← Retour au blog

Checklist Conformité NIS2 : 10 Étapes pour se Préparer Avant l'Échéance

Une checklist pratique en 10 étapes pour préparer votre organisation à la conformité NIS2 — du cadrage et évaluation des risques à la notification d'incidents et l'amélioration continue.

---

Checklist Conformité NIS2 : 10 Étapes pour se Préparer Avant l'Échéance

La Directive NIS2 remodèle les obligations de cybersécurité à travers l'Europe, et le temps presse. Avec la transposition de la directive en droit national par les États membres et l'application qui approche, les organisations ont besoin d'une feuille de route claire et actionnable pour atteindre la conformité.

Cette checklist décompose la préparation à NIS2 en 10 étapes concrètes — chacune avec des actions spécifiques que vous pouvez entreprendre dès aujourd'hui. Que vous partiez de zéro ou que vous construisiez sur un programme de sécurité existant, ce guide vous aidera à identifier les lacunes et à prioriser vos efforts.

Étape 1 : Déterminer si vous êtes concerné

Pourquoi c'est important : NIS2 a considérablement élargi le nombre d'organisations soumises à des obligations de cybersécurité. Si vous supposez ne pas être concerné, vous pourriez avoir tort.

Actions :

• Vérifiez votre secteur : NIS2 couvre 18 secteurs répartis en deux annexes. L'Annexe I (entités essentielles) inclut l'énergie, les transports, la banque, la santé, l'infrastructure numérique et les services TIC. L'Annexe II (entités importantes) inclut les services postaux, la gestion des déchets, la chimie, l'alimentation, la fabrication et les fournisseurs numériques
• Vérifiez votre taille : La directive s'applique aux organisations de taille moyenne (50+ employés OU 10 M€+ de CA) et aux grandes organisations (250+ employés OU 50 M€+ de CA) dans les secteurs couverts
• Vérifiez les exceptions : Certains types d'entités sont couverts quelle que soit leur taille — fournisseurs DNS, registres TLD, réseaux publics de communications et prestataires de services de confiance
• Évaluez l'exposition de votre chaîne d'approvisionnement : Même si vous n'êtes pas directement concerné, vos clients dans les secteurs couverts peuvent exiger une sécurité alignée sur NIS2 de la part de leurs fournisseurs

Comment KENSAI aide : La plateforme KENSAI est conçue pour les organisations dans le périmètre NIS2, fournissant la gestion continue des vulnérabilités et les rapports exigés par la directive. Commencer par un scan gratuit vous donne une visibilité immédiate sur votre posture de sécurité actuelle.

Étape 2 : Classifier votre type d'entité

Pourquoi c'est important : Les entités essentielles font face à une supervision plus stricte et des sanctions plus élevées que les entités importantes. Votre classification détermine vos obligations.

Actions :

• Entités essentielles (secteurs Annexe I, grandes organisations) : Soumises à une supervision réglementaire proactive, incluant des inspections sur site et des audits réguliers. Amendes maximales de 10 millions d'euros ou 2 % du CA mondial
• Entités importantes (secteurs Annexe II, organisations moyennes) : Soumises à une supervision réactive (après un incident ou preuve de non-conformité). Amendes maximales de 7 millions d'euros ou 1,4 % du CA mondial
• Documentez votre classification et le raisonnement qui la sous-tend
• Revoyez la transposition nationale — certains États membres peuvent appliquer des critères plus stricts. Le NIS2UmsuCG allemand, par exemple, introduit des catégories supplémentaires

Comment KENSAI aide : Les rapports de conformité de KENSAI cartographient les résultats par rapport aux exigences spécifiques applicables à votre classification d'entité, garantissant que vos preuves de sécurité correspondent à vos obligations.

Étape 3 : Obtenir l'adhésion et la responsabilité de la direction

Pourquoi c'est important : L'article 20 de NIS2 rend les organes de direction personnellement responsables de la cybersécurité. Ce n'est pas une suggestion — c'est une exigence légale avec des implications de responsabilité personnelle.

Actions :

• Informez le conseil d'administration et la direction des exigences NIS2 et de leur responsabilité personnelle
• Désignez un dirigeant responsable de la supervision de la cybersécurité (RSSI, DSI ou équivalent)
• Établissez une structure de gouvernance où la direction approuve formellement les politiques de cybersécurité et examine les évaluations des risques
• Planifiez une formation obligatoire en cybersécurité pour tous les membres des organes de direction — NIS2 l'exige explicitement
• Documentez l'implication de la direction dans les décisions de cybersécurité à des fins d'audit
• Intégrez la cybersécurité comme point permanent à l'ordre du jour des réunions du conseil

Comment KENSAI aide : KENSAI fournit des tableaux de bord exécutifs et des rapports de tendances qui donnent à la direction la visibilité nécessaire pour remplir ses responsabilités de supervision sans nécessiter une expertise technique approfondie.

Étape 4 : Réaliser une évaluation complète des risques

Pourquoi c'est important : L'article 21 de NIS2 exige des mesures techniques et organisationnelles « appropriées et proportionnées » basées sur une évaluation des risques. Sans évaluation documentée, vous ne pouvez pas démontrer que vos mesures sont proportionnées.

Actions :

• Identifiez les actifs critiques : Cartographiez tous les réseaux et systèmes d'information qui supportent vos services essentiels
• Évaluez les menaces : Documentez le paysage des menaces pertinent pour votre secteur et votre géographie (rançongiciels, attaques étatiques, compromission de la chaîne d'approvisionnement, menaces internes)
• Évaluez les vulnérabilités : Réalisez des évaluations techniques des vulnérabilités de votre infrastructure, applications et processus
• Déterminez l'impact : Pour chaque risque identifié, évaluez l'impact potentiel sur la continuité de service, l'intégrité des données et les parties affectées
• Calculez les niveaux de risque : Utilisez une méthodologie cohérente (probabilité × impact) pour prioriser les risques
• Documentez tout : L'évaluation des risques doit être écrite, revue et régulièrement mise à jour

Comment KENSAI aide : Le scan automatisé des vulnérabilités de KENSAI fournit les données techniques dont votre évaluation des risques a besoin. Au lieu de vous appuyer sur des évaluations manuelles ponctuelles, KENSAI délivre un renseignement continu sur les vulnérabilités qui maintient votre évaluation des risques à jour.

Étape 5 : Cartographier votre surface d'attaque

Pourquoi c'est important : NIS2 exige des mesures de sécurité pour vos réseaux et systèmes d'information. On ne peut pas sécuriser ce qu'on ignore.

Actions :

• Inventoriez tous les actifs exposés : Applications web, API, serveurs mail, points d'accès VPN, services cloud, sous-domaines
• Identifiez le shadow IT : Découvrez les services cloud non autorisés, les environnements de test oubliés et les systèmes legacy
• Cartographiez les connexions tierces : Documentez toutes les intégrations externes, connexions API et flux de données avec les fournisseurs et partenaires
• Évaluez l'exposition cloud : Revoyez les configurations IaaS, PaaS et SaaS pour les erreurs de configuration et les permissions excessives
• Documentez vos résultats : Maintenez un inventaire vivant de votre surface d'attaque

Comment KENSAI aide : La découverte de surface d'attaque de KENSAI identifie automatiquement vos actifs exposés, y compris les sous-domaines oubliés et les services exposés que les inventaires internes manquent. Lancez un scan gratuit pour voir votre surface d'attaque du point de vue d'un attaquant.

Étape 6 : Mettre en œuvre les 10 mesures de sécurité minimales

Pourquoi c'est important : L'article 21(2) de NIS2 liste dix catégories spécifiques de mesures de sécurité que toutes les entités concernées doivent mettre en œuvre. Elles ne sont pas optionnelles.

Actions pour chaque mesure :

a) Analyse des risques et politiques de sécurité de l'information

• Développer et documenter une politique de sécurité de l'information
• Établir un cadre de gestion des risques avec des cycles de revue réguliers

b) Gestion des incidents

• Créer un plan de réponse aux incidents avec des rôles, responsabilités et procédures d'escalade clairs
• Mettre en œuvre des capacités de détection et surveillance des incidents
• Réaliser des exercices réguliers de réponse aux incidents

c) Continuité d'activité et gestion de crise

• Développer des plans de continuité d'activité pour les services critiques
• Mettre en œuvre et tester les procédures de sauvegarde et de reprise après sinistre
• S'assurer de l'existence de sauvegardes hors ligne/immuables (critique pour la résilience face aux rançongiciels)

d) Sécurité de la chaîne d'approvisionnement

• Évaluer les pratiques de cybersécurité des fournisseurs critiques
• Inclure des exigences de sécurité dans les achats et les contrats
• Surveiller la sécurité des fournisseurs de manière continue

e) Sécurité dans l'acquisition, le développement et la maintenance

• Mettre en œuvre des pratiques de développement sécurisé (SDLC)
• Réaliser la gestion des vulnérabilités et des tests de sécurité réguliers
• Établir des procédures de gestion des correctifs

f) Évaluation de l'efficacité

• Planifier des audits et évaluations de sécurité réguliers
• Mettre en œuvre des métriques et KPI de sécurité
• Revoir et mettre à jour les mesures en fonction des résultats d'évaluation

g) Hygiène informatique et formation

• Déployer des formations de sensibilisation à la sécurité pour tous les employés
• Mettre en œuvre des programmes de simulation de phishing
• Établir des standards d'hygiène informatique de base (politiques de mots de passe, bureau propre, etc.)

h) Cryptographie et chiffrement

• Chiffrer les données en transit (TLS 1.2+ pour tous les services)
• Chiffrer les données au repos pour les informations sensibles
• Gérer les clés cryptographiques selon les bonnes pratiques

i) Sécurité des ressources humaines et contrôle d'accès

• Mettre en œuvre l'authentification multi-facteurs pour tous les systèmes critiques
• Appliquer le principe du moindre privilège
• Établir des processus de revue des accès

j) Communications sécurisées

• Déployer des canaux de communication chiffrés pour les discussions sensibles
• Établir des procédures de communication d'urgence fonctionnant lorsque les systèmes principaux sont compromis

Comment KENSAI aide : KENSAI supporte directement les mesures (e), (f), et les aspects de gestion des vulnérabilités de (a) et (d). Le scan automatisé continu garantit que vous répondez aux exigences de « tests réguliers » et de « gestion des vulnérabilités » avec des preuves vérifiables.

Étape 7 : Établir les capacités de notification d'incidents

Pourquoi c'est important : NIS2 introduit des exigences strictes de notification d'incidents en plusieurs étapes. Manquer le délai d'alerte précoce de 24 heures peut entraîner des sanctions indépendantes de l'incident lui-même.

Actions :

• Définissez les critères d'« incident significatif » pour votre organisation, alignés sur la définition de NIS2 (perturbation opérationnelle grave, perte financière, ou dommage considérable à des tiers)
• Mettez en place une surveillance 24h/24 7j/7 capable de détecter les incidents significatifs en temps réel — on ne peut pas signaler ce qu'on n'a pas détecté
• Identifiez votre CSIRT national et l'autorité compétente — sachez exactement où et comment signaler
• Préparez des modèles de notification pour chaque étape :
• Alerte précoce 24 heures : Faits de base de l'incident, suspicion d'acte illicite ou malveillant, impact transfrontalier potentiel
• Notification 72 heures : Évaluation initiale, gravité, impact, indicateurs de compromission
• Rapport final 1 mois : Description détaillée, analyse des causes profondes, mesures d'atténuation, impact transfrontalier
• Désignez et formez des responsables de notification — assurez-vous que plusieurs membres de l'équipe peuvent soumettre des rapports
• Pratiquez le processus de notification — réalisez des exercices de simulation incluant le calendrier de notification

Comment KENSAI aide : La surveillance continue de KENSAI signifie que les vulnérabilités sont détectées et signalées avant qu'elles ne deviennent des incidents. Lorsque des problèmes sont trouvés, les rapports techniques détaillés de KENSAI fournissent les indicateurs de compromission et les détails techniques nécessaires pour une notification rapide des incidents.

Étape 8 : Traiter la sécurité de la chaîne d'approvisionnement

Pourquoi c'est important : NIS2 exige explicitement des organisations qu'elles gèrent les risques de cybersécurité dans leur chaîne d'approvisionnement. La directive reconnaît que de nombreuses violations majeures proviennent de fournisseurs de confiance.

Actions :

• Identifiez les fournisseurs critiques : Cartographiez les fournisseurs ayant accès à vos systèmes, données ou réseau
• Évaluez la posture de sécurité des fournisseurs : Demandez les certifications de sécurité (ISO 27001, SOC 2), réalisez des questionnaires ou exigez des évaluations tierces
• Incluez des exigences de sécurité dans les contrats : Définissez des standards de sécurité minimaux, des obligations de notification d'incidents, des droits d'audit et des clauses de résiliation en cas de défaillance sécuritaire
• Surveillez la sécurité des fournisseurs en continu : Ne vous limitez pas à l'évaluation lors de l'intégration — réalisez des revues régulières
• Développez des procédures de réponse aux incidents fournisseurs : Sachez ce qui se passe quand un fournisseur est compromis
• Diversifiez les dépendances critiques : Évitez les points uniques de défaillance dans votre chaîne d'approvisionnement

Comment KENSAI aide : KENSAI peut scanner l'infrastructure exposée de vos fournisseurs (avec leur autorisation) pour fournir une vue objective de leur posture de sécurité. Cela vous donne des données vérifiables au lieu de vous appuyer uniquement sur des questionnaires auto-déclaratifs.

Étape 9 : Tout documenter pour la préparation aux audits

Pourquoi c'est important : La supervision NIS2 inclut le pouvoir de réaliser des audits, inspections et demandes de preuves. Si vous ne pouvez pas démontrer la conformité par la documentation, vous n'êtes pas conforme.

Actions :

• Maintenez un référentiel de preuves de conformité avec toutes les politiques, procédures, évaluations des risques et résultats de tests
• Conservez les registres de tous les incidents de sécurité et vos actions de réponse, qu'ils aient atteint ou non le seuil « significatif »
• Documentez les approbations de la direction — chaque approbation de politique, acceptation de risque et décision budgétaire
• Archivez les résultats des tests de sécurité avec horodatage — le scan continu fournit des preuves plus solides que les rapports annuels
• Suivez l'achèvement des formations pour tout le personnel, avec une attention particulière à la formation de la direction
• Enregistrez les évaluations de la chaîne d'approvisionnement et les clauses de sécurité contractuelles
• Maintenez des journaux de modifications pour toutes les politiques et procédures liées à la sécurité

Comment KENSAI aide : KENSAI génère automatiquement des rapports de scan horodatés, des historiques de suivi des vulnérabilités et des chronologies de remédiation. Cela crée une piste d'audit continue qui démontre des tests de sécurité permanents — bien plus convaincant pour les régulateurs qu'un seul rapport annuel de test d'intrusion.

Étape 10 : Mettre en œuvre l'amélioration continue

Pourquoi c'est important : NIS2 n'est pas un exercice de case à cocher ponctuel. La directive exige une gestion continue des risques et une évaluation régulière de l'efficacité des mesures. Les régulateurs rechercheront des preuves d'amélioration continue, pas de conformité statique.

Actions :

• Planifiez des revues de sécurité trimestrielles pour évaluer l'efficacité des mesures mises en œuvre
• Suivez les métriques de sécurité dans le temps : Nombre de vulnérabilités, temps moyen de remédiation, fréquence des incidents, taux d'achèvement des formations
• Mettez à jour les évaluations des risques quand le paysage des menaces change, après des incidents significatifs, ou au minimum annuellement
• Comparez-vous aux référentiels : Utilisez ISO 27001, NIST CSF ou CIS Controls comme benchmarks de maturité
• Participez au partage d'information : Rejoignez les ISAC sectoriels (centres d'analyse et de partage d'informations) et échangez avec votre CSIRT national
• Revoyez et mettez à jour cette checklist — révisez votre statut de conformité NIS2 chaque trimestre
• Planifiez l'évolution réglementaire : NIS2 sera revue et potentiellement mise à jour ; intégrez de la flexibilité dans votre programme de sécurité

Comment KENSAI aide : Le modèle de scan continu de KENSAI est intrinsèquement aligné sur l'amélioration continue. Chaque scan s'appuie sur les résultats précédents, suivant quelles vulnérabilités ont été corrigées, lesquelles sont nouvelles, et comment votre posture de sécurité globale évolue dans le temps. La plateforme fournit les métriques et données de tendances qui démontrent l'amélioration aux auditeurs et régulateurs.

Votre calendrier de conformité NIS2

Voici un calendrier réaliste pour implémenter cette checklist :

Mois 1-2 : Phase d'évaluation - Étapes 1-2 : Détermination du périmètre et classification - Étape 3 : Briefing de la direction et adhésion - Étape 4 : Début de l'évaluation des risques - Étape 5 : Cartographie de la surface d'attaque (commencez par le scan gratuit KENSAI)

Mois 3-4 : Phase de fondation - Étape 4 : Finalisation de l'évaluation des risques - Étape 6 : Début de la mise en œuvre des 10 mesures minimales (priorisez les lacunes) - Étape 7 : Établissement des capacités de notification d'incidents

Mois 5-6 : Phase de mise en œuvre - Étape 6 : Poursuite de la mise en œuvre des mesures minimales - Étape 8 : Traitement de la sécurité de la chaîne d'approvisionnement - Étape 9 : Mise en place de la documentation et gestion des preuves

Mois 7+ : Phase continue - Étape 10 : Amélioration, surveillance et évaluation continues - Revues et mises à jour régulières de toutes les étapes

Erreurs courantes à éviter

• Traiter NIS2 comme un projet IT uniquement : Cela nécessite l'implication de la direction et une collaboration transversale
• Attendre la transposition nationale : Les exigences sont claires ; commencez maintenant
• Se reposer excessivement sur les certifications : ISO 27001 est une base solide mais ne signifie pas automatiquement conformité NIS2
• Négliger les obligations de la chaîne d'approvisionnement : C'est là que beaucoup d'organisations seront prises au dépourvu
• Conformité ponctuelle : NIS2 exige une gestion continue des risques, pas des exercices annuels
• Ignorer l'exigence de notification sous 24 heures : Cela nécessite des capacités de surveillance, pas seulement un document de politique

---

Commencez par la visibilité

On ne peut pas corriger ce qu'on ne voit pas. La première étape vers la conformité NIS2 est de comprendre votre posture de sécurité actuelle.

👉 Obtenez votre scan de sécurité KENSAI gratuit sur kensai.app/free-scan — cartographiez votre surface d'attaque et identifiez les vulnérabilités en quelques minutes.