Que doit contenir une checklist de mise en conformité NIS2 ?

L’article 21(2) donne la liste minimale, mais c’est l’article 21(1) qui fixe jusqu’où chaque mesure doit aller. Les mesures doivent être appropriées et proportionnées, compte tenu de l’état des connaissances, des normes européennes et internationales applicables et du coût de mise en œuvre, en tenant compte de votre exposition aux risques, de votre taille, ainsi que de la probabilité et de la gravité des incidents, y compris leurs conséquences sociétales et économiques. Une analyse d’écarts utile consigne donc, pour chaque point a) à j), ce que vous faites aujourd’hui, le risque traité et pourquoi ce niveau est proportionné.

Trois points passent facilement inaperçus :

• L’approche est « tous risques » : les mesures protègent les réseaux et systèmes d’information ainsi que leur environnement physique.
• Pour la chaîne d’approvisionnement, l’article 21(3) demande de tenir compte des vulnérabilités propres à chaque fournisseur et prestataire direct, de la qualité de leurs produits et de leurs pratiques de cybersécurité, y compris le développement sécurisé, et des résultats des évaluations coordonnées des risques des chaînes d’approvisionnement critiques menées au niveau de l’UE.
• Si vous constatez une non-conformité, l’article 21(4) impose des mesures correctives sans retard injustifié.

Les fournisseurs numériques couverts par le règlement d’exécution (UE) 2024/2690 de la Commission travaillent à partir de son annexe. Lorsqu’ils estiment qu’une exigence prévue « s’il est besoin », « s’il y a lieu » ou « dans la mesure du possible » ne s’applique pas à eux, ils doivent documenter leur raisonnement (article 2(2)).

Pour les entités essentielles, l’article 32(2) permet aux autorités de demander les politiques de cybersécurité documentées, les informations nécessaires pour évaluer les mesures, l’accès aux données et documents, et des preuves de mise en œuvre comme les résultats d’audits de sécurité réalisés par un auditeur qualifié, avec les éléments sous-jacents. Elles peuvent aussi mener des audits de sécurité réguliers et ciblés et des scans de sécurité. Les entités importantes s’exposent aux mêmes types de demandes ex post, dès que l’autorité dispose de preuves ou d’indices de non-conformité (article 33).

Conservez au minimum :

• l’approbation des mesures par l’organe de direction et les traces de sa formation (article 20) ;
• l’analyse d’écarts et le plan de traitement qui en découle ;
• une politique pour chaque point de l’article 21(2), avec un responsable et des dates de revue ;
• les registres d’incidents montrant les décisions de classification et la date d’envoi de chaque rapport ;
• les évaluations de fournisseurs et les clauses de sécurité de leurs contrats ;
• les données d’enregistrement transmises à l’autorité, l’article 3(4) imposant de signaler tout changement dans les deux semaines.

• Considérer la directive comme le texte à respecter. Vous respectez la loi nationale de transposition, qui peut ajouter des procédures d’enregistrement et des précisions (voir Pourquoi NIS2 varie-t-il selon les pays ?).
• Délimiter le programme comme un certificat ISO 27001. NIS2 s’applique à l’entité, alors qu’un périmètre de certification peut être plus étroit (voir L’ISO 27001 couvre-t-elle NIS2 ?).
• Réduire l’approbation de la direction à une signature ponctuelle. L’article 20 exige aussi la supervision de la mise en œuvre et la formation des membres de l’organe de direction.
• Croire que le niveau d’entité importante allège les mesures. Les obligations des articles 21 et 23 sont les mêmes ; la supervision et les amendes diffèrent.