L’essentiel

NIS2 élargit fortement le nombre de secteurs et d’organisations concernés. La qualification ne se résume pas à un seuil : elle demande de regarder l’entité, son activité, sa taille, les services fournis et les cas de désignation spécifiques.

1. Commencer par qualifier l’entité

L’analyse doit être menée au niveau de la personne morale et documenter quatre dimensions : secteur d’activité, taille, nature du service et implantation. Certaines catégories peuvent être concernées indépendamment de leur taille ; à l’inverse, un libellé commercial proche d’un secteur visé ne suffit pas à conclure.

Ne pas figer une conclusion sans date.

En France, les publications de l’ANSSI et les textes de transposition constituent la référence opérationnelle. Une analyse doit mentionner les sources consultées et l’état du droit au jour de l’étude.

2. Traiter NIS2 comme un sujet de gouvernance

Le cadre met la direction au centre de la gestion du risque cyber. Le programme ne peut donc pas être confié au seul projet technique. Il doit relier risques métier, actifs, fournisseurs, continuité, incidents, compétences et décisions d’investissement.

Les premiers chantiers qui ne seront pas perdus

  • Cartographier les services critiques, les actifs et les dépendances.
  • Attribuer les propriétaires de risques et les responsabilités opérationnelles.
  • Évaluer les fournisseurs qui participent aux services essentiels.
  • Éprouver la sauvegarde, la restauration et la continuité.
  • Formaliser la détection, l’escalade et la gestion des incidents.
  • Construire une chaîne de preuves issue de l’exploitation réelle.

3. Utiliser les publications de l’ANSSI comme référence de travail

Le portail NIS2 et les référentiels publiés par l’ANSSI constituent une base de préparation à articuler avec les contrôles déjà présents, l’état de la transposition française et les autres cadres applicables.

4. Préparer la preuve en même temps que le contrôle

Installer un contrôle sans organiser sa preuve reporte le problème au jour de l’audit ou de l’incident. Pour chaque mesure, il faut identifier le responsable, la fréquence, les résultats attendus, la conservation et la revue des écarts.

5. Éviter trois raccourcis

  • Confondre alignement ISO 27001 et conformité automatique à NIS2.
  • Réduire le programme à l’achat d’outils cyber.
  • Attendre la dernière étape réglementaire avant de traiter les risques déjà connus.

Prochaine étape

Un cadrage court doit permettre de répondre à trois questions : sommes-nous probablement concernés, quels services et entités sont dans le périmètre, et quelles actions prioritaires améliorent immédiatement notre résilience ?

Évaluer votre situation NIS2 Cadrer votre périmètre