L’article 21 de la directive NIS2, la directive (UE) 2022/2555, fixe les mesures minimales de cybersécurité que doivent prendre les entités essentielles et importantes. Il se lit comme une liste de titres, ce qui laisse une grande marge d’interprétation sur ce qui est « suffisant ». Cet article passe chaque mesure en revue en termes concrets, puis présente les délais de notification de l’article 23.
Il s’agit d’une lecture de la directive elle-même. Chaque État membre la transpose dans son droit national, qui peut ajouter des précisions : vérifiez donc les règles et l’autorité compétente de chaque pays où vous exercez une activité.
Êtes-vous concerné ?
NIS2 couvre en général les moyennes et grandes organisations des secteurs énumérés à ses annexes I et II. La taille suit la définition européenne des PME, selon laquelle une petite entreprise compte moins de 50 personnes et un chiffre d’affaires ou un total de bilan ne dépassant pas 10 millions d’euros. En pratique, si vous employez 50 personnes ou plus, ou si votre chiffre d’affaires et votre total de bilan dépassent tous deux 10 millions d’euros, vous êtes au moins une moyenne entreprise.
Certaines entités sont couvertes quelle que soit leur taille, en vertu de l’article 2, paragraphe 2. C’est le cas, par exemple, des fournisseurs de réseaux ou de services de communications électroniques publics, des prestataires de services de confiance, des registres de noms de domaine de premier niveau et des fournisseurs de services DNS.
Les entités sont soit essentielles, soit importantes (article 3). Les mesures de l’article 21 sont les mêmes pour les deux. La différence porte sur la supervision, qui s’exerce principalement a posteriori pour les entités importantes (article 33), et sur le montant maximal des amendes prévu à l’article 34. Pour les entités essentielles, les États membres doivent fixer un maximum d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les entités importantes, les chiffres sont de 7 millions d’euros ou 1,4 %.
Deux points comptent pour les lecteurs situés hors de l’UE, notamment en Turquie. En vertu de l’article 26, paragraphe 3, certains fournisseurs numériques doivent désigner un représentant dans l’UE s’ils y proposent des services sans y être établis. C’est le cas des fournisseurs de services d’informatique en nuage, de centres de données, de services managés et de services de sécurité managés. Et les fournisseurs des entités concernées ressentiront les effets de l’article 21 à travers les contrats et les questionnaires de leurs clients.
Les dix mesures de l’article 21, paragraphe 2
L’article 21, paragraphe 1, exige des mesures « appropriées et proportionnées ». Elles doivent tenir compte de l’état de l’art, des normes applicables, des coûts, de la taille de l’entité et de son exposition aux risques, ainsi que de la probabilité et de la gravité des incidents. L’article 21, paragraphe 2, précise qu’elles doivent reposer sur une approche « tous risques » et comprendre au moins les éléments suivants.
a) Analyse des risques et politiques de sécurité des systèmes d’information
Mettez par écrit ce que vous devez protéger, ce qui pourrait mal tourner et ce que vous avez décidé de faire. Pour une entreprise de 200 personnes, cela signifie un inventaire des actifs, un registre des risques revu au moins une fois par an et une courte politique de sécurité signée par la direction.
b) Gestion des incidents
Disposez d’une procédure écrite pour détecter, trier et traiter les incidents, avec des personnes nommément désignées et des contacts en dehors des heures ouvrées. Intégrez-y les étapes de notification de l’article 23, pour que personne n’ait à calculer les délais en plein incident.
c) Continuité des activités, sauvegardes, reprise après sinistre et gestion de crise
Sachez quels services comptent le plus et combien de temps vous pouvez vous en passer. Conservez des sauvegardes qu’un attaquant disposant de droits d’administrateur ne peut pas supprimer, et testez les restaurations selon un calendrier. Organisez au moins un exercice sur table avec la direction.
d) Sécurité de la chaîne d’approvisionnement
Recensez les fournisseurs et prestataires de services qui peuvent avoir une incidence sur vos systèmes, comme votre infogérant, vos fournisseurs cloud et SaaS et vos éditeurs de logiciels. L’article 21, paragraphe 3, vous demande de tenir compte des vulnérabilités propres à chaque fournisseur direct, de la qualité de ses produits et de ses pratiques de sécurité, y compris en matière de développement sécurisé. En pratique, inscrivez des exigences de sécurité et des obligations de notification des incidents dans les contrats.
e) Sécurité de l’acquisition, du développement et de la maintenance, y compris le traitement et la divulgation des vulnérabilités
Appliquez les correctifs selon un calendrier défini, suivez les vulnérabilités de ce que vous développez et achetez, et offrez aux personnes extérieures un moyen de vous signaler des problèmes. Un fichier security.txt publié et une politique de divulgation simple couvrent ce dernier point.
f) Évaluation de l’efficacité de ces mesures
Vérifiez que les mesures de sécurité fonctionnent au lieu de le supposer. Audits internes, scans de vulnérabilités, tests d’intrusion et tests de restauration comptent tous, à condition que les constats soient suivis jusqu’à leur clôture.
g) Cyberhygiène de base et formation
Couvrez partout les fondamentaux : mises à jour, configuration sécurisée, moindre privilège et suppression des comptes inutilisés. Formez régulièrement l’ensemble du personnel, au minimum à la reconnaissance de l’hameçonnage. L’article 20, paragraphe 2, exige en outre que les membres des organes de direction suivent une formation.
h) Cryptographie et chiffrement
Décidez où le chiffrement est obligatoire : ordinateurs portables, sauvegardes, données en transit et données sensibles au repos, par exemple. Décidez quels algorithmes et quelles versions de protocoles sont acceptables, et qui gère les clés et les certificats.
i) Sécurité des ressources humaines, contrôle d’accès et gestion des actifs
Mettez en place des processus d’arrivée, de mobilité et de départ qui retirent effectivement les accès le dernier jour. Revoyez régulièrement les comptes à privilèges. Tenez un inventaire des actifs dont quelqu’un est responsable et qu’il met à jour.
j) Authentification multifacteur ou continue, communications sécurisées et communications d’urgence
Utilisez l’authentification multifacteur pour les accès à distance, la messagerie, l’administration du cloud et les comptes à privilèges. Convenez d’un canal de communication d’urgence qui ne dépend pas de votre propre messagerie ou de votre outil de chat, car ceux-ci peuvent être indisponibles ou surveillés pendant un incident.
La direction est responsable
L’article 20 impose aux organes de direction d’approuver les mesures de gestion des risques et d’en superviser la mise en œuvre. Les organes de direction peuvent être tenus responsables des violations de l’article 21 par l’entité. Leurs membres doivent suivre une formation, et les États membres doivent encourager les entités à proposer régulièrement une formation similaire à leurs salariés.
En pratique, inscrivez la cybersécurité à l’ordre du jour du conseil d’administration ou du comité de direction au moins une fois par trimestre. Consignez les décisions, y compris les risques que la direction a acceptés.
Le calendrier de notification de l’article 23
Un incident important est un incident qui a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité, ou des dommages matériels ou moraux considérables à d’autres personnes. Ces incidents doivent être notifiés au CSIRT ou à l’autorité compétente par étapes :
| Étape | Délai | Contenu |
|---|---|---|
| Alerte précoce | Dans les 24 heures après en avoir pris connaissance | Si un acte illicite ou malveillant est soupçonné, et l’éventuel impact transfrontière |
| Notification d’incident | Dans les 72 heures après en avoir pris connaissance | Mise à jour de l’alerte précoce, évaluation initiale de la gravité et de l’impact, indicateurs de compromission lorsqu’ils sont disponibles |
| Rapport intermédiaire | Sur demande | Mises à jour pertinentes de la situation |
| Rapport final | Dans un délai d’un mois après la notification d’incident | Description détaillée, cause profonde probable, mesures d’atténuation appliquées et en cours, impact transfrontière |
| Rapport d’avancement | Si l’incident est toujours en cours à l’échéance du rapport final | Point de situation, suivi d’un rapport final dans un délai d’un mois après le traitement de l’incident |
Les prestataires de services de confiance ont un délai plus court. Pour les incidents qui touchent leurs services de confiance, la notification de la deuxième ligne est due dans les 24 heures. Le cas échéant, les entités doivent aussi informer les destinataires de leurs services des incidents importants susceptibles de les affecter.
Ces délais courent en parallèle d’autres obligations. Une attaque par rançongiciel qui touche des données personnelles peut aussi nécessiter une notification à l’autorité de protection des données au titre de l’article 33 du RGPD, si possible dans les 72 heures.
Proportionné, documenté, prouvé
L’article 21 n’impose pas de norme particulière. Si vous appliquez déjà l’ISO/IEC 27001, faire correspondre ses mesures aux dix mesures de l’article est un bon point de départ. Pour certains fournisseurs numériques, le règlement d’exécution (UE) 2024/2690 de la Commission fixe des exigences techniques détaillées, et les orientations de mise en œuvre technique publiées par l’ENISA en juin 2025 proposent des exemples de preuves et des tableaux de correspondance. Même si ce règlement ne s’applique pas à vous, ces orientations montrent à quoi ressemblent des preuves.
Quel que soit votre choix, conservez des preuves : politiques avec leur date d’approbation, registres de formation, rapports de tests, journaux de restauration et décisions de la direction sur les risques. En vertu de l’article 21, paragraphe 4, une entité qui constate qu’elle n’est pas conforme doit prendre des mesures correctives dans les meilleurs délais.
Par où commencer
- Vérifiez si vous êtes concerné, et à quel titre (entité essentielle ou importante), selon votre droit national.
- Menez une analyse des écarts par rapport aux dix mesures ci-dessus. Une page par mesure suffit pour commencer.
- Comblez d’abord les écarts à fort impact, par exemple l’absence d’authentification multifacteur, des sauvegardes jamais testées ou l’absence de procédure de notification des incidents.
- Intégrez les étapes de notification de l’article 23 à votre plan de réponse à incident, avec les coordonnées de votre CSIRT ou de votre autorité.
- Informez la direction, consignez son approbation et planifiez sa formation.
Notre équipe conseil peut vous accompagner dans une analyse des écarts NIS2, et SecAudit rapproche, dans ses rapports de conformité, les constats de sécurité WordPress des mesures de l’article 21.
