Contexte : 2026, l’année de la maturité cyber
La directive NIS2 (Network and Information Security 2) entre en application en octobre 2026, marquant une évolution majeure du cadre européen de cybersécurité. Son ambition ? Renforcer la résilience numérique des organisations dites essentielles et importantes face à des menaces toujours plus sophistiquées.
Dans le viseur des régulateurs, des secteurs stratégiques comme l’énergie, le transport, l’industrie, la santé, la finance, l’administrations publiques mais aussi tous les prestataires et partenaires susceptibles d’affecter leur sécurité.
Autrement dit, la conformité NIS2 ne concerne plus uniquement le RSSI et la DSI : c’est désormais une responsabilité partagée par l’ensemble de la direction, du COMEX à la direction financière. Et dans cette nouvelle lecture holistique du risque, le périmètre financier et administratif devient un sujet à part entière.
Les « NIS2 obligations 2026 » obligent chaque acteur à reconsidérer ses processus sous l’angle de la cybersécurité : identification des points d’entrée, maîtrise des flux de données, et sécurisation des chaînes applicatives y compris celles qui paraissent les plus « inoffensives », comme la gestion des notes de frais.
1. NIS2, une directive qui étend la notion de surface d’attaque
Jusqu’ici, la cybersécurité se concentrait sur les systèmes critiques : réseaux, serveurs, messagerie, terminaux, cloud, etc. La directive NIS2 change la donne en exigeant que toutes les fonctions qui participent à la continuité d’activité soient intégrées à la stratégie de sécurité.
Cela signifie que chaque brique applicative interconnectée au système d’information d’une entreprise essentielle devient un potentiel maillon faible s’il n’est pas sécurisé selon les standards NIS2 :
- Gouvernance et pilotage du risque cyber par la direction.
- Cartographie complète des actifs numériques (y compris SaaS métiers).
- Supervision, journalisation et remontée d’incidents.
- Contrôle des tiers et prestataires.
L’enjeu dépasse donc la conformité stricte : il s’agit d’une démarche de souveraineté opérationnelle, où chaque processus interne doit être maîtrisé dans toute sa chaîne de responsabilité.
Et c’est précisément ici que la gestion des notes de frais pose question.
2. Les notes de frais : un angle mort du risque cyber
Derrière son apparente banalité administrative, la note de frais concentre en réalité trois types de vulnérabilités :
a) Des données à haute sensibilité
Chaque justificatif contient un fragment d’identité numérique : factures nominatives, documents PDF, extraits de comptes, billets électroniques, souvent hébergés, partagés ou transférés sans chiffrement fort.
Dans un contexte où la protection des données à caractère personnel et la traçabilité financière sont au cœur des obligations réglementaires, ces éléments deviennent critiques et rejoignent les enjeux de cybersécurité des données RH.
b) Des interconnexions multiples
Les solutions de gestion de dépenses interagissent avec plusieurs briques : ERP, SIRH, messageries, applications bancaires ou outils RH. Un connecteur mal maîtrisé ou un token API compromis peut suffire à ouvrir une brèche dans l’infrastructure de l’organisation.
Dans un environnement classé sensible (défense, recherche, énergie, finances publiques…), cette exposition est incompatible avec les exigences de continuité et d’intégrité des données.
c) Des comportements utilisateurs difficiles à contrôler
Captures de reçus sur des téléphones personnels, upload de justificatifs depuis des réseaux externes, partage de documents non chiffrés : autant de pratiques quotidiennes difficiles à encadrer si la solution utilisée n’intègre pas des politiques de sécurité by design.
En clair : la sécurité des notes de frais n’est pas un sujet anecdotique, c’est une composante à part entière de la sécurité des données financières et de la maîtrise de la chaîne applicative.
3. Les « NIS2 entreprises essentielles » : nouvelles obligations et impacts
Les entités concernées par NIS2 devront démontrer leur conformité selon plusieurs axes :
- Supervision complète de la chaîne numérique, incluant les applications tierces et SaaS ;
- Moyens techniques documentés pour garantir la confidentialité, la disponibilité et l’intégrité des données ;
- Plans de continuité d’activité et procédures d’escalade en cas d’incident ;
- Auditabilité des pratiques de sécurité sur toute la chaîne de sous-traitance.
Cela implique que les directions financières et informatiques travaillent de concert :
- Le DAF doit garantir la conformité des processus métiers (dépenses, paiements, remboursements).
- Le DSI et le RSSI doivent valider que chaque solution utilisée répond aux exigences techniques et organisationnelles de la directive.
Concrètement, pour les directions déployant des outils de gestion de notes de frais dans des contextes réglementés ou restreints, cela signifie :
- Évaluer la localisation et la souveraineté des données (hébergement France ou UE).
- Examiner la gestion des accès et rôles utilisateurs.
- S’assurer d’une traçabilité complète des opérations (modifications, suppressions, exports).
- Garantir l’intégration dans la chaîne de supervision et d’audit interne.
En cas de non-conformité, les conséquences peuvent aller bien au-delà d’une sanction réglementaire NIS2 : perte d’habilitations, gel de contrats sensibles, ou simple impossibilité d’être référencé comme fournisseur sécurisé.
4. Évaluer la « sécurité notes de frais » : les bons réflexes
Pour préparer l’échéance NIS2, plusieurs axes d’analyse s’imposent :
- Cartographier les flux : où résident les justificatifs ? quelles interconnexions existent entre la solution de notes de frais et le SI interne ?
- Qualifier les données : type, sensibilité, durée de conservation, conformité RGPD et conformité NIS2.
- Évaluer la robustesse du fournisseur SaaS : certification, politique de sécurité, plan de reprise d’activité, gestion d’incident.
- Impliquer la direction financière : c’est elle qui contrôle la majorité des flux administratifs concernés par NIS2 sans toujours les percevoir comme critiques.
Cette évaluation ne doit pas être conduite en silo : DAF, RSSI, DSI et responsable conformité ont intérêt à agir de manière coordonnée et documentée pour anticiper les audits et justifier de leur maturité.
Un exemple : une organisation publique utilisant un outil collaboratif non souverain pour la gestion de ses dépenses expose potentiellement des données budgétaires à un hébergeur étranger. Un simple transfert hors UE non maîtrisé peut alors suffire à mettre en péril la conformité NIS2.
5. Vertical Expense : un partenaire de confiance pour les environnements sensibles
Vertical Expense accompagne depuis plusieurs années des organisations opérant dans des environnements sensibles ou hautement réglementés, où la sécurité et la souveraineté des données ne sont pas optionnelles.
Cette expérience a façonné une approche spécifique : celle d’une solution de gestion de notes de frais pensée pour s’intégrer dans des écosystèmes à forte exigence de sécurité.
Les piliers de cette approche :
- Hébergement souverain et respect des contraintes d’accès restreint.
- Architecture cloisonnée permettant d’isoler les données par entité ou environnement client.
- Fonctionnalités de supervision et d’audit conformes aux standards NIS2 et ISO27001.
- Accompagnement dédié pour la mise en conformité et la documentation des pratiques internes.
Cette posture permet à Vertical Expense d’être un partenaire naturel pour les DAF et RSSI cherchant à renforcer la maîtrise de leur surface d’attaque tout en optimisant le pilotage des dépenses.
Dans un monde où la conformité devient un levier de compétitivité, choisir une solution sécurisée et souveraine, c’est aussi se démarquer auprès de ses partenaires publics et privés.
Conclusion : 2026, la conformité par la maîtrise
La directive NIS2 oblige les organisations essentielles à adopter une vision 360° de leur sécurité numérique. Dans cette perspective, les directions financières ont un rôle clé : elles doivent intégrer leurs outils de gestion et de reporting dans le périmètre cyber de l’entreprise.
La sécurité des notes de frais n’est plus une préoccupation secondaire, c’est un enjeu réglementaire, économique et stratégique.
En choisissant une solution comme Vertical Expense, les entreprises font plus que se mettre en conformité : elles construisent une chaîne de confiance, capable de résister aux menaces et de prouver leur maîtrise à leurs partenaires, clients et régulateurs.
NIS2 n’est pas un projet IT, c’est un projet d’entreprise.
Et dans cette entreprise, chaque flux, y compris vos notes de frais, compte.
