L'article 21 de NIS2 oblige les entités essentielles et importantes à prendre des mesures techniques, opérationnelles et organisationnelles « appropriées et proportionnées » pour gérer les risques pesant sur leurs systèmes d'information, selon une approche « tous risques », et fixe dix domaines minimaux à couvrir 1. Le texte décrit des objectifs, pas des contrôles : c'est à chaque entité de les traduire en actions, puis d'être capable d'en apporter la preuve.
Deux sources aident à passer de l'objectif à l'action. Pour les fournisseurs numériques (cloud, centres de données, services gérés, DNS, places de marché, etc.), le règlement d'exécution (UE) 2024/2690 détaille les exigences techniques et méthodologiques 2, complété par un guide de mise en œuvre de l'ENISA publié en juin 2025 3. Pour les autres entités françaises, l'ANSSI a publié le Référentiel Cyber France (ReCyF), en version de travail, qui liste les mesures recommandées par objectif de sécurité 45.
Ce guide reprend les dix mesures de l'article 21 et propose, pour chacune, les actions prioritaires et les preuves qu'un auditeur s'attendra à trouver.
Le cadre de l'article 21 : proportionnalité et responsabilité de la direction
La proportionnalité tient compte de l'état de l'art, du coût de mise en œuvre, de l'exposition de l'entité aux risques, de sa taille, ainsi que de la probabilité et de la gravité des incidents 1. Elle ne dispense d'aucun domaine : elle module la profondeur de la réponse. Le ReCyF applique ce principe en distinguant les exigences selon que l'entité est essentielle ou importante 5.
Ces mesures ne relèvent pas du seul RSSI. L'article 20 impose aux organes de direction de les approuver, d'en superviser la mise en œuvre et de suivre une formation ; leur responsabilité peut être engagée en cas de manquement 1. Enfin, une entité qui constate un écart doit prendre « sans retard injustifié » les mesures correctives nécessaires 1.
L'article 21 fixe des objectifs, pas des contrôles : la conformité se joue sur la capacité à démontrer des mesures réellement appliquées.
Gouverner : analyse des risques, politiques et évaluation de l'efficacité
a) Politiques d'analyse des risques et de sécurité des systèmes d'information
L'action de départ est une analyse de risques documentée sur le périmètre régulé, mise à jour à intervalles définis et après tout changement significatif. Le règlement 2024/2690 prévoit pour les entités qu'il couvre un cadre de gestion des risques, une politique de sécurité approuvée par la direction et des politiques thématiques 2. Preuves attendues : cartographie des systèmes et des services, registre des risques avec propriétaires, plan de traitement, politique de sécurité signée.
f) Évaluation de l'efficacité des mesures
C'est le domaine le plus souvent oublié. Il suppose des indicateurs (taux de correctifs appliqués dans les délais, couverture de l'authentification multifacteur, résultats d'audits et de tests d'intrusion) et une revue périodique présentée à la direction. Un tableau de bord trimestriel et des comptes rendus de revue constituent la preuve la plus simple.
Protéger : hygiène, identités, cryptographie et développement
g) Cyberhygiène de base et formation
Inventaire et durcissement des postes et serveurs, gestion des correctifs, sauvegardes, cloisonnement des comptes d'administration, sensibilisation de tous les collaborateurs et formation spécifique des administrateurs et des dirigeants 1.
i) Sécurité des ressources humaines, contrôle d'accès et gestion des actifs
Un inventaire des actifs à jour, des procédures d'arrivée, de mobilité et de départ, une revue périodique des droits et une gestion dédiée des comptes à privilèges. Le règlement 2024/2690 consacre des sections spécifiques au contrôle d'accès et à la gestion des actifs 2.
j) Authentification multifacteur et communications sécurisées
L'article 21 vise l'authentification multifacteur ou continue « le cas échéant », les communications vocales, vidéo et textuelles sécurisées, et des systèmes de communication d'urgence sécurisés 1. Priorité : accès distants, comptes à privilèges, messagerie et consoles d'administration cloud, puis un moyen de communication de crise indépendant du système d'information principal.
h) Cryptographie et chiffrement
Une politique qui précise les usages du chiffrement (données au repos, en transit, sauvegardes), les algorithmes admis et la gestion du cycle de vie des clés et des certificats.
e) Sécurité de l'acquisition, du développement et de la maintenance
Exigences de sécurité dans les achats informatiques, règles de développement sécurisé couvrant spécification, conception, développement et tests, y compris en cas d'externalisation, et processus de gestion et de divulgation des vulnérabilités 12.
Répondre et durer : incidents, continuité et crise
b) Gestion des incidents
Détection, qualification, réponse et retour d'expérience, avec une procédure articulée avec les délais de notification de l'article 23. Preuves : procédure, journal des incidents, rapports de clôture, sources de journalisation et durée de conservation définies.
c) Continuité des activités et gestion de crise
L'article 21 cite explicitement la gestion des sauvegardes, la reprise après sinistre et la gestion de crise 1. Concrètement : des plans de continuité et de reprise pour les services régulés, des sauvegardes déconnectées ou immuables dont la restauration est testée, un dispositif de crise exercé au moins une fois par an avec la direction.
Étendre : la chaîne d'approvisionnement
d) Sécurité de la chaîne d'approvisionnement
L'entité doit traiter la sécurité des relations avec ses fournisseurs et prestataires directs, en tenant compte de leurs vulnérabilités propres, de la qualité de leurs produits et de leurs pratiques de cybersécurité 1. Le règlement 2024/2690 demande une politique fournisseurs, des critères de sélection, des clauses contractuelles et un registre des fournisseurs 2. Ce domaine fait l'objet d'un article dédié de cette série.
Feuille de route : par où commencer
Les dix domaines ne se traitent pas en parallèle. Une séquence réaliste pour une organisation qui démarre :
- Mois 1 à 2 : délimiter le périmètre régulé, cartographier systèmes et services, réaliser l'analyse de risques et l'écart au ReCyF avec l'outil de comparaison de l'ANSSI 4.
- Mois 2 à 4 : traiter les mesures à fort effet de levier (authentification multifacteur sur les accès distants et les comptes à privilèges, correctifs, sauvegardes testées, inventaire des actifs).
- Mois 3 à 6 : formaliser la gestion des incidents et le circuit de notification, exercer la cellule de crise avec la direction.
- Mois 4 à 9 : politique fournisseurs, revue des contrats critiques, registre des prestataires.
- En continu : indicateurs d'efficacité, revue de direction, plan d'amélioration et traçabilité des preuves.
Pour les entités françaises, s'aligner sur le ReCyF présente un intérêt juridique : le projet de loi prévoit qu'une entité appliquant le référentiel national, ou un référentiel reconnu équivalent, peut s'en prévaloir lors d'un contrôle 6. Une organisation déjà certifiée ISO/IEC 27001 gagnera à cartographier ses contrôles existants plutôt qu'à reconstruire un second système documentaire. Les fournisseurs numériques couverts par le règlement 2024/2690 relèvent quant à eux de ce règlement européen, et non du socle français 5.
Constituer le dossier de preuves avant le contrôle
Lors d'un contrôle, l'autorité ne se contente pas d'une déclaration d'intention : elle demande des documents, interroge les équipes et peut accéder aux systèmes. Le projet de loi français prévoit que les agents habilités puissent visiter les locaux, demander des documents, accéder aux systèmes et effectuer des prélèvements 6. Le guide de l'ENISA, construit autour d'exemples de preuves pour chaque exigence du règlement 2024/2690, donne une bonne idée du niveau attendu 3. Un dossier de preuves bien tenu comprend au minimum :
- La délimitation du périmètre régulé et la cartographie des systèmes et services qui le composent.
- L'analyse de risques datée, le plan de traitement et les arbitrages validés par la direction.
- Les politiques approuvées (sécurité, contrôle d'accès, cryptographie, fournisseurs, continuité) avec leur date de revue.
- Les comptes rendus des comités de direction ayant approuvé et suivi les mesures, et les attestations de formation des dirigeants 1.
- Les enregistrements d'exploitation : rapports de correctifs, revues de droits, tests de restauration, exercices de crise.
- Le registre des incidents et, pour chacun, la décision de notifier ou non avec sa justification.
- La matrice de correspondance entre vos contrôles et le ReCyF ou le règlement 2024/2690.
L'erreur la plus fréquente consiste à produire ces documents au moment du contrôle. Une preuve fabriquée a posteriori se repère vite : dates incohérentes, absence de versions intermédiaires, écart entre la procédure écrite et le discours des équipes. Mieux vaut intégrer la production de preuves dans l'exploitation courante, par exemple en conservant automatiquement les rapports des outils de gestion des correctifs et de sauvegarde.
Conclusion
L'article 21 se résume à dix domaines, mais sa mise en œuvre est un programme de transformation qui touche la gouvernance, l'exploitation, les achats et les ressources humaines. La meilleure protection face à un contrôle reste une analyse de risques vivante, des mesures priorisées et des preuves tenues à jour. DATASWING intervient sur ces chantiers, de l'analyse d'écart à la mise en œuvre technique sur les environnements cloud et data.
— Questions fréquentes
Ce qu'on nous demande souvent
Quelles sont les 10 mesures de l'article 21 de NIS2 ?+
Analyse des risques et politiques de sécurité, gestion des incidents, continuité d'activité et gestion de crise, sécurité de la chaîne d'approvisionnement, sécurité de l'acquisition, du développement et de la maintenance, évaluation de l'efficacité des mesures, cyberhygiène et formation, cryptographie et chiffrement, sécurité des ressources humaines, contrôle d'accès et gestion des actifs, authentification multifacteur et communications sécurisées.
L'ISO 27001 suffit-elle pour être conforme à NIS2 ?+
Elle constitue une base solide, car elle structure l'analyse de risques et la plupart des domaines de l'article 21, mais elle ne suffit pas automatiquement. Il faut vérifier la couverture du périmètre régulé, la notification d'incidents, la responsabilité des dirigeants et les exigences du ReCyF. L'outil de comparaison de l'ANSSI permet d'identifier les écarts.
Le ReCyF est-il obligatoire ?+
Pas à la date de rédaction : il est publié en version de travail en attendant la loi de transposition, qui prévoit un référentiel fixé par décret. Le projet de loi permet à une entité qui applique ce référentiel, ou un référentiel reconnu équivalent, de s'en prévaloir lors d'un contrôle, ce qui en fait la base la plus sûre.
Qui doit approuver les mesures NIS2 dans l'entreprise ?+
Les organes de direction. L'article 20 de NIS2 leur impose d'approuver les mesures de gestion des risques, d'en superviser la mise en œuvre et de suivre une formation en cybersécurité. Leur responsabilité peut être engagée en cas de manquement. Le RSSI pilote le programme, mais la décision et la supervision relèvent de la direction.
— Sources
Références citées
Les textes réglementaires et documentations évoluent : vérifiez la version en vigueur avant toute décision. Cet article n'est pas un avis juridique.
-
[1]
Directive (UE) 2022/2555 du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union (directive NIS 2) ↗EUR-Lex, Journal officiel de l'Union européenne · 2022-12
-
[2]
Règlement d'exécution (UE) 2024/2690 de la Commission du 17 octobre 2024 (exigences techniques et méthodologiques des mesures de gestion des risques et incidents importants) ↗EUR-Lex, Journal officiel de l'Union européenne · 2024-10
-
[3]
NIS2 Technical Implementation Guidance (version 1.0) ↗ENISA · 2025-06
- [4]
-
[5]
NIS 2 : suis-je concerné, pré-enregistrement, ReCyF et ressources ↗ANSSI, MesServicesCyber · 2026
- [6]
