NIS2 est intégré au budget — pas encore aux systèmes
Date de publication :
- 29 juillet 2026
Une nouvelle étude menée par CIO / CSO / Computerwoche (basée sur 324 entretiens avec des décideurs IT seniors dans la région DACH, réalisés entre novembre et décembre 2025) dresse un constat clair : NIS2 transforme en profondeur la manière dont les organisations envisagent la cybersécurité. Mais la conformité et la résilience réelle restent très éloignées l’une de l’autre.
Voici les enseignements qui nous semblent les plus importants – et ce qu’ils impliquent pour votre approche de la sensibilisation à la sécurité et du risque humain.
État de la mise en œuvre de NIS2
NIS2 est en vigueur. Le délai est passé. Pourtant, l’écart entre le fait d’être concerné et celui d’être prêt reste considérable.
66%
47%
jugent la mise en œuvre de NIS2 difficile, voire très difficile. Seules 15 % signalent peu d’obstacles. Les principaux défis : un effort de mise en œuvre élevé (39 %), la complexité des exigences (39 %) et un périmètre réglementaire flou (34 %).
Cela signifie qu’une grande partie des organisations concernées accusent un retard – non par manque d’intérêt, mais parce que la directive est réellement difficile à opérationnaliser. Des périmètres flous, des exigences qui se recoupent avec DORA pour les acteurs du secteur financier et des capacités internes limitées y contribuent.
L’angle mort du risque humain
Chaque vecteur d’attaque commence par l’ingénierie sociale
L’un des constats les plus marquants de l’étude : tous les grands vecteurs d’attaque peuvent (et le font généralement) commencer par de l’ingénierie sociale. Le phishing n’est pas une menace parmi d’autres – c’est la porte d’entrée vers presque tout le reste.
Plus de la moitié des personnes interrogées redoutent l’espionnage industriel comme menace majeure. Pourtant, dès qu’il s’agit de former le facteur humain, les chiffres racontent une autre histoire :
Seuls 43,5 %
des organisations proposent des formations NIS2 obligatoires pour la direction. 37 % les classent encore comme facultatives. Dans 11 % des entreprises, de telles formations n’existent pas du tout.
56%
citent les « menaces actuelles » comme thème de formation le plus fréquent – et donc la catégorie de formation à la sécurité la plus souvent obligatoire dans l’étude. Pourtant, les spécialistes de la sensibilisation doutent que des exposés génériques sur les menaces induisent un réel changement de comportement.
Des formations qui informent sans modifier les comportements laissent le facteur humain exposé. Savoir à quoi ressemble « en principe » un e-mail de phishing n’est pas la même chose qu’être entraîné à le repérer et à le signaler de façon fiable sous la pression du temps.
Risque lié à la chaîne d’approvisionnement – reconnu mais sous-estimé
NIS2 exige explicitement que les organisations pilotent activement la sécurité de leur chaîne d’approvisionnement. L’étude révèle pourtant ici une lacune importante :
- Plus de 85 % indiquent que la mise en œuvre de NIS2 conduit à un portefeuille de fournisseurs plus étendu – plus de fournisseurs, donc une surface d’attaque plus grande.
- Seul un tiers des personnes interrogées considère les risques liés à la chaîne d’approvisionnement comme un domaine critique, alors qu’il s’agit d’une exigence explicite de NIS2.
- Le nombre de fournisseurs augmente au lieu de diminuer – ce qui accroît la surface d’attaque alors même que les organisations s’efforcent de la sécuriser.
De nombreuses organisations sont absorbées par le respect des exigences formelles de NIS2 et perdent de vue ce contre quoi la directive cherche réellement à protéger – les failles dans la chaîne d’approvisionnement figurant parmi les plus lourdes de conséquences.
L’IA dans la cybersécurité – et le problème « Skynet »
L’adoption de l’IA s’accélère. L’étude montre que deux tiers des organisations utilisent déjà l’IA de manière intensive et que trois quarts étendent leur recours à l’IA – la moitié d’entre elles de façon significative. L’objectif déclaré de l’usage de l’IA en cybersécurité ? Des opérations de sécurité entièrement automatisées. Ce n’est plus une perspective lointaine – c’est déjà l’orientation clairement affichée par une part importante des répondants.
10 % au total – 17 % dans les grandes entreprises
souhaitent une sécurité entièrement autonome, sans possibilité d’intervention humaine. Parmi les organisations de plus de 1 000 collaborateurs, près d’une sur cinq est prête à retirer complètement l’humain du processus de décision en matière de sécurité.
Cela mérite qu’on s’y arrête. La même étude montre que plus de la moitié des organisations n’ont même pas mis en place de formation obligatoire à la sécurité – tandis qu’une minorité significative est déjà prête à retirer entièrement l’humain de la boucle de sécurité. Le risque de cette combinaison n’est pas théorique.
L’ironie : les attaquants utilisent l’IA pour concevoir des attaques d’ingénierie sociale plus convaincantes et plus personnalisées. La réponse, ce sont des collaborateurs mieux formés – et non moins d’humains dans le processus de décision. 😉
Où iront les budgets IT en 2026
Malgré un contexte économique incertain, les intentions d’investissement dans l’IT restent fortes :
- 49 % prévoient d’augmenter significativement leurs dépenses IT (de 10 % ou plus).
- 43 % prévoient de maintenir ou d’augmenter légèrement leur budget.
Et le principal domaine d’investissement ? La sécurité de l’information – avec 45,8 %, elle devance nettement toutes les autres catégories. À l’horizon 2026–2029, les quatre principaux domaines d’investissement sont l’infrastructure IT, le cloud, le matériel dédié à l’IA et la cybersécurité.
La sécurité n’est donc pas reléguée au second plan. Le défi consiste plutôt à orienter ces investissements vers les bons problèmes – ce qui inclut tout particulièrement le facteur humain, et pas seulement la pile technique.
La conformité est encore trop souvent traitée comme un exercice documentaire, et non comme un programme de transformation des comportements. C’est précisément dans cet écart que se produisent les attaques. CYBERDISE est conçu pour combler cet écart — notre solution a démontré une réduction du risque humain allant jusqu’à 60 %, comme l’a montré une étude conjointe avec la Haute école de Lucerne ( lien).
FAQ
Combien d’entreprises concernées par NIS2 l’ont réellement mise en œuvre intégralement ?
Selon l’étude CIO/CSO/Computerwoche (324 décideurs IT de haut niveau dans la région DACH, nov./déc. 2025), seules 34 % font état d’une conformité totale. 66 % n’ont pas encore entièrement mis en œuvre NIS2, et 10 % supplémentaires ne savent même pas avec certitude si leur organisation est concernée. Le budget et la volonté sont là – c’est la mise en œuvre effective qui accuse du retard.
Pourquoi tant d’organisations jugent-elles la mise en œuvre de NIS2 difficile ?
47 % des décideurs IT interrogés qualifient la mise en œuvre de difficile. NIS2 a élargi de façon notable le cercle des entités assujetties, exige une gestion des risques continue assortie d’obligations de preuve, et mobilise des ressources déjà rares dans la plupart des services IT. Les entreprises sans SMSI (ISMS) préalable repartent pratiquement de zéro.
Que révèle l’étude sur les formations NIS2 obligatoires ?
Seules 43,5 % des entreprises dispensent réellement la formation de direction exigée par NIS2 – alors que cette obligation n’est pas délégable et peut engager la responsabilité personnelle. Là où des formations existent, 56 % portent sur les « menaces actuelles », tandis que le changement de comportement systématique à l’échelle de l’organisation reçoit bien moins d’attention. C’est précisément cet écart que la gestion du risque humain vise à combler.
Quel est le lien entre NIS2 et DORA pour les entreprises du secteur financier ?
DORA est un règlement européen qui s’applique directement aux banques, assurances, prestataires de services de paiement et à leurs prestataires IT critiques ; NIS2 est une directive qui ne prend effet que par le droit national. Pour les entreprises financières, DORA s’applique généralement comme « lex specialis » et prime, mais ne couvre pas tous les aspects – si bien que des exigences NIS2 peuvent s’appliquer en complément, ce qui se traduit souvent par deux contrôles de conformité qui se recoupent.
Pourquoi la chaîne d’approvisionnement reste-t-elle un angle mort de NIS2?
Plus de 85 % des participants à l’étude font état d’un portefeuille de fournisseurs plus étendu qu’auparavant, ce qui élargit la surface d’attaque via des tiers. Pourtant, l’étude constate que le risque lié à la chaîne d’approvisionnement reste sous-estimé, alors que NIS2 exige explicitement de sécuriser l’ensemble de la chaîne. Cette obligation se répercute aussi sur des entreprises qui ne sont pas directement concernées, dès lors qu’un client assujetti leur impose contractuellement les mêmes standards.
Un budget IT plus élevé résout-il le problème de mise en œuvre de NIS2 ?
Pas automatiquement. 49 % des entreprises prévoient d’augmenter nettement leur budget IT en 2026, et la sécurité de l’information est le domaine le plus prioritaire, à 45,8 %. Mais le budget seul ne comble pas les lacunes en matière de processus, d’obligations de preuve et surtout de facteur humain – des études conjointes de Cyberdise et de la Haute école de Lucerne (HSLU) montrent qu’une gestion ciblée du risque humain peut réduire jusqu’à 60 % le risque lié aux erreurs humaines.
