NIS2 : guide pratique de mise en conformité pour les ETI

La directive distingue les entités essentielles et les entités importantes, selon le secteur d'activité — énergie, transport, santé, banque, infrastructure numérique, mais aussi fabrication, agroalimentaire, gestion des déchets, services numériques — et la taille de l'entreprise, le seuil d'entrée se situant en règle générale à cinquante salariés ou dix millions d'euros de chiffre d'affaires. Deux points appellent une vigilance particulière. D'abord, la transposition nationale précise le périmètre et le calendrier : c'est le texte français, accompagné des travaux de l'ANSSI, qui fait foi pour les obligations concrètes. Ensuite, l'effet de chaîne : même une entreprise hors périmètre peut se voir imposer des exigences par ses clients régulés, car la directive fait de la sécurité de la chaîne d'approvisionnement une obligation à part entière.

Les mesures attendues relèvent de la gestion des risques bien comprise : une analyse de risques formalisée et des politiques de sécurité qui en découlent ; la gestion des incidents, avec des obligations de notification rapide aux autorités selon des paliers définis ; la continuité d'activité — sauvegardes testées, plans de reprise, gestion de crise ; la sécurisation des relations avec les fournisseurs ; la sécurité dans l'acquisition et le développement des systèmes ; des pratiques d'hygiène informatique et de formation ; le chiffrement là où il s'impose ; et le contrôle des accès avec authentification multifacteur. S'y ajoute un volet de gouvernance qui change la donne : les organes de direction doivent approuver la démarche de gestion des risques, en suivre la mise en œuvre et être eux-mêmes formés — la cybersécurité cesse juridiquement d'être un sujet purement technique délégable.

La démarche efficace suit un ordre éprouvé. Premièrement, qualifier sa situation : secteur, taille, statut d'entité essentielle ou importante, exigences contractuelles des clients. Deuxièmement, réaliser une analyse d'écart honnête entre l'existant et les exigences, en s'appuyant sur les référentiels de l'ANSSI ; cette analyse révèle presque toujours les mêmes chantiers prioritaires — authentification multifacteur incomplète, sauvegardes non testées, absence de procédure de réponse à incident, sous-traitants non évalués. Troisièmement, traiter les écarts par ordre de risque réel et non de facilité, en assumant un plan pluriannuel documenté : les autorités attendent une trajectoire crédible et pilotée davantage qu'une perfection immédiate. Quatrièmement, ancrer le dispositif dans la durée : exercices de crise réguliers, revues de direction, indicateurs suivis.

L'erreur la plus coûteuse serait d'aborder NIS2 comme un exercice documentaire — produire des classeurs de politiques que personne n'applique. Les mesures exigées sont précisément celles qui réduisent la probabilité et l'impact d'un incident majeur : à ce titre, le budget de conformité est un budget de résilience. Les entreprises qui l'ont compris en tirent même un avantage commercial, la capacité à démontrer sa maturité cyber devenant un critère de sélection dans un nombre croissant d'appels d'offres. La conformité s'obtient alors par surcroît : elle est l'effet d'une sécurité réelle, pas son substitut.