La directive NIS2 a été créée pour renforcer la cybersécurité à l’échelle de l’Union européenne, notamment dans les secteurs où une défaillance numérique ne représente pas seulement un problème technique, mais constitue un réel risque pour l’économie et les services essentiels. Cependant, à l’approche de la phase de conformité “véritable” — avec supervision, audits et sanctions à l’horizon — un effet secondaire commence à émerger, déjà évoqué dans le secteur : une Europe divisée entre ceux qui peuvent se conformer efficacement et ceux qui trébuchent.

Voici l’une des principales conclusions partagée par la insurtech Stoïk. Son directeur de la cybersécurité, Vincent Nguyen, met en garde contre un choc dans le respect des obligations : d’un côté, les secteurs critiques dotés de moyens financiers solides et d’équipes dédiées ; de l’autre, les fournisseurs, sous-traitants et PME qui se trouvent poussés dans une course aux exigences qu’ils ne peuvent pas toujours suivre au même rythme.

NIS2 : plus qu’une simple directive, un changement de culture (et de budget)

NIS2 renforce le cadre européen de sécurité des réseaux et systèmes, avec un objectif simple à expliquer mais difficile à réaliser : que les services clés tels que l’énergie, le transport, la banque ou la santé puissent continuer à fonctionner même en cas d’attaque, avec des obligations claires de prévention, de réponse et de notification aux autorités.

En pratique, la conformité ne se limite pas à “avoir un antivirus” ou à un fournisseur de sécurité : elle exige une gestion des risques, des mesures organisationnelles et techniques, une traçabilité et, surtout, une capacité à prouver que l’on fait le nécessaire. La directive intègre également des délais de notification plus stricts : un signalement précoce, suivi de communications détaillées selon un calendrier formel.

Et c’est ici que le point de friction souligné par Stoïk intervient : respecter ces obligations coûte, et pas seulement en technologie. Cela représente un investissement en temps de la part des dirigeants, en conseils, en processus, en audits et en formations. Nguyen souligne en outre une conséquence directe : de nombreuses entreprises réorientent leurs investissements vers des certifications et des preuves de conformité, ce qui peut réduire leur marge de manœuvre pour d’autres priorités internes, telles que la modernisation des infrastructures ou les projets de transformation numérique.

“L’Europe à deux vitesses” : le risque d’une fracture dans la chaîne

Le diagnostic de Stoïk repose sur une réalité difficile : la cybersécurité d’une organisation dépend désormais autant de ce qu’elle fait en interne que de ce qui se passe dans son écosystème de partenaires. Un grand acteur peut disposer d’équipes, de centres de sécurité (SOC), d’assurances, de red teaming et de plans de continuité… mais si son petit fournisseur ne répond pas au niveau minimal, le risque se glisse par la porte dérobée.

Dans ce sens, “l’Europe à deux vitesses” n’est pas seulement une métaphore sociale : c’est un scénario opérationnel où les exigences réglementaires augmentent pour tous, mais où les capacités d’exécution évoluent à des rythmes variés. Sur un marché, cela crée aussi un facteur de compétitivité : l’organisation capable de démontrer maturité et conformité décroche des contrats, tandis que celles incapables de le faire les perdent.

Par ailleurs, avec le délai de transposition de NIS2 déjà dépassé dans l’UE, le contexte réglementaire devient plus exigeant : la conformité ne se résume plus à “un projet futur”, elle devient une réalité présente, avec des implications en termes de responsabilité.

Huit tendances pour 2026 selon Stoïk : du ransomware à la “cybersécurité 360°”

Dans ce contexte, Nguyen partage huit tendances qu’il estime détermineront la cybersécurité d’ici 2026. Ce sont des prévisions mêlant menaces techniques, transformations du cybercriminalité et effets collatéraux du déploiement rapide de l’Intelligence Artificielle.

1) NIS2 et le choc de la conformité : le point de départ

La première tendance concerne, justement, la division selon la capacité à se conformer : secteurs critiques face aux PME et fournisseurs plus modestes. Pour Stoïk, ce déséquilibre pourrait transformer la réglementation en un nouveau filtre du marché.

2) Le ransomware comme “menace silencieuse”

Nguyen décrit le ransomware comme une menace de plus en plus difficile à détecter à temps. Le message principal est clair : le ransomware ne se limite pas à chiffrer les données ; il s’infiltre, attend le bon moment et cherche le point de pression maximal.

3) L’ère du CEO 2.0 : usurpations avec l’IA (vishing et deepfakes)

L’Intelligence Artificielle générative a rendu plus abordables et accessibles des techniques autrefois artisanales. Stoïk alerte sur la recrudescence des usurpations d’identité : clonage vocal, deepfakes vidéo, fraude par appel (vishing), notamment ciblant les cadres et opérations à forte dimension financière.

4) Désinformation dans les campagnes politiques européennes

Nguyen prévoit une influence croissante de la désinformation lors des scrutins. Le risque ne se limite pas aux “fausses nouvelles” virales : il inclut la manipulation de contenu, la fabrication de faux preuves et des campagnes de confusion destinées à déstabiliser institutions et réputation.

5) Événements majeurs sous surveillance : Mondial 2026 et Jeux Olympiques d’hiver

Les grands événements sportifs concentrent audiences, transactions et systèmes critiques temporaires (vente de billets, contrôles d’accès, streaming, Wi-Fi public, logistique). Stoïk met en garde contre cette dépendance numérique qui peut faire de ces événements des cibles attractives, tant pour leur visibilité que pour leur opportunité.

6) La chaîne d’approvisionnement, “l’éternel maillon faible”

Nguyen signale des attaques visant des tiers et des dépendances, notamment bibliothèques open source et extensions de navigateur. Le problème est connu : compromettre une petite pièce très distribuée peut amplifi er considérablement l’impact global.

7) Cybercriminels “plus sophistiqués”

Stoïk décrit une évolution des acteurs malveillants : une génération qui maîtrise depuis plusieurs années des technologies comme l’IA, l’IoT ou l’automatisation, alliant professionnalisme et pragmatisme. Moins de bruit, davantage de business, une spécialisation accrue.

8) La “cybersécurité 360°” : le nouveau paradigme à l’ère de l’IA

En conclusion, Nguyen propose une nouvelle approche : la protection ne peut plus être compartimentée. Il évoque une cybersécurité intégrale, capable de couvrir non seulement le périmètre traditionnel, mais aussi l’identité, les données, les fournisseurs, les modèles d’IA, les flux internes et une réponse coordonnée aux incidents.

Le dilemme : respecter la conformité pour renforcer la sécurité… ou pour simplement “passer l’audit”

L’avertissement implicite de Stoïk est que le secteur risque de tomber dans le piège de réduire NIS2 à une simple liste de vérification. Pourtant, la conformité a une vertu : elle impose de structurer l’organisation. Dans un marché où les attaques deviennent plus automatisées, impersonnelles et économiques, la défense doit s’appuyer sur l’opposé : la discipline, les processus et la capacité à réagir rapidement.

La question qui demeure en suspens pour 2026 n’est pas tant si NIS2 “fonctionnera” en théorie, mais si l’Europe parviendra à faire que cette conformité améliore réellement la sécurité, sans pour autant atteindre un point où une partie de l’écosystème économique—notamment ceux qui jouent le rôle de fournisseurs ou de maillons faibles— serait exclue ou fragilisée.

Questions fréquentes

Quel type d’entreprises sera le plus impacté par NIS2 en 2026 ?

Ce seront celles intégrées dans des chaînes d’approvisionnement de secteurs régulés (énergie, transport, santé, banque, infrastructures numériques) qui devront démontrer leurs contrôles, processus et capacité à notifier en cas d’incident.

Pourquoi Stoïk évoque-t-il une “Europe à deux vitesses” avec NIS2 ?

Parce que toutes les entreprises ne disposent pas des mêmes ressources pour se conformer : les grandes entités critiques ont souvent des budgets et des équipes dédiées, alors que nombreuses PME et fournisseurs doivent faire face à des contraintes plus lourdes.

Qu’entend-on par “CEO 2.0” dénoncé par Stoïk ?

Un scénario où la fraude ciblant les dirigeants s’intensifie via l’IA, notamment par clonage vocal (vishing) ou deepfakes, pour frauder lors de paiements, modifier des comptes ou manipuler des décisions internes.

Pourquoi la chaîne d’approvisionnement est-elle considérée comme le “maillon faible” ?

Parce qu’un attaquant peut compromettre un fournisseur, une bibliothèque open source ou une extension de navigateur, puis faire porter le risque à plusieurs organisations qui dépendent de cet élément.