Mise en conformité NIS2 : les étapes, dans le bon ordre

Le réflexe classique face à NIS2 : commander des outils. Un EDR, un SIEM, un pare-feu nouvelle génération — et le sentiment d’avoir avancé. C’est l’erreur la plus coûteuse : la directive demande d’abord de savoir ce que vous protégez, de le prouver, et d’organiser la réaction. Voici l’ordre qui fonctionne, étape par étape, avec les délais réalistes pour une PME ou une ETI.

Étape 1 — Qualifier votre statut

Tout part de là : êtes-vous dans le périmètre, et en tant qu’entité essentielle ou importante ? La réponse conditionne le régime de supervision et le niveau de sanction. Les critères — secteur, taille, cas particuliers — sont détaillés dans notre checklist « qui est concerné ». Tranchez ce point par écrit : c’est la première pièce de votre dossier de conformité.

Étape 2 — Vous enregistrer auprès de l’ANSSI

Les entités concernées doivent se déclarer auprès de l’autorité nationale — en France, l’ANSSI, qui a ouvert un portail dédié à cet effet. L’enregistrement est une obligation à part entière, indépendante de votre niveau de préparation : ne pas être prêt n’est pas une raison de ne pas se déclarer, c’en est une de commencer.

Étape 3 — Mesurer l’écart

Face aux exigences — gestion des risques, sécurité des accès, sauvegardes, continuité, chaîne d’approvisionnement, notification d’incidents —, cartographiez ce qui existe, ce qui existe à moitié et ce qui manque. Deux règles pour que l’exercice serve :

• Partez de vos actifs critiques, pas de la liste des mesures : qu’est-ce qui, à l’arrêt, arrête l’entreprise ? C’est ce périmètre qu’on protège en premier.
• Notez la preuve, pas l’intention. « On a des sauvegardes » ne vaut rien ; « restauration testée le mois dernier, procès-verbal daté » vaut quelque chose.

Étape 4 — Traiter par risque, en commençant par les gains rapides

La feuille de route se priorise par risque, pas par confort. En pratique, les premiers mois concentrent presque toujours les mêmes chantiers à fort rendement : MFA généralisé, revue des comptes et des droits d’accès, sauvegardes hors ligne testées, correctifs sur les systèmes exposés, journalisation centralisée. Les projets lourds — segmentation, SOC, refonte d’architecture — viennent ensuite, sur un existant assaini. Les budgets par poste sont détaillés dans combien coûte une mise en conformité NIS2.

Étape 5 — Mettre la gouvernance au niveau

C’est le volet que les approches « outillage d’abord » ratent : NIS2 exige que la direction valide, supervise et soit formée. Concrètement : une analyse de risque revue périodiquement, des politiques écrites et datées, des responsabilités nommées, un suivi des sous-traitants critiques, et une trace des décisions. La conformité est un dossier qui se montre, pas un sentiment.

Étape 6 — Préparer la notification d’incident avant l’incident

Les délais de NIS2 — alerte sous 24 heures, notification sous 72 heures, rapport final sous un mois — ne se tiennent que si tout est prêt à froid : qui détecte, qui qualifie, qui déclare, avec quels canaux et quels modèles de déclaration. Écrivez la procédure, puis testez-la sur table une fois par an. Un exercice de deux heures révèle plus de trous qu’un classeur de procédures.

Les délais réalistes

Pour une PME avec un SI raisonnablement tenu : comptez deux à trois mois pour la qualification, l’enregistrement et le diagnostic, puis six à douze mois pour dérouler la feuille de route en absorbant les chantiers dans l’activité normale. Partir de zéro ou multiplier les sites allonge la seconde phase — raison de plus pour enclencher la première maintenant.

Notre accompagnement NIS2 suit exactement ce déroulé — en commençant par trancher si vous êtes concerné, en une conversation. C’est l’un des volets de notre activité cybersécurité.