Réponse courte
Une feuille de route NIS2 exploitable relie le périmètre des services et systèmes, les responsabilités de direction, les risques, les objectifs de sécurité, les mesures existantes, les écarts, les actions et les preuves. Elle commence dès maintenant par la cartographie et la gestion des risques, même lorsque la qualification juridique nationale reste à confirmer.
À retenir
- ✓Vérifier le périmètre à partir des secteurs, seuils, services et règles applicables.
- ✓Faire approuver la gouvernance, les priorités et les ressources au niveau de direction approprié.
- ✓S'appuyer sur l'article 21 de NIS2 et sur ReCyF pour structurer l'évaluation.
- ✓Attribuer chaque action, fixer une échéance et définir la preuve attendue.
NIS2 élargit la gouvernance de la cybersécurité à de nombreux secteurs et renforce le rôle des organes de direction. La préparation gagne à commencer par les services essentiels au fonctionnement de l'entité, leurs dépendances et les risques qui pourraient affecter leur continuité, leur intégrité ou leur sécurité.
1. Établir une hypothèse de périmètre documentée
L'analyse examine les activités, secteurs et sous-secteurs, la taille de l'entité, les règles spécifiques et les éventuels cas de désignation. Elle distingue l'entité juridique, les services concernés et les systèmes d'information qui les soutiennent.
En France, l'ANSSI met à disposition des ressources d'orientation et invite les futures entités essentielles et importantes à renforcer leur sécurité pendant la finalisation du cadre national. La conclusion de périmètre reste documentée et actualisée.
2. Cartographier services, actifs et dépendances
La cartographie relie les services, processus, applications, infrastructures, identités, flux, fournisseurs, sites et équipes. Elle met en évidence les dépendances dont la défaillance pourrait interrompre ou dégrader le service.
Le niveau de détail doit permettre de décider : identifier les actifs critiques, les propriétaires, les interfaces et les scénarios de risque prioritaires.
3. Structurer l'évaluation autour des mesures de gestion des risques
L'article 21 couvre notamment les politiques d'analyse des risques, la gestion des incidents, la continuité, la sécurité de la chaîne d'approvisionnement, la sécurité du développement et de la maintenance, l'évaluation de l'efficacité des mesures, la cyberhygiène, la cryptographie, les ressources humaines, les accès et l'authentification.
ReCyF fournit en France un point d'appui opérationnel avec des objectifs de sécurité et des mesures recommandées. L'évaluation compare les pratiques observées aux objectifs applicables et conserve les éléments examinés.
4. Prioriser avec une lecture risque, service et faisabilité
La priorité combine criticité du service, scénario de menace, exposition, maturité de la mesure, dépendances et effort. Les actions immédiates réduisent les risques les plus importants ; les chantiers structurants installent des capacités durables.
Les décisions d'acceptation, de traitement, de transfert ou de surveillance du risque sont soumises à la gouvernance prévue et restent traçables.
5. Construire une feuille de route par capacités
Regrouper les actions par capacités facilite le pilotage : gouvernance, cartographie, identités et accès, protection, détection, incident, continuité, tiers, audit et amélioration continue.
Chaque action précise un responsable, une échéance, des ressources, un résultat attendu et une preuve. Les dépendances entre actions évitent de planifier un contrôle avant que son socle technique ou organisationnel soit disponible.
6. Préparer la démonstration et les notifications
Les preuves incluent politiques approuvées, cartographies, analyses de risque, configurations, journaux, tests, audits, exercices, comptes rendus, contrats, formations et décisions de direction.
La préparation des incidents décrit les rôles, informations disponibles, critères d'escalade, canaux et délais. Un exercice permet de vérifier la capacité réelle à qualifier, décider, notifier et conserver la trace.
Questions fréquentes
Les réponses essentielles
Peut-on commencer avant la confirmation définitive du périmètre français ?
Oui. La cartographie, la gestion des risques, la gouvernance, la continuité, la gestion des tiers et les capacités de réponse aux incidents renforcent la sécurité et préparent l'analyse de conformité.
Quelle différence entre entité essentielle et importante ?
La directive distingue ces catégories selon le type d'entité et les critères applicables, avec des modalités de supervision différentes. La qualification doit être réalisée à partir du texte et du cadre national en vigueur.
Qu'est-ce que ReCyF ?
Le Référentiel Cyber France publié par l'ANSSI structure des objectifs et mesures recommandées pour atteindre les objectifs de sécurité associés à NIS2.
Sources
Textes et ressources officielles
Sources consultées et vérifiées lors de la mise à jour du 10 août 2026.
- Union européenne - EUR-LexDirective (UE) 2022/2555 - NIS2
Texte officiel sur le périmètre, la gouvernance, les mesures de gestion des risques et les notifications.
- ANSSIDirective NIS 2 et Référentiel Cyber France
Ressource opérationnelle française, objectifs de sécurité et invitation à engager la préparation.