NIS2 : Checklist de Conformité PME en 10 Étapes

Cette étape est non négociable et doit être réalisée en priorité absolue. Il existe trois façons d'être concerné par NIS2 : être dans l'un des 18 secteurs couverts avec les critères de taille requis, être désigné entité critique par l'ANSSI indépendamment de la taille, ou être sous-traitant critique d'une entité NIS2 — même si vous ne rentrez pas directement dans le périmètre réglementaire, vos clients vous le demanderont.

En cas de doute sur votre classification, l'ANSSI propose un outil de vérification en ligne. Si vous êtes dans un secteur secondaire mais que vous êtes prestataire d'une entité essentielle, anticipez les exigences contractuelles de votre client plutôt qu'attendre la réglementation.

L'enregistrement sur MonEspaceANSSI est obligatoire et constitue la preuve de bonne foi la plus facile à obtenir. Cette démarche simple — remplir un formulaire en ligne avec les informations de votre entreprise, votre secteur d'activité, vos contacts de sécurité et votre catégorie — prend moins d'une heure. Elle permet à l'ANSSI d'avoir une vision consolidée du tissu économique soumis à NIS2 en France.

Désignez lors de cet enregistrement un point de contact sécurité accessible 24/7 pour les communications avec l'ANSSI. Ce peut être le RSSI, le DSI, ou un prestataire externalisé — l'important est que ce contact soit joignable en cas d'incident y compris les week-ends et jours fériés. Les entités qui n'ont pas désigné de contact joignable lors d'un incident se retrouvent dans une situation particulièrement exposée sur le plan des sanctions.

L'audit de maturité est le point de départ de tout programme de conformité sérieux. Il évalue votre niveau actuel sur les 10 domaines de l'article 21 de NIS2 : politique de sécurité, gestion des risques, sécurité des systèmes, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, acquisition et développement des systèmes, efficacité des mesures, formation, et cryptographie. Pour chaque domaine, l'audit identifie les écarts et les priorise selon leur impact sur le risque et leur coût de correction.

Pour les PME, un audit de performance IT de niveau 1 — réalisé par un prestataire PAMS agréé ANSSI — est le format le plus adapté. Sa durée est de 2 à 4 semaines pour une PME de 50 à 250 salariés, avec un coût variant entre 5 000 et 15 000 euros. Le livrable est une cartographie des écarts, un score de maturité par domaine, et un plan d'action priorisé. C'est aussi la première preuve de due diligence reconnue par l'ANSSI en cas de contrôle.

La non-notification d'incident est la cause de 78% des sanctions prononcées au titre de NIS2 en Europe depuis 2023. C'est la priorité n°1 des autorités, car elle prive l'écosystème d'informations critiques sur les menaces actives. Et c'est précisément la mesure la moins coûteuse à mettre en place : quelques heures de travail pour rédiger la procédure, désigner les responsables, et tester le circuit.

La procédure doit définir : qui est responsable de décider si un incident est "significatif" au sens NIS2 (interruption de service, violation de données, compromission de systèmes critiques), qui rédige les rapports, comment joindre l'ANSSI 24/7, et comment informer les parties prenantes internes et externes.

Testez cette procédure avec un exercice de simulation chaque année. Un incident fictif simulé, traité en temps réel avec les délais réels, révèle les failles organisationnelles bien avant qu'un vrai incident ne les expose.

L'authentification multi-facteurs (MFA) est la mesure de sécurité au meilleur rapport effort/bénéfice de tout le référentiel NIS2. Selon Microsoft, le MFA bloque 99,9% des attaques par compromission de compte. Pour une PME, son déploiement représente généralement entre 500 et 3 000 euros selon le nombre d'utilisateurs et les outils déjà en place. L'impact sur le risque cyber est immédiat et massif.

Priorisez le déploiement dans l'ordre suivant : comptes administrateurs (Active Directory, Azure AD, accès console serveur), messagerie professionnelle (Microsoft 365, Google Workspace), accès distants (VPN, RDP), interfaces cloud critiques (ERP, CRM, comptabilité), puis postes standards. L'ensemble d'une PME de 100 utilisateurs peut être couvert en 3 à 4 semaines avec un déploiement par vagues bien planifié.

On ne peut pas protéger ce qu'on ne connaît pas. L'inventaire des actifs est la base de tout programme de sécurité sérieux — et l'une des premières choses que vérifie un contrôleur ANSSI. Cet inventaire doit couvrir les actifs matériels (serveurs, postes de travail, équipements réseau, systèmes industriels), les actifs logiciels (applications, licences, versions), et les services cloud (SaaS, IaaS).

Une fois l'inventaire établi, mettez en place un processus de patch management : définissez des fenêtres de maintenance régulières (hebdomadaires pour les correctifs critiques, mensuelles pour les mises à jour standards), utilisez un outil de scan de vulnérabilités (Nessus, OpenVAS, Qualys) pour identifier et prioriser les failles. Les vulnérabilités critiques (CVSS 9+) doivent être corrigées dans les 72h sur les systèmes exposés à Internet, dans les 7 jours sur les systèmes internes.

Si votre infrastructure IT est complexe ou vieillissante, un audit de performance IT vous permettra d'obtenir une cartographie complète et des recommandations de modernisation priorisées.

NIS2 est la première réglementation européenne à imposer une responsabilité explicite sur la sécurité de la chaîne d'approvisionnement. L'article 21 d) exige que les entités gèrent les risques liés à leurs fournisseurs et prestataires, notamment ceux qui ont accès à leurs systèmes d'information ou traitent leurs données sensibles. Concrètement, si votre prestataire de maintenance informatique se fait pirater et que cela compromet vos systèmes, vous pouvez être sanctionné si vous n'aviez pas pris les précautions contractuelles et organisationnelles nécessaires.

L'article 20 de NIS2 est explicite : les organes de direction doivent approuver les mesures de cybersécurité et suivre une formation spécifique. Cette obligation est à la fois une contrainte et une protection. Un PDG ou DG qui peut démontrer avoir reçu une formation NIS2 formalisée (attestation, procès-verbal de réunion) réduit considérablement son exposition à la responsabilité personnelle en cas d'incident.

La formation dirigeants NIS2 couvre en pratique trois blocs : la compréhension des obligations réglementaires et du régime des sanctions, la gouvernance de la cybersécurité au niveau du CODIR/CA (comment approuver une politique de sécurité, quels indicateurs suivre, comment réagir lors d'un incident majeur), et le rôle de l'entreprise dans la chaîne d'approvisionnement. Une demi-journée suffit pour couvrir l'essentiel, complétée par une revue annuelle.

Pour les équipes IT et les utilisateurs, les formations prioritaires sont : sensibilisation au phishing et à l'ingénierie sociale (30-45 minutes, en ligne, pour tous les collaborateurs), procédures de notification d'incident interne, utilisation sécurisée des outils cloud et des appareils mobiles. Les simulations de phishing (envoi de faux emails de phishing et mesure du taux de clics) sont parmi les investissements les plus rentables en matière de sensibilisation.

NIS2 exige que les entités disposent de capacités de continuité d'activité en cas d'incident cyber majeur. Concrètement, cela signifie avoir un plan de reprise d'activité (PRA) documenté, testé, et maintenu à jour, couvrant les scénarios les plus probables : ransomware paralysant les systèmes, panne de datacenter, compromission des comptes administrateurs, ou attaque sur la chaîne d'approvisionnement.

Le PCA/PRA doit définir pour chaque système critique : le RTO (Recovery Time Objective — délai maximal d'indisponibilité acceptable) et le RPO (Recovery Point Objective — perte de données maximale acceptable). Ces métriques déterminent vos exigences de sauvegarde et de redondance. Pour une PME industrielle, le RTO de l'ERP de production pourrait être de 4 heures, tandis que le RTO de la messagerie pourrait tolérer 24 heures.

La conformité NIS2 ne se décrète pas — elle se démontre. Un contrôleur ANSSI qui se présente dans votre entreprise cherchera des preuves documentées de votre démarche, pas votre bonne intention. Le dossier de conformité est le livrable final de tout votre programme, et il doit être maintenu en permanence.

Planifiez une revue annuelle complète du dossier et une revue semestrielle des indicateurs clés. Pour les entités essentielles, un audit PAMS annuel est fortement recommandé. Pour les entités importantes, un audit tous les 2 ans est un minimum.