Conformité NIS2 : corriger la gestion des identités et des accès avant l’audit de 2026

Une équipe de sécurité incapable de fournir une liste des personnes ayant accès à quoi, et de prouver pourquoi chacune d’elles en a encore besoin, ne s’expose plus seulement aux attaquants. Selon la directive NIS2, cette même lacune expose désormais l’organisation aux régulateurs, et expose les dirigeants à une responsabilité personnelle. Les auditeurs ne viennent pas évaluer la sophistication du programme de sécurité. Ils viennent vérifier si l’organisation peut fournir, à la demande, la preuve que l’accès aux systèmes et données sensibles est autorisé, contrôlé et consigné.

Cette distinction est essentielle, car elle change la définition du « suffisant ». Comme l’a rapporté Help Net Security le 1er septembre 2026, les audits liés aux lois nationales de transposition de la NIS2 deviennent juridiquement contraignants dans l’ensemble des États membres de l’UE dès octobre, plusieurs pays fixant des dates limites d’enregistrement et d’application dans les semaines à venir. Les entités essentielles risquent des amendes allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les entités importantes encourent jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires. Les organes de direction, c’est-à-dire les conseils d’administration et les dirigeants nommés, s’exposent à une responsabilité personnelle pouvant aller jusqu’à une interdiction temporaire d’exercer des fonctions de direction si leur organisation ne peut démontrer une gouvernance raisonnable des risques de cybersécurité.

Tout cela ne dépend pas du fait qu’une organisation ait déjà subi une violation. Ce qui compte, c’est sa capacité à fournir des preuves. Un compte de service inactif non contrôlé depuis dix-huit mois, un prestataire ayant quitté le projet mais conservant des droits administratifs, un journal d’audit existant mais non exportable dans un format exploitable par l’auditeur : chacun de ces cas constitue un point de non-conformité potentiel, qu’il ait été exploité ou non.

C’est pourquoi la gestion des identités et des accès est passée d’un simple sujet technique à un enjeu de conformité traité au niveau du conseil d’administration, presque du jour au lendemain. Les organisations qui considèrent la conformité NIS2 comme un exercice de documentation, et non comme une démarche de production de preuves, sont les plus susceptibles d’échouer à leur premier audit. La suite de cet article détaille les exigences en matière de preuves, explique pourquoi la visibilité sur les identifiants et les accès est le moyen le plus rapide de combler les lacunes, et montre comment une plateforme reposant sur des journaux d’audit unifiés et une gestion gouvernée des accès change la donne avant même l’arrivée de l’auditeur.

Résumé des points clés

1. NIS2 sanctionne l’absence de preuves, pas l’imperfection de la sécurité.

Les auditeurs vérifient si les organisations peuvent prouver que les accès ont été autorisés, contrôlés et consignés, pas si leur programme de sécurité est irréprochable.

2. Les enjeux financiers et personnels sont majeurs.

Les entités essentielles risquent jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial, les entités importantes jusqu’à 7 millions d’euros ou 1,4 %, et les organes de direction peuvent être personnellement responsables, y compris via des interdictions temporaires d’exercer des fonctions exécutives.

3. La preuve du contrôle des accès est la victoire conformité la plus rapide.

L’inventaire des identifiants, la fermeture des comptes dormants et l’activation de journaux d’audit exportables permettent à une organisation d’être prête pour l’audit en quelques semaines, alors que d’autres obligations NIS2, comme la gestion des risques supply chain, nécessitent plusieurs mois de mise en œuvre.

4. Les lacunes relevées par les régulateurs sont précises et récurrentes.

Comptes dormants, rôles surdimensionnés et identifiants non contrôlés depuis 90 jours ou plus sont les principales failles relevées dans presque tous les audits de contrôle des accès échoués.

5. Les journaux d’audit unifiés et le contrôle d’accès basé sur les attributs comblent directement la faille.

Les plateformes générant une piste d’audit unique et exportable sur tous les canaux de données sensibles, associée à des autorisations basées sur les rôles et les attributs, fournissent aux équipes conformité les preuves attendues par l’auditeur, sans reconstruction manuelle.

La norme de preuve derrière l’application de la NIS2

NIS2, officiellement Directive (UE) 2022/2555, remplace la directive NIS initiale avec un champ d’application bien plus large et une posture d’application nettement plus stricte. Elle concerne les entités essentielles et importantes dans l’énergie, les transports, la banque, la santé, les infrastructures numériques, l’administration publique, et de plus en plus d’autres secteurs intégrés par les États membres dans leurs lois nationales de transposition. Deux dispositions sont particulièrement importantes ici. L’article 21(2)(i) impose l’utilisation de l’authentification multifactorielle, de communications sécurisées et de politiques de contrôle d’accès. L’article 21(2)(d) impose des mesures de sécurité supply chain qui étendent la responsabilité de l’organisation à ses fournisseurs et prestataires de services.

La différence pratique entre ces deux obligations tient au calendrier. Selon Help Net Security, les organisations peuvent généralement mettre en place des politiques de contrôle d’accès documentées et applicables en deux à quatre semaines, alors que les programmes de gestion des risques supply chain nécessitent en réalité de six à douze mois pour arriver à maturité. Cette asymétrie explique pourquoi le contrôle d’accès est devenu la première étape pour les organisations visant la conformité avant la date butoir d’octobre. C’est l’exigence NIS2 la plus directement maîtrisable, et celle que les auditeurs peuvent vérifier le plus rapidement, car la preuve – ou son absence – se trouve dans les systèmes d’identités et les référentiels de logs déjà en place.

Les auditeurs vérifient si la politique d’accès déclarée par l’organisation correspond à la réalité déployée. Une politique écrite stipulant que les accès sont revus chaque trimestre ne vaut rien pour l’auditeur si personne ne peut fournir les comptes rendus de ces revues. Affirmer que les comptes dormants sont désactivés rapidement ne vaut rien si le système d’identités affiche des comptes de service inactifs depuis plus d’un an et toujours actifs. C’est la norme de preuve introduite par la NIS2, qui ne tolère aucun écart entre le document de politique de sécurité et ce qu’applique réellement l’infrastructure.

Niveaux de pénalités et responsabilité personnelle des organes de direction

L’exposition financière sous NIS2 s’organise en deux niveaux, en fonction de la criticité du secteur concerné. Les entités essentielles, parmi lesquelles les grandes organisations de l’énergie, de la banque, de la santé et des infrastructures numériques, risquent des amendes administratives allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial de l’exercice précédent, le montant le plus élevé étant retenu. Les entités importantes, catégorie plus large couvrant notamment les services postaux, la gestion des déchets, la production alimentaire et l’industrie, encourent jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial.

Ce qui distingue la NIS2 de nombreux cadres de conformité antérieurs, c’est la couche de responsabilité personnelle qui s’ajoute aux amendes infligées à l’entreprise. Les organes de direction – conseils d’administration et dirigeants responsables de la gestion des risques cybersécurité – peuvent être tenus personnellement responsables en cas de manquement aux mesures adéquates. Les autorités nationales peuvent exiger une déclaration publique identifiant les personnes physiques et morales responsables, et, dans les cas les plus graves, interdire temporairement à certains individus d’exercer des fonctions exécutives ou de direction jusqu’à la résolution du problème. Il s’agit d’une pression d’un tout autre ordre que le simple signalement d’une non-conformité par un responsable conformité. Cela place le RSSI, le responsable conformité et le conseil d’administration autour de la même table, avec le même objectif : combler la faille de preuve avant l’arrivée de l’auditeur, et non après.

Cette structure de responsabilité explique pourquoi la NIS2 est devenue l’un des sujets les plus discutés dans les cycles de reporting des conseils d’administration cette année. Selon le rapport annuel Kiteworks Data Security and Compliance Risk 2026 mené auprès de 459 responsables sécurité, conformité et technologie, les organisations européennes et britanniques placent les exigences réglementaires liées à l’IA et aux données en tête de leurs défis conformité, plus que toute autre région. Le rapport attribue directement ce constat à l’environnement d’application concret créé par le RGPD, l’AI Act européen et les délais de notification NIS2. Ce type de pression réglementaire ne reste pas longtemps cantonné aux débats de politique interne. Il s’invite dans les ordres du jour des conseils, les demandes budgétaires, et de plus en plus dans les discussions sur les risques personnels avec les juristes.

Pourquoi la visibilité sur les identifiants et les accès est la victoire conformité la plus rapide

Toute faille de contrôle d’accès remonte toujours à un identifiant, qu’il appartienne à un collaborateur, un prestataire, un compte de service ou une clé API oubliée. Le rapport Data Breach Investigations Report 2026 de Verizon révèle que l’exploitation de vulnérabilités a dépassé l’abus d’identifiants comme vecteur d’accès initial le plus courant, représentant désormais 31 % des violations, mais l’abus d’identifiants n’a pas disparu pour autant. Il intervient simplement plus loin dans la chaîne d’attaque. Selon les chiffres 2026 de Verizon relayés par Help Net Security, les identifiants interviennent encore dans la chaîne de 39 % des violations, servant moins de porte d’entrée que d’outil pour se déplacer latéralement une fois l’accès obtenu.

Les données de coûts confirment l’importance de ce point pour un programme de conformité, et pas seulement de sécurité. Le rapport IBM Cost of a Data Breach 2026 estime le coût moyen mondial d’une violation à 4,99 millions de dollars, soit une hausse de 12 % en un an et un record historique. La gestion des identités et des accès arrive en troisième position des facteurs de réduction des coûts étudiés par IBM, permettant d’économiser en moyenne 225 622 dollars lorsqu’elle est bien déployée. À l’inverse, une mauvaise gestion des secrets et des clés ajoute 198 933 dollars au coût moyen lorsqu’ils sont impliqués dans une violation. Le non-respect des réglementations applicables ajoute encore 201 112 dollars. La gouvernance des accès n’est donc pas un simple contrôle d’apparence : c’est l’un des rares leviers ayant un effet mesurable sur le coût d’une violation et l’exposition réglementaire.

C’est aussi pour cela que la visibilité sur les identifiants est considérée comme la victoire conformité la plus rapide. L’inventaire de tous les identifiants non gérés – comptes de service, clés API, certificats – est un projet que la plupart des équipes identité peuvent lancer immédiatement avec les outils déjà en place. L’application de l’authentification multifactorielle résistante au phishing sur les comptes à privilèges et les accès distants suit le même rythme rapide. Aucun de ces points ne nécessite de nouvel achat ni d’intégration longue. Ce qu’il faut, c’est la discipline d’aller au bout de l’inventaire et d’agir sur ses résultats, qui révèlent généralement bien plus de comptes oubliés et de droits orphelins que prévu.

Les failles de preuve en contrôle d’accès les plus souvent relevées par les auditeurs

Trois failles précises reviennent dans presque tous les audits de contrôle d’accès qui échouent. Chacune nécessite une approche de remédiation spécifique.

Les comptes dormants sont la faille la plus fréquente. Il s’agit de comptes utilisateurs, comptes de service et identifiants API qui restent actifs dans l’annuaire bien après le départ de la personne, la fin du projet ou l’arrêt de l’intégration qui les justifiait. Un contrôle de cycle de vie trimestriel, adossé à un processus documenté plutôt qu’à un nettoyage ponctuel, est ce qu’attendent les auditeurs NIS2. L’absence de ce contrôle est en soi une non-conformité, indépendamment de toute exploitation d’un compte dormant.

Les rôles surdimensionnés constituent la deuxième faille récurrente. Les droits d’accès s’accumulent au fil du temps, au gré des changements d’équipe, des missions temporaires ou de l’héritage de droits d’un prédécesseur sans révocation des anciens accès. Le contrôle d’accès basé sur les rôles, associé au contrôle d’accès basé sur les attributs pour des conditions plus granulaires (état du terminal, localisation, sensibilité des données), offre à l’organisation les moyens structurels d’aligner les autorisations sur les besoins réels, et non sur l’historique. Les recommandations du NIST SP 800-63B et de l’ENISA convergent : il faut minimiser les accès par défaut et les réattribuer selon un calendrier défini, pas les accorder une fois pour toutes.

Les identifiants non contrôlés associés à des accès inutilisés (comptes ou clés non authentifiés depuis 90 jours ou plus) complètent la liste. C’est la faille qu’une analyse de conformité NIS2 détecte le plus souvent en premier, car elle se mesure directement dans les logs, sans entretien ni revue de politique. Une organisation capable d’interroger son infrastructure d’identités et de produire cette liste en quelques minutes aborde l’audit dans une position radicalement différente de celle qui aurait besoin de semaines pour la reconstituer à la main.

Le rapport annuel Kiteworks 2026 chiffre l’ampleur de cette faille de preuve. 63 % des organisations interrogées ont subi au moins une conséquence liée à la conformité au cours des 12 derniers mois (constat d’audit, plan de remédiation, remontée au conseil, pénalité contractuelle ou enquête réglementaire formelle). La moitié n’a pas pu fournir un audit complet des accès aux données en moins d’une journée ouvrée, et seulement 33 % disposaient de pistes d’audit infalsifiables. La recommandation du rapport est claire : DORA, NIS2 et l’AI Act européen imposent des délais d’audit que la moitié des organisations ne peuvent pas tenir aujourd’hui, et la capacité à produire ces preuves ne s’improvise pas une fois la demande du régulateur reçue.

Construire un programme de contrôle d’accès prêt pour l’audit

Combler ces failles relève moins de l’achat de nouvelles technologies que de l’opérationnalisation de contrôles déjà existants sous une forme ou une autre. Un cycle de revue trimestrielle des accès, documenté et reproductible, en est la base. Ce cycle doit couvrir tous les types de comptes, pas seulement les collaborateurs, et produire un relevé consultable par l’auditeur sans intervention en direct de l’équipe sécurité.

Les contrôles d’accès fondés sur les principes de la zero trust architecture – rien n’est accordé par défaut, quel que soit l’emplacement réseau – limitent l’accumulation de comptes à privilèges avant même qu’elle ne commence. L’authentification multifactorielle sur les accès à privilèges et distants, résistante au phishing selon le NIST SP 800-63B Section 5.2.10, élimine l’un des vecteurs d’accès initiaux les plus courants. Aucun de ces contrôles n’a rien d’exotique. Ce qui distingue les organisations qui réussissent leur audit de celles qui échouent, c’est le fait que les contrôles sont appliqués techniquement, consignés automatiquement et revus selon un calendrier fixe, et non simplement documentés dans une politique rarement suivie.

La centralisation et l’exportabilité des journaux d’audit assurent la cohérence de l’ensemble. L’auditeur ne veut pas entendre que les logs existent quelque part dans une douzaine de systèmes différents. Il veut un relevé unique, cohérent, de qui a accédé à quoi, quand et sous quelle autorisation, dans un format qui facilite l’audit au lieu de le compliquer. C’est aussi là que le risque tiers croise directement le contrôle d’accès, car l’accès des fournisseurs et prestataires est précisément le type d’identifiant le plus susceptible de devenir obsolète sans être détecté à la fin d’un projet.

Un CISO Dashboard qui met en avant comptes dormants, droits obsolètes et exhaustivité des logs d’audit en un seul écran donne aux responsables conformité et sécurité la même vision que l’auditeur demandera, avant même le début de l’audit. Cette visibilité transforme l’évaluation NIS2 en simple validation du travail accompli.

Comment Kiteworks répond aux exigences de preuve NIS2

Kiteworks secure data exchange repose sur le même principe de priorité à la preuve que les auditeurs NIS2 appliquent désormais. La plateforme génère une piste d’audit unifiée sur tous les canaux où circulent des contenus sensibles, y compris la messagerie électronique, le transfert sécurisé de fichiers, le partage de fichiers et les formulaires web, évitant ainsi aux équipes conformité de devoir reconstituer l’historique des accès à partir de systèmes disparates lors d’une demande d’audit. Les contrôles d’accès basés sur les rôles et les attributs appliquent le principe du moindre privilège au niveau du contenu, ce qui répond directement au problème des rôles surdimensionnés souvent relevé lors des audits NIS2.

Kiteworks détient les certifications FedRAMP Moderate, ISO 27001 et SOC 2, et la NIS2 s’ajoute à la liste des cadres réglementaires que la plateforme prend en charge avec des preuves documentées et vérifiables, et non une simple auto-attestation. Pour les organisations qui visent la conformité avant la date butoir d’octobre, cela signifie que l’inventaire des identifiants, le workflow de revue trimestrielle et le journal d’audit exportable attendu par l’auditeur sont déjà des fonctionnalités structurelles de la plateforme, et non un projet à construire dans l’urgence.

Comme les coûts de conformité augmentent fortement à mesure que l’on tarde à combler les failles de preuve connues, la voie la plus rapide vers la conformité est généralement celle qui nécessite le moins de nouvelle infrastructure. Centraliser la gouvernance des accès et les logs d’audit sur une plateforme conçue pour répondre à cette exigence de preuve est souvent moins coûteux, et bien plus rapide, que d’essayer de rassembler la même visibilité à posteriori à travers une multitude d’outils spécialisés.

Pour en savoir plus sur la fermeture des failles de preuve NIS2 en matière de contrôle d’accès avant votre prochain audit, réservez votre démo sans attendre !

Ressources complémentaires

• Article de blog Guerre d’influence sur vos données : comment les lois CLOUD et SHIELD opposent sécurité et vie privée
• Article de blog Sécurisez les données sensibles en alignant la DSPM sur vos objectifs de conformité
• Brief Top 3 des violations FERPA et comment les éviter
• Article de blog Executive Order 14117 : protéger les données personnelles sensibles des Américains
• Article de blog Besoin de conformité NIS2 ? Commencez par l’ISO 27001