Introduction

Ce guide fournit une checklist pratique pour réaliser un premier diagnostic interne sur l'applicabilité de la directive NIS2 à votre organisation. L'objectif est d'offrir des étapes concrètes, des exemples d'actifs et de services à inventorier, et des actions prioritaires pour décider d'engager un plan de conformité plus large.

Pourquoi évaluer l'applicabilité de NIS2

  • NIS2 impose des exigences de gestion des risques cyber, de notification d'incidents et de gouvernance pour des « entités essentielles » et « entités importantes ». La désignation formelle et les seuils sont fixés par les lois nationales de transposition.
  • Même si une organisation n'est pas automatiquement couverte par NIS2, des relations contractuelles avec des entités couvertes ou la fourniture de services critiques peuvent générer des obligations contractuelles et des audits.

Étape 0 — préparer le screening (10–30 minutes)

  • Désignez un responsable interne (responsable sécurité, DPO ou CTO) pour coordonner le diagnostic.
  • Rassemblez la documentation de base : organigramme, liste des services IT et commerciaux, principaux clients et fournisseurs critiques.
  • Préparez un registre temporaire (tableur partagé) pour consigner les réponses à la checklist.

Checklist opérationnelle en 10 points (évaluation initiale)

  1. Secteur et services
  • Vérifiez si l'organisation opère dans des secteurs souvent couverts par NIS2 : énergie, transports, santé, eau, infrastructures numériques, services financiers, services publics, gestion des déchets, etc. (consulter la loi nationale pour la liste définitive).
  1. Types de services
  • Identifiez les services critiques fournis : fourniture d'électricité, gestion de réseaux, hébergement/data centers, cloud infrastructure, services de paiement, services d'urgence, traitement de l'eau, systèmes de contrôle industriel (ICS/SCADA), services de messagerie centralisés.
  1. Taille et seuils
  • Recueillez des indicateurs de taille : effectifs, chiffre d'affaires et bilan. Les seuils précis sont définis par la transposition nationale ; de nombreuses transpositions ciblent les grandes entreprises et les fournisseurs de services critiques.
  1. Clients et impact géographique
  • Évaluez si les clients comprennent des autorités publiques ou des infrastructures critiques, ou si les services ont un impact transfrontalier ou régional.
  1. Dépendances tierces
  • Cartographiez fournisseurs et sous-traitants critiques (cloud, MSP, fournisseurs OT/ICS). Les fournisseurs de services aux entités couvertes peuvent devoir respecter des exigences contractuelles et de notification d'incidents.
  1. Actifs techniques et opérationnels
  • Inventoriez les actifs critiques : data centers, réseaux backbone, systèmes d'authentification centraux (AD/LDAP), bases de données clients, systèmes de facturation, appareils OT, passerelles réseau, solutions de sauvegarde.
  1. Continuité et réponse aux incidents
  • Vérifiez l'existence de plans de continuité, sauvegardes et playbooks de réponse aux incidents. Leur absence peut révéler un écart significatif avec les attentes de NIS2.
  1. Obligations contractuelles et réglementaires
  • Passez en revue les clauses existantes avec clients ou organismes publics exigeant des normes de sécurité, audits ou notifications d'incidents.
  1. Capacités de journalisation et de reporting
  • Vérifiez si des systèmes centralisés de logs, monitoring et rétention existent pour l'analyse forensique et la production de rapports.
  1. Gouvernance et responsabilités
  • Identifiez si une responsabilité au niveau exécutif existe pour la gestion du risque cyber (ex. supervision par le conseil). NIS2 insiste sur la gouvernance et la reddition de comptes.

Exemples concrets d'actifs et de processus à cartographier

  • Infrastructures IT : serveurs de production, pare-feu, VPN, systèmes de gestion d'identités.
  • Infrastructures OT : automates, SCADA, capteurs industriels, réseaux de contrôle.
  • Services cloud et virtuels : IaaS, PaaS, SaaS fournis à des clients critiques.
  • Systèmes de paiement ; portails clients et interfaces publiques.
  • Télécommunications : points d'interconnexion, DNS, opérateurs de transit.

Si la checklist indique une applicabilité potentielle

  • Effectuez une vérification juridique : consultez la transposition nationale et demandez conseil juridique si nécessaire.
  • Contactez l'autorité nationale compétente pour des éclaircissements pratiques (les coordonnées sont publiées par les administrations nationales).
  • Élaborez un plan d'action : analyse des écarts techniques, plan d'adaptation organisationnelle, calendrier et budget.

Actions prioritaires (90 premiers jours recommandés)

  • Documentez les résultats du screening et la motivation des conclusions (pour audit et due diligence).
  • Mettez en place ou renforcez les procédures de gestion d'incidents et les flux de notification internes.
  • Ajoutez des clauses contractuelles minimales avec fournisseurs critiques : notification d'incidents, contrôles de sécurité et droits d'audit.
  • Lancez des mesures de hardening de base : gestion des correctifs, contrôle des accès privilégiés, segmentation réseau des actifs critiques.

Documentation minimale à conserver

  • Registre du screening avec preuves (qui a répondu, dates, documents consultés).
  • Inventaire des actifs critiques et cartographie des fournisseurs.
  • Plans de réponse aux incidents et rapports d'exercices/tests.
  • Contrats mis à jour avec clauses de sécurité et SLA.

Recommandations et limites

Ce guide sert d'outil opérationnel pour un screening initial. La détermination formelle de l'applicabilité dépend de la transposition nationale et d'éventuels listes officielles. Pour des décisions contraignantes ou des obligations complexes, impliquez conseil juridique et spécialistes en cybersécurité.

Checklist rapide (synthèse)

  • Responsable nommé et registre démarré
  • Secteurs et services catalogués
  • Actifs critiques inventoriés
  • Fournisseurs critiques cartographiés
  • Processus de réponse aux incidents documentés
  • Preuves et documents archivés

Étapes suivantes

Lancez le screening dès aujourd'hui : désignez le responsable, remplissez le registre et planifiez une réunion de 1–2 heures pour compléter la checklist avec les parties techniques et juridiques.