Mise en conformité NIS2 à Paris et en petite couronne : une demande simple, un devis gratuit

La mise en conformité NIS2 désigne la démarche qui permet à une entreprise de vérifier si la directive lui est applicable, puis de mesurer l’écart entre ses pratiques actuelles et les exigences attendues. Elle ne se réduit pas à un outil ni à une mesure technique isolée : elle couvre la gouvernance, la gestion des risques, la gestion des incidents et la sécurité de la chaîne d’approvisionnement.

Assujettissement : la question à trancher en premier

Le texte distingue des entités essentielles et des entités importantes, selon leur secteur d’activité et leur taille. Les textes de transposition en droit français précisent les critères applicables, et il convient de les vérifier au regard de la situation réelle de l’entreprise. Une analyse d’assujettissement documentée permet de trancher, pour éviter à la fois de sur-investir et de passer à côté d’une obligation.

Une responsabilité qui remonte à la direction

La directive attend que la direction approuve les mesures de gestion des risques et supervise leur mise en œuvre. La responsabilité ne peut donc pas être entièrement déléguée au service informatique : le plan d’action doit être présenté, compris et suivi au niveau de la direction. L’ANSSI publie des référentiels et des guides qui aident à structurer cette démarche. Dans la pratique, la question touche aussi les entreprises qui ne sont pas directement visées : un sous-traitant ou un fournisseur de services numériques peut se voir imposer des exigences par un client assujetti. La démarche doit donc regarder à la fois les activités propres de l’entreprise et la place qu’elle occupe dans la chaîne de ses clients et de ses prestataires.

Le sujet arrive souvent à partir d’un déclencheur précis. Les situations suivantes reviennent régulièrement :

• Une incertitude sur l’assujettissement : personne ne sait si l’activité entre dans le champ de la directive.
• Un client concerné qui pose des questions : les donneurs d’ordre évaluent désormais leurs fournisseurs et peuvent exiger des engagements écrits.
• Une direction qui découvre ses responsabilités : le sujet remonte au comité sans plan d’action prêt.
• Aucune politique de sécurité écrite : des pratiques existent, mais rien ne les décrit ni ne permet de les vérifier.
• Aucun processus de signalement : en cas d’incident, personne ne sait qui décide, qui prévient et dans quel délai.
• Des prestataires critiques jamais évalués : hébergeur, éditeur de logiciel ou prestataire de maintenance dont la sécurité n’a jamais été examinée.
• Plusieurs référentiels à articuler : RGPD, ISO 27001 ou autres démarches déjà en place, sans lien entre elles.

Avant : cadrer le périmètre

Le projet commence par l’analyse d’assujettissement : activité, secteur, taille, sites et chaîne de sous-traitance. Le périmètre retenu, c’est-à-dire les systèmes, les sites et les prestataires concernés, doit être validé par la direction avant toute analyse technique.

Pendant : mesurer l’écart et traiter les risques

L’analyse d’écart compare les mesures existantes aux exigences applicables. Elle débouche sur une liste de risques priorisés, un plan de traitement et une politique de sécurité écrite, validée par la direction. La gestion des incidents et l’évaluation des fournisseurs sont traitées dans le même mouvement, car elles dépendent des mêmes décisions.

Après : tenir la démarche dans le temps

La conformité se maintient. Les procédures sont testées, les risques sont revus à intervalles réguliers et la documentation est mise à jour chaque fois que le système d’information évolue. Un suivi simple, lisible par la direction, permet de voir les actions restantes et leurs responsables. Le livrable de fin de projet doit être utilisable sans l’intervenant : un registre des risques tenu à jour, la liste des actions avec leurs responsables, la politique de sécurité approuvée et les procédures de signalement des incidents. Sans ces documents, la prochaine revue repart de zéro et la conformité dépend d’une seule personne.

Pour comparer deux propositions, quelques points sont déterminants. Le périmètre de l’analyse doit être écrit, avec la liste des livrables : analyse d’écart, plan d’action, politique de sécurité. La méthode doit s’appuyer sur les exigences de NIS2 et non sur une grille générique, sinon le résultat ne reflétera pas l’entreprise. L’offre doit aussi dire comment la démarche s’articule avec les référentiels déjà en place, RGPD ou ISO 27001 le cas échéant, afin d’éviter les doublons.

Enfin, l’implication de la direction doit être prévue dans le calendrier : validation du périmètre, arbitrage des risques, approbation de la politique. Une offre qui ne prévoit ni instance de décision ni suivi après l’analyse laisse l’entreprise seule face au plan d’action. Il reste à choisir entre un accompagnement ponctuel et un suivi dans la durée, selon la maturité de l’entreprise. Le prix dépend de la taille et du secteur, du nombre de sites et de prestataires critiques, de la maturité déjà atteinte et des référentiels existants : deux propositions ne sont comparables que si elles couvrent le même périmètre et les mêmes livrables.

• Confondre NIS2 et ISO 27001. NIS2 est une obligation réglementaire pour les entités concernées, ISO 27001 une norme volontaire. Une démarche ISO 27001 aide à couvrir une partie des exigences, sans les remplacer.
• Traiter le sujet comme un simple chantier technique. Sans validation de la gouvernance par la direction, les mesures restent incomplètes sur le plan juridique. Faire approuver le périmètre et la politique par la direction dès le départ.
• Repousser l’analyse d’assujettissement. Sans ce cadrage, impossible de dimensionner le plan d’action. Documenter l’analyse en amont, même si le plan se construit ensuite.
• Oublier les fournisseurs. Un prestataire critique non évalué reste un point d’entrée. Inventorier les prestataires qui accèdent au système et leur demander par écrit leurs engagements de sécurité.
• Rédiger une politique déconnectée de la réalité. Un document idéal, jamais appliqué, ne protège pas et sera difficile à défendre. Partir des pratiques constatées, écrire ce qui est appliqué et planifier le reste.

Avant de signer, posez ces questions au prestataire. Une réponse précise et documentée vaut mieux qu’une réponse générale ; si l’offre met en avant des qualifications, demandez les justificatifs et leur périmètre.

• L’analyse d’assujettissement est-elle documentée ? Elle doit énoncer les critères retenus et leur application à l’entreprise, pas seulement une conclusion.
• Le plan d’action distingue-t-il les obligations et les bonnes pratiques ? Cette séparation permet à la direction de savoir ce qui est exigé et ce qui relève de l’amélioration continue.
• La procédure de signalement des incidents est-elle testée ? Une procédure jamais jouée révèle ses failles le jour où elle sert pour de bon.
• Comment les fournisseurs critiques sont-ils évalués ? La réponse attendue décrit une méthode, une liste et un calendrier de revue.