NIS2,
mesure par mesure.

Préparer un programme NIS2 démontrable, au-delà du diagnostic

Un programme NIS2 utile doit permettre de répondre à des questions concrètes : quels services dépendent de vos systèmes, qui décide des mesures de sécurité et comment prouver leur fonctionnement ? Le travail consiste à organiser ces réponses, puis à les maintenir lorsque les infrastructures, les prestataires ou les risques évoluent.

La directive fixe un cadre européen. Sa mise en œuvre suppose également de vérifier le droit national applicable, les autorités compétentes et les éventuelles règles sectorielles. Ne confondez pas une cartographie des exigences européennes avec une validation juridique de votre situation.

Déterminer le périmètre sans raccourci

Les annexes I et II couvrent notamment l’énergie, les transports, la santé, les infrastructures numériques, certains services informatiques, des activités industrielles, les déchets et l’alimentation. Le métier effectivement exercé compte davantage qu’une étiquette commerciale générale.

La règle de taille vise en principe les entreprises moyennes et celles qui dépassent leurs plafonds dans les catégories couvertes. Elle comporte des exceptions : certaines entités peuvent relever du dispositif indépendamment de leur taille, notamment dans les communications électroniques, les services de confiance ou le DNS. L’administration publique obéit également à des dispositions particulières.

Évitez donc une qualification fondée uniquement sur l’effectif d’un établissement. Les liens entre entreprises, les services fournis et les critères spécifiques doivent être examinés. Documentez votre raisonnement par entité juridique, pays et activité, puis faites confirmer les points sensibles par vos conseils.

La distinction entre entité essentielle et entité importante détermine notamment le régime de supervision. Elle ne signifie pas qu’une entité importante pourrait se dispenser de mesures de sécurité ou de préparation aux incidents.

Les exigences à transformer en pratiques

L’article 20 prévoit que les organes de direction approuvent les mesures de gestion des risques et supervisent leur mise en œuvre. Il prévoit aussi leur formation. Une validation annuelle purement formelle ne remplace pas des arbitrages suivis sur les moyens et les risques.

L’article 21 impose des mesures techniques, opérationnelles et organisationnelles proportionnées. Il couvre notamment :

• l’analyse des risques et la sécurité des systèmes ;
• la gestion des incidents et la continuité d’activité ;
• la sécurité de la chaîne d’approvisionnement ;
• la sécurité des acquisitions, du développement et de la maintenance ;
• l’évaluation de l’efficacité des mesures ;
• l’hygiène informatique, la formation et la cryptographie ;
• les ressources humaines, les accès et les actifs ;
• l’authentification renforcée et les communications sécurisées, lorsque cela est approprié.

Pour chaque domaine, définissez un responsable, un résultat attendu et une preuve. Une sauvegarde n’est pas une capacité de reprise démontrée tant que sa restauration et ses dépendances n’ont pas été testées.

Certains prestataires numériques relèvent aussi du règlement d’exécution (UE) 2024/2690. Vérifiez cette situation avant de choisir votre référentiel détaillé : les règles applicables ne se réduisent pas à un questionnaire général.

Calendrier : distinguer transposition et gestion d’incident

La date limite européenne de transposition était le 17 octobre 2024, avec application des dispositions nationales à partir du 18 octobre 2024 selon la directive. Ces dates ne permettent pas, à elles seules, de conclure à l’état du droit applicable dans chaque pays.

Pour la France, vérifiez les textes promulgués, leurs dispositions d’entrée en vigueur et les publications de l’ANSSI. Une page d’information ou un projet de référentiel ne suffit pas à établir une échéance opposable. Le présent guide ne présume pas l’achèvement de la transposition française en novembre 2026.

L’article 23 prévoit, pour un incident important, une alerte précoce sous 24 heures après en avoir pris connaissance, puis une notification sous 72 heures. Le rapport final intervient au plus tard un mois après la notification ; des modalités particulières existent si l’incident se poursuit. Les prestataires de services de confiance ont un délai spécifique pour la notification. Préparez une procédure adaptée à votre catégorie plutôt qu’un calendrier unique pour tous.

Sanctions, supervision et autres enjeux

Pour les manquements aux articles 21 et 23, l’article 34 exige des plafonds d’amendes d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, le montant le plus élevé étant retenu. Pour les entités importantes, les références sont 7 millions d’euros ou 1,4 %.

Il s’agit des niveaux minimaux des plafonds que les États doivent prévoir, et non d’amendes automatiques. Les modalités nationales et les circonstances du manquement comptent. La directive prévoit également des pouvoirs de contrôle et d’injonction. Au-delà des sanctions, une interruption durable peut affecter vos clients et vos engagements contractuels.

Un parcours opérationnel en sept étapes

1. Qualifier les entités. Recensez activités, pays, structures juridiques et catégories possibles. Gardez les justificatifs et les questions ouvertes. Identifiez les autorités et procédures nationales à vérifier.

2. Obtenir un mandat de direction. Désignez les responsables, les circuits de décision et les moyens. Organisez la formation des dirigeants et formalisez les décisions sur les mesures prioritaires.

3. Cartographier les dépendances. Reliez les services aux applications, infrastructures et fournisseurs. Identifiez les ressources dont la perte empêcherait le fonctionnement et les dépendances difficiles à remplacer.

4. Évaluer et prioriser les écarts. Comparez les pratiques aux exigences applicables. Commencez par les risques susceptibles d’interrompre les services ou de propager un incident. Affectez chaque action à un propriétaire.

5. Déployer les mesures et recueillir les preuves. Conservez revues d’accès, tests de restauration, décisions fournisseurs et résultats de formation. Vérifiez la qualité et la portée des éléments, pas seulement leur présence.

6. Exercer la notification. Simulez un incident avec les équipes techniques, juridiques et dirigeantes. Testez la qualification, l’escalade, les contacts et la préparation des informations malgré une visibilité initialement incomplète.

7. Réviser régulièrement le programme. Présentez les risques résiduels et les actions en retard à la direction. Intégrez les changements réglementaires et techniques. Fermez les écarts après vérification, pas après une simple déclaration d’avancement.

Comment Domyno accompagne la démarche

Domyno combine une plateforme SaaS et un expert humain dédié : les agents préparent le travail, l’humain valide. La cartographie des actifs aide à structurer le périmètre technique. La gestion des fournisseurs soutient le suivi des dépendances externes.

Le module Contrôles & conformité réunit une bibliothèque commune de contrôles, les preuves et les plans d’action. Cette organisation soutient le travail de conformité sans transformer un outil en autorité juridique ni remplacer les décisions de direction.

Références utiles

Consultez la directive sur EUR-Lex et les informations NIS2 de l’ANSSI, puis vérifiez les textes nationaux applicables.

Pour structurer votre périmètre et votre plan de preuves, demandez une démonstration.