NIS 2 : vérifier si l'entreprise est concernée et préparer les preuves

La question « sommes-nous concernés ? » ne se résout pas avec le seul secteur affiché sur un site web. Elle demande d'identifier l'entité juridique, ses activités, sa taille, les services fournis et les liens avec d'autres entités. La réponse doit être documentée, puis revue lorsque l'organisation change.

Le périmètre avant l'outil

Même avant une qualification définitive, les thèmes de NIS 2 sont utiles : gestion des risques, responsabilité de la direction, continuité, chaîne d'approvisionnement et notification. L'entreprise peut donc préparer des preuves sans prétendre connaître à l'avance chaque détail de la transposition nationale applicable à sa situation.

Commencez par une unité que l'équipe sait nommer : un service, un processus, une classe de données ou un chemin d'accès. Associez-lui un propriétaire, une dépendance métier et une conséquence observable. Cette discipline évite les programmes trop larges où chaque équipe attend qu'une autre commence.

Les contrôles qui changent la situation

Cartographier les entités et les services essentiels ou importants. Vérifiez le responsable, la fréquence et la preuve produite avant de considérer ce contrôle comme actif.
Désigner un responsable de l'analyse de périmètre. Vérifiez le responsable, la fréquence et la preuve produite avant de considérer ce contrôle comme actif.
Documenter les risques et décisions de traitement. Vérifiez le responsable, la fréquence et la preuve produite avant de considérer ce contrôle comme actif.
Préparer un circuit de qualification des incidents. Vérifiez le responsable, la fréquence et la preuve produite avant de considérer ce contrôle comme actif.
Inclure les prestataires critiques dans les exercices. Vérifiez le responsable, la fréquence et la preuve produite avant de considérer ce contrôle comme actif.

Un contrôle n'est pas une intention. Il existe lorsque sa portée est connue, qu'une personne peut montrer sa configuration et qu'un test révèle son échec. Si l'une de ces conditions manque, classez-le comme chantier en cours avec une date de reprise.

Ce que disent les sources primaires

Le point de référence est La directive NIS 2 . L'ANSSI présente l'élargissement du périmètre, les futures obligations de gestion des risques et de notification, ainsi que le portail MonEspaceNIS2 destiné à orienter les entités.

Pour vérifier le cadre, consultez Directive NIS 2 . La directive renforce le niveau commun de cybersécurité, étend les secteurs visés et encadre la gestion des risques, la gouvernance et le signalement d'incidents importants.

La méthode peut être rapprochée de Cybersecurity Framework . Le cadre structure la gouvernance et les activités de cybersécurité autour de fonctions qui couvrent l'identification, la protection, la détection, la réponse et la restauration.

Ces références donnent un cadre commun, pas une réponse automatique au cas particulier. Reprenez les termes applicables à votre système et indiquez ce qui reste à confirmer. Une source peut soutenir plusieurs décisions sans être répétée à chaque phrase.

Un scénario pour éprouver la méthode

Un groupe exerce plusieurs activités sous des sociétés différentes. L'équipe sécurité conclut d'abord que le groupe entier relève du même régime. La juriste reprend chaque entité, les services opérés et les relations contractuelles. Le résultat distingue ce qui est certain, probable et encore à confirmer, sans bloquer les mesures communes.

Le scénario sert à tester l'enchaînement des décisions. Changez une hypothèse, comme l'absence d'un responsable ou l'indisponibilité d'un fournisseur, puis observez si le plan garde un chemin praticable. Un dispositif robuste ne dépend pas d'une seule personne ni d'une seule console.

Le plan de travail en cinq passages

Rassembler extrait d'immatriculation, effectif, activité et chiffre d'affaires. Conservez le résultat, l'écart découvert et la décision suivante dans le dossier du service.
Comparer les services réels aux secteurs visés. Conservez le résultat, l'écart découvert et la décision suivante dans le dossier du service.
Consigner les hypothèses et les points à confirmer. Conservez le résultat, l'écart découvert et la décision suivante dans le dossier du service.
Identifier les autorités et portails officiels. Conservez le résultat, l'écart découvert et la décision suivante dans le dossier du service.
Présenter la feuille de route à la direction. Conservez le résultat, l'écart découvert et la décision suivante dans le dossier du service.

Chaque passage doit rester assez petit pour être repris. La progression vient de la fermeture des écarts, pas du nombre de réunions. Lorsque le test contredit la documentation, corrigez d'abord l'état réel, puis la procédure qui devra le reproduire.

Les preuves à conserver

Note de périmètre datée
Organigramme juridique
Catalogue de services
Décisions de direction
Procédure de notification

Une preuve utile est datée, liée à un périmètre et compréhensible par une personne qui n'a pas participé au projet. Évitez les captures isolées sans contexte. Préférez un rapport court qui nomme la commande, le résultat attendu, l'écart et l'action décidée.

Les pièges qui affaiblissent le programme

Se fonder sur le code NAF seul. Ce raccourci déplace le risque sans rendre la décision plus vérifiable.
Copier une conclusion trouvée pour un concurrent. Ce raccourci déplace le risque sans rendre la décision plus vérifiable.
Attendre la certitude pour traiter les risques évidents. Ce raccourci déplace le risque sans rendre la décision plus vérifiable.
Oublier une filiale ou un prestataire opéré. Ce raccourci déplace le risque sans rendre la décision plus vérifiable.
Présenter une hypothèse comme une obligation acquise. Ce raccourci déplace le risque sans rendre la décision plus vérifiable.

Ces pièges viennent souvent d'une volonté d'aller vite. Leur antidote est un retour au service réel, à la personne qui en dépend et au test que l'on peut rejouer. Une décision prudente peut être temporaire, à condition que sa date de réexamen soit explicite.

La prochaine décision utile

La meilleure sortie de réunion n'est pas un oui ou non improvisé. C'est une note courte qui cite les faits, les critères examinés, les incertitudes et le prochain point de vérification. Cette trace permet d'avancer sans fabriquer une sécurité juridique.

Écrivez la décision avec son responsable, sa date et la condition qui permettra de la fermer. Le sujet devient alors pilotable : l'entreprise sait ce qu'elle protège, ce qu'elle ignore encore et comment vérifier la prochaine étape.