NIS 2 : 5 gagnants
La directive européenne NIS 2 ne se contente pas d’édicter des obligations : elle transforme la manière même dont les organisations doivent penser leur fonctionnement. Chaque entité essentielle ou importante doit désormais dresser la carte de ses dépendances :
Identifier ses fournisseurs critiques,
Nommer ses points de vulnérabilité,
Formaliser les chaînes techniques et opérationnelles sur lesquelles repose sa continuité d’activité.
Et cette exigence, loin d’être purement défensive, produit un effet structurant immédiat.
Les CERT, les autorités compétentes, les régulateurs veulent savoir :
À qui confiez-vous la résilience de vos systèmes ? Où sont vos fragilités ?
Dans ce mouvement de clarification, certains acteurs se retrouvent progressivement au centre parce que, sans eux, rien ne fonctionne — et rien ne peut se réparer rapidement. Ils ne sont pas toujours visibles dans les organigrammes mais ils apparaîtront, inévitablement et de façon répétée, dans les cartographies de dépendance. Et cela change tout.
Derrière les obligations techniques, les notifications d’incident et les procédures de réponse, NIS 2 recompose aussi des forces de gravité économique. Elle fait émerger une nouvelle géographie : celle des acteurs structurellement nécessaires. Ceux dont la présence — ou l’absence — conditionne la sécurité d’un système, la conformité d’un groupe, la soutenabilité d’une chaîne entière.
Cinq profils se détachent particulièrement dans ce basculement. Cinq gagnants silencieux de cette redistribution réglementaire. Généralement parce qu’ils occupent déjà les nœuds du réseau, là où les flux circulent, où les engagements se tiennent, où la confiance n’a plus besoin d’être prouvée.
Voici cinq figures montantes de NIS 2.
1. Les ESN — du sous-traitant au partenaire stratégique
Elles étaient sous-traitantes. Flexibles, discrètes, adaptables. Mais NIS 2 rebat les cartes. Certaines ESN — en particulier celles dépassant les seuils de taille ou opérant dans des secteurs critiques — entrent désormais dans le périmètre de la directive. Elles ne peuvent plus se contenter de livrer un service : elles doivent démontrer qu’elles en garantissent la sécurité.
Elles passent de prestataires à référent. Ce sont les Articles 21 et 23 de la directive les y engagent :
Cartographier leurs propres risques, internes et chez leurs sous-traitants,
Déployer des mesures organisationnelles solides, de la gestion des accès aux plans de continuité,
Réagir vite aux incidents, avec des procédures testées et opérationnelles,
Alerter les autorités (comme l’ANSSI en France) dans des délais stricts,
Et surtout, documenter leur posture de cybersécurité de manière cohérente et justifiable.
Les ESN qui acceptent cette montée en compétence — en gouvernance, en documentation, en alignement — deviennent des partenaires stratégiques. Elles ne sont plus seulement celles qui “implémentent”, mais celles qui structurent, rassurent, rendent défendables les systèmes de leurs clients.
Celles qui sauront traduire les exigences réglementaires en architectures techniques simples, scalables, traçables, auront une longueur d’avance. Et à ce titre, elles deviendront incontournables … parce qu’on ne pourra plus s’en passer.
2. Les hébergeurs souverains — la lente revanche des prudents
Ils avaient choisi la rigueur, avaient investi dans la conformité quand personne ne la réclamait et aligné leurs pratiques sur les exigences les plus strictes — pas pour séduire, mais pour se différencier des mastodontes. SecNumCloud, ISO 27001, HDS…
Des labels techniques que d’autres avaient perçus comme des contraintes plus que comme des avantages. Leurs choix suscitaient des regards sceptiques : trop lourds, trop complexes, pas assez agiles.
Et pourtant, aujourd’hui, ces sceaux élargissent leurs possibilités.
3. Les consultants cybersécurité — la prise de parole méthodique
Ils intervenaient souvent trop tard : en aval et en urgence. Les consultants cybersécurité étaient les “pompiers” du numérique — compétents, mais périphériques.
Mais NIS 2 impose une gouvernance, un rythme, une posture continue : elle transforme la cybersécurité en fonction transversale. Dans cette transformation, les consultants deviennent des orchestrateurs. Ils articulent les dimensions juridique, technique et culturelle de la sécurité.
Ils traduisent les exigences réglementaires en scénarios réalistes, adaptés à la taille, au secteur, à la maturité de chaque client. Ils alignent les systèmes d’information, les fournisseurs, les procédures, les comités de pilotage, pour que la conformité devienne une dynamique intégrée.
Ils pourront accompagner un acteur public ou une banque dans la mise en conformité NIS 2, en partant d’un audit de maturité, en définissant une feuille de route, puis en déployant un cycle de gouvernance :
Comité cybersécurité mensuel,
Mise à jour des politiques internes,
Création d’un plan de réponse à incident,
Mise en place de tableaux de bord pour la direction générale.
Dans les PME, des profils plus agiles et polyvalents pourront conseiller et proposer des “kits de conformité” sur mesure, adaptés à des organisations sans RSSI ni DPO en interne.
Ces consultants deviennent indispensables à l’heure où NIS 2 impose de “démontrer” autant que de “faire”.
4. Les éditeurs “compliance-ready” — l’industrialisation de la preuve
Le temps du logiciel simplement “fonctionnel” est révolu. Il ne suffit plus qu’un outil exécute correctement ses tâches : il doit désormais produire les éléments de preuve de sa propre robustesse, et de la conformité de son usage. C’est une bascule discrète mais profonde :
Le module de journalisation n’est plus un simple log technique,
Le tableau de bord devient un registre décisionnel,
La fonctionnalité d’export n’est plus pensée pour les équipes internes, mais pour l’auditeur externe, le régulateur, ou le DSI en situation de justification.
La directive NIS 2, notamment à travers ses articles 21, 23 et 24, transforme l’exigence de sécurité en une exigence de traçabilité démontrable et restituable dans un format intelligible, exploitable, transmissible à une autorité de contrôle.
Dans cette logique, les logiciels deviennent des machines à preuves :
Être capable de démontrer qu’un test de résilience a eu lieu,
Montrer qu’un incident a été détecté dans les temps,
Fournir les horodatages, les alertes, les réponses déployées,
Et, dans certains cas, répéter le scénario pour en prouver la maîtrise.
Les éditeurs qui intègrent ces exigences deviennent des co-acteurs directs de la conformité. Et dans les chaînes de sous-traitance, ces fonctionnalités deviennent des arguments commerciaux déterminants. Le DSI d’un client soumis à NIS 2 posera systématiquement la question :
“Pouvez-vous prouver que votre outil m’aide à me conformer à la directive ?”
Si la réponse est floue, l’éditeur devient un frein. Et s’il peut démontrer que son produit structure la preuve, il devient un accélérateur de conformité. Il vend une capacité à gouverner, une capacité à résister, une capacité à prouver.
Et l’éditeur passe du statut de vendeur à celui de co-garant.
5. Intégrateurs - Et si le futur de NIS 2 dépendait aussi… du (no)code ?
Autant être honnête : ce profil, je l’écris avec beaucoup plus de doute que les autres. Parce qu’il touche à un métier qui change. On pourrait parler de “développeurs”. Mais ce mot ne rend pas justice à leur rôle. Ce ne sont pas seulement des codeurs de fonctionnalités, ce sont ceux qui font tenir les systèmes entre eux, ceux qui ouvrent les API, assemblent les briques, connectent les flux.
Autrement dit : des intégrateurs.
Et dans une directive qui repose sur la visibilité, la traçabilité, la réponse coordonnée, ce rôle d’interface vivante entre les composants devient stratégique.
Mais voilà : c’est aussi un rôle fragile.
Car c’est le métier que l’intelligence artificielle a déjà transformé en profondeur. Parce qu’on peut désormais générer du code à partir de texte, créer des interfaces en quelques clics, automatiser des connecteurs. Parce que les plateformes low-code, no-code, les assistants IA… remodèlent les contours de ce qu’on appelle “développement” plus rapidement que le reste.
C’est peut là qu’un rôle se dessine pour l’intégrateur, plus différenciant : la capacité à construire des interfaces défendables. Des points de jonction sûrs, lisibles, explicables — là où les systèmes parlent entre eux. Dans un monde post-NIS 2, où la conformité se mesure dans les détails de l’implémentation, ceux qui savent rendre visibles et sécuriser les points d’échange deviendront les garants de la sécurité. Et peut-être, les plus inattendus des cinq gagnants.
En conclusion : NIS 2 comme opportunité concurrentielle
NIS 2 n’est pas une directive qui crée des acteurs ex nihilo. Elle permet surtout à ceux qui existent déjà — ESN, hébergeurs, éditeurs, consultants, intégrateurs et bien d’autres — d’ajouter une brique de sécurité à leur offre, Elle leur donne une couche de crédibilité.
Ceci dans un contexte où les métiers techniques, réglementaires, ou organisationnels sont eux-mêmes en redéfinition. Où l’IA, l’automatisation, la transformation numérique bousculent les contours de presque toutes les spécialités. Aujourd’hui, savoir gérer le risque — le voir venir, le cartographier, y répondre — n’est plus réservé à d’obscurs experts : c’est une compétence-clé pour évoluer.
Ce qu’apporte NIS 2 , c’est une compétence rare mais précieuse : la capacité à intégrer l’incertitude dans sa pratique. Savoir lire le risque, s’en servir comme levier stratégique, l’expliquer à ses clients. Ceux qui savent faire ça seront à la fois des prestataires et des partenaires capables de concevoir les architectures du futur.
