NIS2 : les 10 Mesures de Cybersécurité Obligatoires en Détail

Ce que l'Article 21 impose réellement : au-delà de la rhétorique réglementaire

Beaucoup d'entreprises abordent NIS2 comme une checklist administrative. C'est une erreur fondamentale. L'Article 21 de la directive impose des mesures techniques et organisationnelles précises, proportionnées au risque, avec une obligation de résultat — pas de moyens. Autrement dit, l'ANSSI n'évaluera pas si vous avez coché des cases, mais si vos mesures réduisent effectivement les risques cyber auxquels votre organisation est exposée.

La directive identifie 10 catégories de mesures obligatoires. Pour chaque entité concernée — qu'elle soit essentielle ou importante — ces 10 catégories doivent être couvertes, avec une profondeur d'implémentation proportionnelle à la criticité du secteur, à la taille de l'organisation et au niveau d'exposition aux risques. Une PME sous-traitante d'un opérateur d'énergie n'a pas le même niveau d'exigence qu'une grande ESN hébergeant des données de santé, mais toutes deux doivent traiter les 10 catégories.

Ce qui distingue NIS2 des référentiels de cybersécurité antérieurs, c'est l'inclusion explicite de la chaîne d'approvisionnement et la responsabilité personnelle des dirigeants. Un DSG (dirigeant d'une entité soumise) peut être déclaré responsable personnellement en cas de manquement grave. Comprendre précisément ce que chaque mesure impose est donc une obligation non seulement pour la DSI, mais pour la direction générale.

Si vous n'avez pas encore déterminé si votre organisation entre dans le périmètre NIS2, commencez par consulter notre guide complet NIS2 pour les PME et notre analyse des secteurs et critères de taille concernés par NIS2. Cet article s'adresse aux organisations qui ont confirmé leur inclusion dans le périmètre et cherchent à comprendre précisément ce qu'elles doivent mettre en place.

Mesures 1 et 2 : Gouvernance sécurité et gestion des incidents

Mesure 1 : Politiques de sécurité et gestion des risques

La première catégorie est la fondation de tout l'édifice. Elle impose de disposer de politiques formalisées et approuvées par la direction sur l'analyse des risques et la sécurité des systèmes d'information. Il ne s'agit pas de documents bureaucratiques rangés dans un tiroir : ces politiques doivent être vivantes, connues des équipes et mises à jour au moins annuellement ou à chaque changement significatif du système d'information.

En pratique, cela signifie :

• Une politique de sécurité de l'information (PSSI) validée par la direction, définissant les périmètres, les responsabilités et les objectifs de sécurité.
• Un processus d'analyse des risques documenté, identifiant les actifs critiques, les menaces, les vulnérabilités et les impacts potentiels.
• Un plan de traitement des risques avec des mesures correctives priorisées, un responsable et un calendrier de mise en oeuvre.
• Des revues régulières (au minimum annuelles) de l'efficacité des mesures de sécurité en place.

Le référentiel EBIOS Risk Manager de l'ANSSI est la méthodologie recommandée en France pour l'analyse des risques. Des outils comme PILAR ou des consultants spécialisés peuvent accélérer cette étape. L'important est que la démarche soit documentée, reproductible et traçable.

Mesure 2 : Gestion des incidents de sécurité

NIS2 impose une gestion structurée des incidents avec des délais de notification très précis. Un "incident significatif" est défini comme tout incident ayant causé ou susceptible de causer une perturbation opérationnelle grave, des pertes financières importantes ou des dommages à d'autres entités. L'obligation de notification se déroule en trois temps :

Pour satisfaire cette mesure, votre organisation doit disposer d'un plan de réponse aux incidents documenté, testé et connu de toutes les parties prenantes. Ce plan doit désigner un responsable incidents, définir les critères de qualification d'un incident comme "significatif" et prévoir les procédures de communication interne et externe. Les exercices de simulation (tabletop exercises) sont fortement recommandés pour valider l'efficacité du plan avant qu'un incident réel survienne.

Mesures 3 et 4 : Continuité d'activité et sécurité des fournisseurs

Mesure 3 : Continuité d'activité et reprise après sinistre

NIS2 impose de disposer de Plans de Continuité d'Activité (PCA) et de Plans de Reprise d'Activité (PRA) adaptés aux risques identifiés. Ces plans doivent couvrir la gestion de crise cyber, les procédures de sauvegarde et de restauration des systèmes, et les modalités de communication en situation de crise.

Les exigences concrètes comprennent :

• Sauvegardes régulières et testées : les sauvegardes doivent suivre la règle 3-2-1 (3 copies, 2 supports différents, 1 hors site), être chiffrées, et faire l'objet de tests de restauration au moins trimestriellement. Une sauvegarde non testée est une sauvegarde qui ne fonctionne pas.
• RTO et RPO définis : vous devez définir un Recovery Time Objective (durée maximale d'interruption tolérable) et un Recovery Point Objective (perte de données maximale acceptable) pour chaque système critique.
• Plan de gestion de crise cyber : procédures d'escalade, cellule de crise désignée, canaux de communication alternatifs en cas de compromission du SI principal.
• Tests de PRA : le plan de reprise doit être testé au moins une fois par an pour vérifier que les délais de restauration définis sont effectivement atteignables.

Mesure 4 : Sécurité de la chaîne d'approvisionnement

C'est sans doute la mesure la plus contraignante et la plus sous-estimée de NIS2. Elle impose aux entités concernées de gérer les risques cybersécurité liés à leurs fournisseurs et prestataires, en particulier ceux ayant accès à leurs systèmes d'information ou gérant des composants critiques.

Les incidents comme SolarWinds (2020) ou l'attaque sur Kaseya (2021) ont montré que compromettre un prestataire IT peut permettre d'atteindre des centaines de ses clients. NIS2 tire les enseignements de ces incidents en imposant :

• Cartographie des fournisseurs critiques : identifier tous les prestataires ayant accès à vos systèmes ou données sensibles et les classer selon leur criticité.
• Clauses contractuelles de sécurité : intégrer dans les contrats fournisseurs des exigences minimales de cybersécurité (MFA obligatoire pour les accès à votre SI, obligation de notification d'incident sous 24h, droit d'audit de sécurité, conformité aux normes reconnues).
• Évaluation périodique de la maturité fournisseurs : questionnaires d'auto-évaluation, audits de sécurité pour les partenaires les plus critiques, exigence de certifications (ISO 27001, SOC2) pour les prestataires hébergeant des données sensibles.
• Principe du moindre privilège pour les accès tiers : les accès accordés aux prestataires doivent être strictement limités aux ressources nécessaires à leur mission, supervisés et révoqués immédiatement à la fin du contrat.

La mise en conformité sur cette mesure nécessite souvent une revue complète des contrats fournisseurs et des négociations avec des prestataires qui n'ont pas encore adapté leurs offres. C'est un chantier long mais incontournable. Notre service de cybersécurité et infrastructure inclut l'accompagnement à la qualification et la sécurisation des tiers.

Mesures 5, 6 et 7 : Acquisitions SI, évaluation et cyberhygiène

Mesure 5 : Sécurité dans les acquisitions et le développement SI

Cette mesure impose d'intégrer la sécurité dès la conception dans tout projet d'acquisition ou de développement logiciel. Le principe Security by Design doit guider les choix technologiques : un logiciel acquis sans évaluation de sa sécurité expose l'organisation à des risques que NIS2 ne tolère plus.

Concrètement, cela signifie des grilles d'évaluation sécuritaire dans les processus d'appels d'offres, des tests de sécurité (pentests, audits de code) avant mise en production des développements critiques, et une gestion rigoureuse des mises à jour et correctifs de sécurité (patch management).

Mesure 6 : Évaluation de l'efficacité des pratiques de cybersécurité

NIS2 impose de mesurer l'efficacité réelle des mesures de sécurité en place. Cela va au-delà de simplement avoir des outils : il faut démontrer qu'ils fonctionnent. Les modalités d'évaluation comprennent :

Mesure 7 : Cyberhygiène de base et formation

Le facteur humain reste la première cause de compromission : 74 % des incidents de sécurité impliquent une erreur humaine (IBM Security Report 2025). NIS2 impose de traiter ce vecteur systématiquement via :

• Formation obligatoire de tout le personnel aux bonnes pratiques de cybersécurité : phishing, mots de passe, comportements sûrs en mobilité.
• Formation spécifique pour les profils à risque : administrateurs SI, équipes finance, direction générale (cibles privilégiées des attaques BEC et ransomware).
• Campagnes de phishing simulé pour mesurer le niveau de vigilance et identifier les collaborateurs nécessitant une sensibilisation renforcée.
• Politique de mot de passe renforcée : longueur minimale de 12 caractères, complexité, interdiction de réutilisation, gestion via un gestionnaire de mots de passe d'entreprise (Dashlane Business, 1Password Teams, Bitwarden).

Mesures 8, 9 et 10 : Chiffrement, contrôle d'accès et MFA

Mesure 8 : Cryptographie et chiffrement

NIS2 impose d'utiliser la cryptographie et le chiffrement de manière appropriée pour protéger les données sensibles en transit et au repos. Cette mesure est particulièrement importante pour les organisations gérant des données personnelles, des données de santé ou des informations stratégiques.

Mesure 9 : Sécurité des ressources humaines et contrôle d'accès

Cette mesure couvre la gestion des accès tout au long du cycle de vie des collaborateurs et prestataires. Elle impose d'appliquer le principe du moindre privilège : chaque utilisateur ne doit avoir accès qu'aux ressources strictement nécessaires à sa mission.

• Processus d'onboarding sécurisé : attribution des accès basée sur le rôle (RBAC), séparation des droits entre comptes utilisateurs et comptes administrateurs, aucun accès par défaut.
• Revue périodique des droits d'accès : audit semestriel des droits accordés, suppression systématique des comptes obsolètes, détection des déviations par rapport au profil nominal.
• Processus d'offboarding immédiat : révocation de tous les accès le jour même du départ d'un collaborateur ou d'un prestataire, sans exception, y compris les accès aux outils SaaS.
• Vérification des antécédents : pour les profils accédant aux systèmes les plus critiques, NIS2 recommande des vérifications proportionnées, dans le respect du droit du travail applicable.

Mesure 10 : Authentification multifacteur et communications sécurisées

La MFA est la mesure avec le meilleur rapport coût/efficacité de toute la cybersécurité. Microsoft estime qu'elle bloque 99,9 % des attaques d'usurpation de compte. NIS2 la rend obligatoire pour les accès aux systèmes des entités concernées.

Les périmètres prioritaires d'implémentation de la MFA sont :

Pour les communications internes sur les incidents critiques, NIS2 recommande l'utilisation de canaux de communication sécurisés et distincts du SI principal — une précaution essentielle en cas de compromission du réseau principal. Des outils comme Signal, Tresorit ou des solutions de messagerie chiffrée de bout en bout doivent être préparés comme alternatives au réseau de production.

Budget et priorisation : par où commencer et combien prévoir

Toutes les entités soumises à NIS2 ne partent pas du même niveau de maturité. Un audit préliminaire est indispensable pour mesurer les écarts et prioriser les investissements. Voici les ordres de grandeur pour une PME de 50 à 250 salariés entrant dans le périmètre NIS2, selon le niveau de maturité initial.

Passez à l'action : construisez votre roadmap NIS2 maintenant

Les 10 mesures de l'Article 21 ne sont pas des options que vous pouvez traiter à la carte. Elles forment un système cohérent : l'absence de l'une fragilise toutes les autres. Une organisation qui a déployé la MFA mais n'a pas de plan de réponse aux incidents sera incapable de notifier l'ANSSI dans les 24 heures. Une organisation qui a rédigé sa PSSI mais n'a pas formé ses collaborateurs verra ses mesures techniques contournées par un simple e-mail de phishing.

La deadline d'octobre 2026 est proche et les entreprises qui commencent leur démarche NIS2 aujourd'hui auront du mal à tout finaliser à temps. Un audit de maturité cybersécurité réalisé par un expert vous permettra de prioriser les chantiers par criticité et par efficacité, et d'optimiser votre budget de mise en conformité.

En tant que DSI externalisé accompagnant des PME et ETI dans leur transformation digitale, j'ai structuré une approche NIS2 en 4 phases permettant d'atteindre une conformité opérationnelle en 6 à 9 mois, avec un pilotage budgétaire rigoureux. Si vous souhaitez évaluer votre situation actuelle et définir une roadmap réaliste, prenez un rendez-vous de diagnostic.

Questions fréquentes