NIS2 : 6 points de préparation pour les PME françaises
La directive NIS2 fixe un cadre européen. Son application concrète dépend du périmètre de l'organisation et des textes nationaux en vigueur. Voici six points à examiner, avec les références officielles associées. Cette page ne publie aucun calendrier réglementaire français non vérifié.
Vérifier le périmètre et l’autorité compétente
L'applicabilité, la qualification de l'entité et l'autorité compétente doivent être vérifiées à partir des textes et portails officiels en vigueur.
Actions concrètes
- Identifier votre autorité compétente selon votre secteur
- Préparer les informations administratives (SIREN, représentant légal, DPO)
- Vérifier les démarches demandées sur le portail officiel compétent
- Conserver l'accusé de réception comme preuve
Analyser les mesures de gestion des risques de l'article 21
L'article 21 impose 10 mesures concrètes : analyse des risques, gestion des incidents, continuité d'activité, sécurité chaîne d'approvisionnement, sécurité développement, évaluation efficacité, hygiène cyber, cryptographie, sécurité RH et contrôle d'accès, authentification multi-facteur.
Actions concrètes
- Cartographie des actifs et des dépendances fournisseurs
- Rédiger ou mettre à jour la PSSI, la politique de gestion des incidents et la politique de chiffrement
- Définir le périmètre et les règles d'authentification multifacteur adaptées aux risques
- Documenter un plan de continuité d'activité (PCA) testé au moins une fois
- Former les équipes aux bases de l'hygiène cyber (phishing, mots de passe, signalement)
Sources :
Préparation du circuit de notification applicable
L'article 23 prévoit plusieurs étapes pour certains incidents significatifs. Les critères, destinataires et délais doivent être confirmés selon le statut de l'entité et le droit national applicable.
Actions concrètes
- Définir les critères d'un 'incident significatif' (indisponibilité, fuite, ransomware, etc.)
- Préparer des modèles adaptés aux étapes et délais confirmés
- Identifier le responsable du signalement et son suppléant
- Faire un exercice 'table-top' pour valider le circuit
- Archiver les preuves du circuit pour l'audit
Sources :
Sécuriser la chaîne d'approvisionnement (fournisseurs tiers)
L'article 21.2.d couvre la sécurité de la chaîne d'approvisionnement. Le périmètre et la profondeur des évaluations doivent être adaptés aux dépendances et aux risques.
Actions concrètes
- Lister vos fournisseurs critiques (ceux dont la défaillance vous paralyse)
- Envoyer un questionnaire de sécurité (ou vérifier leur SOC 2, ISO 27001)
- Inclure des clauses contractuelles de sécurité et de notification
- Documenter une procédure de revue annuelle
- Prévoir un plan de continuité si un fournisseur critique tombe
Évaluer les mesures et informer la direction
L'article 21.2.f traite de l'évaluation de l'efficacité des mesures et l'article 20 de la gouvernance. Leur portée et les conséquences pour les dirigeants doivent être qualifiées selon les textes applicables.
Actions concrètes
- Auditer en interne les 10 mesures de l'article 21
- Mesurer les KPIs (taux de MFA, délai moyen de patch, nombre d'incidents)
- Produire un rapport formel à la direction
- Faire signer la direction (preuve de prise de connaissance)
- Planifier les actions correctives pour le trimestre suivant
Préparer les éléments susceptibles d'être contrôlés
Les modalités de supervision et de contrôle dépendent du texte applicable et de l'autorité compétente. Aucune date d'audit n'est annoncée ici.
Actions concrètes
- Préparer un dossier d'audit complet (politiques, preuves, rapports)
- Identifier un référent audit interne
- Anticiper les questions sur les catégories de mesures et le circuit de notification applicable
- Avoir les preuves horodatées (MFA, patchs, tests PCA)
- Se préparer à des sanctions possibles : amendes jusqu'à 10M€ ou 2% CA
Article 20 : gouvernance à qualifier
L'article 20 traite de l'approbation et de la supervision des mesures par les organes de direction. Sa portée, les responsabilités et les conséquences éventuelles doivent être vérifiées dans le droit national applicable à l'organisation.
Documentez les rôles, la supervision et les besoins de sensibilisation, puis faites confirmer les exigences applicables à votre situation.
Ce que le parcours Kyrionn permet d’examiner
- Diagnostic NIS2 : score par mesure de l'article 21 et plan d'actions à examiner.
- Modèles de politiques : points de départ à relire, adapter et valider avant utilisation.
- Notification des incidents : points de contrôle et modèles à vérifier avant utilisation.
- Suivi fournisseurs : questionnaire sécurité, scoring risque, traçabilité DPA.
- Éléments de preuve : données et documents à relier aux contrôles puis à valider dans leur contexte.
Démarrez votre diagnostic NIS2 gratuit
Le parcours présente un score, un état par mesure et un plan d'actions à examiner avant utilisation.
Sources
Patient Kotto
Consultant cybersécurité et GRC senior, Fondateur de Kyrionn
Patient Kotto développe Kyrionn et publie ces points de préparation à partir des sources officielles citées. Questions : · En savoir plus