui protège vos activités, rassure vos clients et renforce votre compétitivité.

La route est tracée : sécurisez l’essentiel, étendez-le à vos tiers, industrialisez la preuve. La conformité ne sera plus un objectif subi, mais la conséquence logique d’une sécurité solide et mesurable.