NIS 2 : selon Board of Cyber, 10 % des entités françaises portent 93,1 % des failles critiques
Le 10 septembre 2026, le magazine Silicon a relayé un panorama de la maturité cyber des entités françaises assujetties à la directive NIS 2, que son auteur, l'éditeur Board of Cyber, présente comme le premier de cette ampleur. L'étude dit avoir évalué la surface d'attaque externe de 21 700 organisations. Un chiffre en ressort, qui intéresse autant les DPO que les RSSI : 10 % des entités concentreraient 93,1 % des vulnérabilités critiques, tout en étant présentes dans les chaînes d'approvisionnement de l'ensemble du marché.
Ce que mesure le panorama
Board of Cyber, éditeur d'une solution de notation cyber, indique s'être appuyé sur le Référentiel Cyber France (ReCyF) de l'ANSSI et avoir analysé 2,8 millions d'actifs. Le score global moyen s'établit à 690 sur 1000, un niveau que l'étude qualifie d'intermédiaire.
La distribution est resserrée : 59,4 % des entités se situent dans la catégorie intermédiaire, 32,7 % atteignent la catégorie avancée et 7,9 % restent au niveau basique. Près d'une entité sur cinq (18,1 %), toutes intermédiaires, se trouve à moins de 50 points du seuil avancé, un cap que le panorama décrit comme complexe à franchir. Sur les 18 secteurs couverts par la directive, deux seulement atteignent le niveau avancé.
Les écarts sectoriels sont nets. Le secteur bancaire compte 60,2 % d'entités en catégorie avancée. Le secteur numérique, qui constitue pourtant le socle commun des 18 secteurs de la directive, n'en compte que 28,1 % : il rassemble 81 % des structures de niveau basique, reste le seul à écoper d'un grade C en matière de messagerie, et totalise à lui seul 64,8 % des vulnérabilités critiques observées.
Pourquoi c'est important
Le point le plus opérationnel du panorama n'est pas le score moyen, c'est la concentration du risque. L'article 21.2.d de la directive impose aux entités assujetties de traiter la sécurité de leur chaîne d'approvisionnement : identifier les tiers critiques, évaluer les risques induits, puis suivre leur niveau de sécurité dans le temps. C'est l'une des obligations de NIS 2 les plus structurantes, et celle que ces chiffres éclairent le mieux.
Deux tiers des fournisseurs potentiels n'atteindraient pas le niveau avancé, mais l'essentiel du risque se loge ailleurs : dans les 10 % d'entités qui portent 93,1 % des vulnérabilités critiques. Board of Cyber relève par ailleurs que 13,6 % des organisations classées en catégorie avancée présentent malgré tout au moins une faille critique exploitable, susceptible d'atteindre leurs partenaires par ricochet. Enfin, 34,8 % des organisations obtiennent un grade D ou E sur la surface d'attaque externe, domaine qui recouvre ports ouverts et interfaces d'administration exposées sur Internet.
« Ces indicateurs dessinent un paysage à deux vitesses où le risque est massivement concentré », résume Sylvain Lefeuvre, directeur général adjoint de Board of Cyber.
Ce tableau arrive alors que la France n'avait, à cette date, toujours pas transposé la directive. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, attendu à l'ordre du jour de la session parlementaire extraordinaire de juillet, n'y a pas figuré : la discussion est repoussée à septembre, sans qu'aucune date soit fixée au 10 septembre. Nous suivions déjà ce calendrier de transposition, et la question de savoir qui est concerné reste le premier réflexe.
Ce que ça change pour les organisations
- Regarder son exposition externe avant l'audit interne. Ports ouverts, interfaces d'administration accessibles depuis Internet, configuration de la messagerie : ce sont les points que le panorama passe au crible, et ils se constatent sans accéder au système d'information.
- Hiérarchiser les fournisseurs plutôt que les traiter à l'identique. Si le risque se concentre sur une minorité d'acteurs, un questionnaire envoyé uniformément à tout le parc dilue l'effort. La démarche rejoint celle d'un audit de sous-traitants côté RGPD : classer d'abord, documenter ensuite.
- Croiser l'inventaire NIS 2 et le registre RGPD. Un tiers critique au sens de l'article 21.2.d est très souvent un sous-traitant au sens de l'article 28 du RGPD. Deux inventaires tenus séparément divergent, et c'est la version incomplète qui sert le jour de l'incident.
- Situer son secteur, pas seulement son entité. Une note correcte dans un secteur globalement fragile n'a pas la même portée qu'ailleurs ; l'ENISA mène l'exercice à l'échelle européenne avec son indice NIS360.
- Ne pas attendre la loi de transposition pour inventorier. Le périmètre des entités et la cartographie des tiers ne dépendent pas du texte français : ce travail est le même avant et après.
Ce que Leto en pense
Une notation externe est un bon signal d'alarme et un mauvais tableau de bord. Elle mesure ce qui se voit depuis Internet, quand la directive demande aussi de la gouvernance, des procédures, une gestion d'incidents et des preuves. Ces chiffres émanent d'un éditeur qui vend de la notation cyber : un indicateur de marché, pas un constat d'autorité. La donnée vraiment utile est celle de la chaîne d'approvisionnement : le risque de vos prestataires devient le vôtre, et il se concentre sur quelques-uns d'entre eux. Le périmètre de Leto reste le RGPD et l'AI Act, pas la directive NIS 2 ; ce qui se transpose d'un sujet à l'autre tient surtout à l'humain, avec nos parcours de sensibilisation.
Sources
