Les dix mesures de sécurité NIS2, en clair

L'article 21 en clair — ce que signifie chacune des dix mesures, et la différence entre affirmer une mesure et la prouver.

Publié le 17 août 20264 min de lecture

En bref : la loi du 5 mai 2026 impose dix mesures de cybersécurité à toute entité concernée — entités essentielles comme importantes. Elles viennent de l'article 21 de la directive NIS2, et c'est la liste sur laquelle l'ILR vous attend. Voici ce que signifie chacune, en clair, et à quoi ressemble « fait ».

Aucune des dix n'est exotique. Ce qui piège les entreprises, ce n'est pas de les comprendre — c'est de les prouver. Une mesure inscrite dans une politique mais jamais testée n'a pas la même valeur, pour un régulateur ou un assureur, qu'une mesure que vous pouvez démontrer.

Les dix mesures, en clair

  1. Analyse des risques et politiques de sécurité. Une vision écrite des risques réels de votre activité, et des règles de sécurité qui en découlent — pas un modèle téléchargé et signé.
  2. Gestion des incidents. Un plan pour détecter, gérer et consigner les incidents, afin de réagir plutôt qu'improviser le jour venu.
  3. Continuité d'activité. Des sauvegardes réellement testées, une reprise après sinistre, et de quoi continuer à fonctionner en cas de crise.
  4. Sécurité de la chaîne d'approvisionnement. Maîtriser la sécurité des fournisseurs et prestataires qui touchent à vos systèmes — et les clauses contractuelles qui les y engagent.
  5. Acquisition et développement sécurisés. La sécurité intégrée aux systèmes que vous achetez, construisez et maintenez, y compris le traitement et la divulgation des vulnérabilités.
  6. Test de l'efficacité. Un moyen de vérifier que vos mesures fonctionnent vraiment — pas seulement qu'elles existent sur le papier.
  7. Hygiène et formation. Les bases, appliquées avec constance, et une vraie formation de vos équipes.
  8. Cryptographie. Du chiffrement là où il compte, encadré par une politique qui dit où et comment.
  9. Ressources humaines, contrôle d'accès et gestion des actifs. Maîtriser qui accède à quoi, ce qui se passe aux arrivées et aux départs, et savoir quels actifs vous détenez réellement.
  10. Authentification à plusieurs facteurs et communications sécurisées. La connexion en deux étapes là où c'est important, et des communications voix, vidéo et texte sécurisées, y compris en situation d'urgence.

Les mêmes dix mesures s'appliquent aux entités essentielles et importantes. Ce qui change, c'est la surveillance, pas les exigences : les essentielles sont contrôlées de façon proactive, les importantes après un incident ou une plainte. « Nous ne sommes qu'importants » ne réduit donc pas la liste — cela change seulement le moment où quelqu'un regarde.

Proportionnalité : les dix s'appliquent, mais pas à la même profondeur

L'article 21 demande des mesures appropriées et proportionnées à votre risque, votre taille et votre exposition. Une entreprise de logistique de 60 personnes n'est pas tenue au même niveau qu'un gestionnaire de réseau national. Mais la proportionnalité module jusqu'où vous poussez chaque mesure — elle ne vous permet pas d'en sauter une. Les dix doivent être présentes ; c'est la sophistication qui s'ajuste.

Là où ça coince vraiment

En pratique, les manques se concentrent toujours aux mêmes endroits, rarement les plus exotiques :

  1. Une authentification à deux facteurs déployée sur la plupart des comptes mais pas tous — et les oubliés sont souvent les comptes à privilèges.
  2. Des sauvegardes qui existent mais n'ont jamais été restaurées : personne ne sait si elles fonctionnent.
  3. Aucune clause de sécurité fournisseur, parce que les contrats IT ont été signés avant qu'on pense à la chaîne d'approvisionnement.
  4. Aucun test d'efficacité — les mesures sont affirmées, jamais vérifiées.

Ce n'est pas coûteux à corriger. Il faut simplement quelqu'un pour les trouver honnêtement — ce qu'une équipe interne, ou le prestataire qui a monté l'installation, ne peut pas faire pour lui-même.

Affirmé n'est pas prouvé. Chacune des dix se note de deux façons : son degré de maturité, et comment vous le savez — vous l'avez dit, nous avons lu le document, ou nous l'avons testé et constaté le résultat. Un dossier plein de mesures « affirmées » ne convainc personne qui compte. Quand vous vous évaluez au regard de l'article 21, exigez la seconde note.

Comment nous aidons

Notre audit de conformité vous évalue sur les dix mesures, teste ce qui peut l'être, et qualifie honnêtement le reste — pour que votre dossier montre à un régulateur, un assureur ou un client quelles mesures reposent sur des preuves et lesquelles sur une simple parole. Vous repartez avec une analyse de risques, une politique de sécurité, un plan d'action et une procédure d'incident écrits pour votre entreprise, et une liste claire de ce qu'il faut corriger, dans quel ordre.

Vous ne savez pas si la loi vous concerne d'abord ? C'est une question distincte, plus rapide — et nous y répondons par écrit avant tout le reste.