NIS2 pour une entreprise de taille moyenne : ce que la directive exige vraiment

Lorsque la directive européenne NIS2 est devenue applicable en 2024, la plupart des entreprises de taille moyenne l'ont considérée comme une affaire de banques et d'opérateurs télécoms. En 2026, cette hypothèse ne tient plus. Les transpositions nationales entrent désormais en application dans toute l'UE, dans plusieurs pays sans aucune période de transition. Et il suffit de fournir des services critiques à la chaîne d'approvisionnement d'un client lui-même soumis à NIS2 - et soudain, vous l'êtes aussi.

Cet article ne remplace pas un échange avec un avocat. J'y ai toutefois réuni ce qui me manquait à moi-même lorsqu'un client m'a demandé pour la première fois comment GoIDEA répond à NIS2. Sans jargon de consultant, en langage clair. Ce qui découle réellement de la directive et ce que vous pouvez faire en premier.

Ce qu'est réellement NIS2

NIS2 est la directive européenne sur la cybersécurité (référence officielle 2022/2555), qui a remplacé l'ancienne directive NIS de 2016. Elle relève et harmonise les exigences de sécurité dans toute l'Union pour les entreprises des secteurs critiques et importants. Chaque État membre la transpose dans son propre droit national et désigne sa propre autorité de contrôle - les modalités de mise en œuvre varient d'un pays à l'autre.

Dans la pratique, la directive impose des obligations à trois niveaux : la gestion des risques, la notification des incidents dans des délais fixés, et la responsabilité personnelle de la direction de l'entreprise pour ces deux volets. Il s'agit d'un processus continu, maintenu aussi longtemps que l'entreprise exerce son activité.

À qui s'applique NIS2

En bref : les entreprises des secteurs critiques ou importants qui comptent au moins 50 salariés ou réalisent un chiffre d'affaires annuel d'au moins 10 millions d'euros. Les secteurs critiques comprennent l'énergie, les transports, la banque et les infrastructures numériques. Les secteurs importants comprennent notamment l'industrie manufacturière, les fournisseurs de services numériques, les services postaux et la gestion des déchets.

Le deuxième point d'accroche est moins évident. Si vous êtes vous-même hors du champ de NIS2, mais fournissez des logiciels, des infrastructures ou des services critiques à une entreprise qui y est soumise - votre client est tenu de vérifier comment vous gérez la cybersécurité. Concrètement : des clauses apparaissent dans les contrats et exigent de vous le même niveau que celui imposé au grand client.

Pour les fournisseurs de taille moyenne, c'est aujourd'hui le mécanisme le plus rapide pour être entraîné dans le champ de NIS2. Le grand client ne vous demande pas si vous souhaitez vous adapter. Le grand client dispose d'un service conformité qui a reçu un plan et qui l'exécute.

Ce que la directive exige vraiment

NIS2 définit les résultats attendus et vous laisse le choix de la technologie. Du point de vue d'une entreprise de taille moyenne, cela représente dix domaines à décrire et à maintenir.

Des politiques d'analyse des risques et de sécurité des systèmes. Des procédures de traitement et de notification des incidents - une alerte précoce sous 24 heures, une évaluation sous 72 heures, un rapport final sous 30 jours. La continuité d'activité (sauvegardes, gestion de crise). La sécurité de la chaîne d'approvisionnement - y compris vos fournisseurs de logiciels. La sécurité dans l'acquisition, le développement et la maintenance de l'informatique. Des procédures d'évaluation de l'efficacité des mesures de gestion des risques. La formation du personnel à l'hygiène informatique. La cryptographie, là où elle a du sens. Le contrôle d'accès et la gestion des identités. L'authentification multifacteur et les communications sécurisées.

Dix domaines. Chacun doit être documenté. Chacun a besoin d'un responsable. Chacun doit pouvoir être audité.

Ce que cela signifie concrètement pour une entreprise de taille moyenne

Pour la plupart des entreprises de 20-250 personnes, la mise en conformité NIS2 est avant tout un travail de documentation - sur le plan technique, elles disposent généralement déjà de ce qu'il faut. La plupart des entreprises de taille moyenne font déjà l'essentiel de ce que la directive exige - simplement, elles ne l'écrivent nulle part, ne le testent nulle part et n'en rendent compte nulle part.

La partie la plus coûteuse d'une mise en conformité NIS2 est généralement un mois de travail pour décrire ce qui se passe déjà dans l'entreprise, puis le premier audit, qui montre ce qui manque réellement. Le matériel est souvent le poste le plus modeste.

Le deuxième bloc de coûts, ce sont vos fournisseurs. Tous les contrats avec les fournisseurs de systèmes, d'hébergement et de logiciels devront faire l'objet d'avenants. La plupart des services cloud standard ont de tels avenants dans leur offre. Un prestataire local qui vous a développé une application il y a dix ans n'en a probablement pas. C'est précisément là que de nombreux clients revoient aujourd'hui leur portefeuille de fournisseurs.

Comment je construis pour NIS2

Trois décisions d'architecture que je prends dès le début de chaque projet, parce qu'elles mènent de toute façon vers la conformité à la directive.

Premièrement - tout ce que je construis tourne exclusivement dans l'infrastructure du client. Vos données ne quittent jamais les serveurs que vous contrôlez vous-même. Cela règle le problème NIS2 de la chaîne d'approvisionnement au niveau technique, avant même qu'on en discute.

Deuxièmement - le serveur tient automatiquement des journaux d'audit : qui, quand, quoi. J'y ajoute toute journalisation dont vous avez besoin ou que la réglementation exige. Il en va de même pour le contrôle d'accès, appliqué au niveau de chaque enregistrement, au-delà de l'affichage à l'écran.

Troisièmement - la documentation est produite automatiquement, au fur et à mesure de la construction du système. Le client reçoit un dossier prêt à l'emploi - qu'il peut en pratique générer lui-même depuis le système à tout moment. Cette même documentation peut être réutilisée pour préparer les autres documents exigés.

J'ai réuni davantage de détails techniques sur une page distincte consacrée à NIS2 dans l'UE. Si vous vous préparez à NIS2 ou si votre client commence à poser des questions - contactez-moi. Nous verrons précisément où vous en êtes aujourd'hui et ce que vous pouvez faire en premier.