Directive NIS2 — directive (UE) 2022/255518 secteurs critiques
La directive NIS2 établit un cadre juridique unifié pour la cybersécurité dans 18 secteurs critiques de l’Union européenne. Elle vous impose de gérer le risque pesant sur vos réseaux et systèmes d’information — et, des mois plus tard, de montrer à un auditeur que vous l’avez fait. Quanovio collecte les traces que vos systèmes produisent déjà, les confronte chaque jour aux exigences numérotées du règlement d’exécution de la directive, et rédige le registre que vous remettez. Une violation de la sécurité informatique, des données personnelles qui sortent de l’organisation, des fichiers que n’importe qui sur internet peut ouvrir, des comptes que personne n’a fermés — trouvés, signalés et suivis jusqu’à disparition prouvée.
Ce site renvoie à la directive (UE) 2022/2555 et aux exigences techniques et méthodologiques énoncées à l’annexe du règlement d’exécution (UE) 2024/2690 de la Commission. Les numéros de points et les intitulés d’exigences sont reproduits de ces textes, dans la langue que vous lisez. Les chiffres que nous avons mesurés sont signalés comme tels. Directive (UE) 2022/2555·RE (UE) 2024/2690
Secteurs concernésAnnexe I
L'annexe I désigne onze secteurs hautement critiques, représentés ici. L'annexe II en désigne sept autres. Les obligations ne changent pas selon le secteur ; les systèmes qui en apportent la preuve, si.
La taille et le secteur déterminent ensemble si une entité est essentielle ou importante, et les États membres peuvent en désigner d'autres. Le classement influe sur la surveillance et le niveau de sanction, non sur les mesures applicables.
En brefQuatre questions
Si vous êtes une organisation moyenne ou grande dans l'énergie, les transports, la santé, l'eau, l'alimentation, la fabrication, les déchets, la poste, la chimie, les services numériques, la recherche ou l'administration publique, presque certainement oui. La loi s'appelle NIS2, elle s'applique dans les 27 pays de l'Union et elle a fait entrer des milliers d'organisations jamais réglementées sur la sécurité. Beaucoup l'ignorent encore.
Les amendes atteignent 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les dirigeants peuvent être tenus personnellement responsables, et les autorités peuvent suspendre un dirigeant de ses fonctions. En pratique, il se passe d'abord quelque chose de plus simple : un client, un assureur ou une banque réclame vos preuves, et vous n'en avez aucune.
Deux choses, et c’est la seconde qu’on oublie. D’abord la surveillance elle-même : Quanovio se connecte aux systèmes que vous exploitez déjà et les examine en continu — qui s’est connecté et depuis où, ce qui est sorti de l’organisation, ce qui a changé sur un serveur, ce que votre pare-feu a laissé passer, ce qu’ont fait vos comptes cloud. Quand quelque chose ressemble à une tentative d’intrusion, à un compte pris par quelqu’un d’autre ou à des données qui partent là où elles ne devraient pas, vous l’apprenez immédiatement et non dans le rapport du lendemain, car la loi compte en heures. Ensuite, le document que cette surveillance produit : un rapport chaque matin, chaque ligne rattachée à la partie numérotée de la loi à laquelle elle répond.
Corriger ce qu'il trouve. Nous ne touchons jamais à vos systèmes — nous ne le pouvons pas, et c'est délibéré. Nous vous disons ce qui ne va pas et dans quel ordre le traiter ; vos équipes ou votre prestataire informatique font le travail, et le rapport du lendemain dit si cela a fonctionné.
L'idée sur laquelle tout reposeDeux choses différentes
Pensez aux extincteurs de votre bâtiment. Les avoir ne suffit pas. Quelqu'un signe chaque mois une fiche attestant qu'ils ont été vérifiés, et c'est cette fiche que l'inspecteur réclame. La sécurité fonctionne désormais pareil. La loi ne demande pas seulement si vous surveillez — elle exige que vous produisiez le document. La plupart des organisations en font bien plus qu'elles ne peuvent en montrer.
Une page. Ci-dessous, un exemple réel, abrégé. Le numéro à gauche est la partie de la loi à laquelle chaque ligne répond ; vous n'avez pas besoin de le comprendre, mais la personne qui vous contrôle, si.
| Point de l’annexe | Exigence | Constat | État | |
|---|---|---|---|---|
| 11.2 | Gestion des droits d’accès | Un lien de partage créé en mars reste actif sur un document restreint le 28 août. Le document est accessible à tout détenteur du lien, sans authentification. | Réapparu clos et vérifié le 2 septembre | |
| 6.7 | Sécurité des réseaux | Une règle de pare-feu autorise les connexions entrantes depuis n’importe quelle adresse vers le serveur financier. | Ouvert | |
| 3.4 | Évaluation et classification des événements | Un poste de travail a envoyé 4,2 Go vers une adresse jamais contactée auparavant, entre 01:00 et 04:00. | Ouvert | |
| 11.7 | Authentification à plusieurs facteurs | Quatre comptes disposant de privilèges d’administration s’authentifient par mot de passe uniquement. | Ouvert premier constat le 14 septembre | |
| 11.3 | Comptes privilégiés et comptes d’administration du système | Le compte d’administration du système de ressources humaines est utilisé par deux personnes. | Ouvert | |
| 6.8 | Segmentation du réseau | Le réseau des postes de travail atteint directement le réseau des serveurs, sans filtrage entre les deux. | Ouvert | |
| 12.4 | Inventaire des actifs | Trois serveurs fonctionnent sans figurer à l’inventaire. | Ouvert | |
| 11.5 | Identification | Une boîte partagée du service financier se connecte avec un compte générique qui n’appartient à personne. | Ouvert | |
| 3.2 | Surveillance et journalisation | Un serveur a cessé d’envoyer des enregistrements à 02:14 et est resté muet pendant quatorze heures. | Clos et vérifié | |
| 6.9 | Protection contre les logiciels malveillants ou non autorisés | Un logiciel malveillant a été bloqué sur un poste de travail du service financier. | Clos et vérifié | |
| 10.3 | Procédures en cas de cessation ou de changement d’emploi | Votre système de ressources humaines indique une date de départ au 18 août ; le compte était encore actif trente et un jours plus tard. | Clos et vérifié | |
| 6.10 | Gestion et divulgation des vulnérabilités | Trois vulnérabilités qualifiées de critiques ont été corrigées ; leur absence a été confirmée lors de la collecte suivante. | Clos et vérifié confirmé le 19 septembre |
Chaque ligne provient d’une partie différente de votre organisation. Les connexions, fichiers et comptes de votre suite bureautique ; les serveurs, pare-feu et le trafic réseau des systèmes eux-mêmes ; une date de départ de votre système de ressources humaines ou de votre ERP. Le registre est assemblé à partir de tout cela, et c’est pourquoi il se lit comme un seul document et non comme la sortie de plusieurs outils.
Les numéros de points et les intitulés des exigences sont reproduits de l’annexe du règlement d’exécution (UE) 2024/2690 de la Commission. Les constats ci-dessus sont une illustration et non les données d’une entité. La correction est assurée par les administrateurs de l’entité ; ce registre consigne uniquement ce qui a été observé. RE (UE) 2024/2690 · Annexe
Les connecteurs ne demandent que des autorisations de lecture. Une habilitation renvoyée avec un droit d’écriture est refusée à la connexion plutôt que conservée.
La même solution, déployée dans votre réseau ou exploitée pour votre compte au sein de l’Union européenne. En auto-hébergement, rien ne sort de chez vous.
Chaque constat s’accompagne d’un plan de correction exécuté par vos administrateurs. Les collectes suivantes consignent le résultat : clos, non résolu ou réapparu.
L’écranExemple
Le rapport est ce que vous remettez. L’écran est l’endroit où le travail se fait entre deux rapports : ce qui a changé, ce qui évolue dans le mauvais sens, ce qui demande une attention aujourd’hui, et chaque rapport jamais produit, prêt à être envoyé.
Illustration. Les chiffres sont un exemple, comme le registre ci-dessus.
Les chiffres signalés comme mesurés sont notre propre comptage sur le jeu de détections Wazuh publié ouvertement, à la date indiquée ; ils ne proviennent d’aucune source de l’UE.
Environ un tiers des exigences numérotées du RE (UE) 2024/2690 peut être démontré par la télémétrie. Le reste — méthodologie d’analyse des risques, évaluation de la chaîne d’approvisionnement, politique cryptographique, formation, sécurité physique — relève du documentaire et est déclaré ouvert, accompagné des preuves qu’un auditeur demandera. Les affirmations de couverture qui dépassent ce qu’un système de surveillance peut observer ne résistent pas à un audit.
Une page du même rapport. Huit des exigences numérotées, le nombre de détections derrière chacune, et si cela a suffi à la prouver. La dernière ligne est la plus utile : là où rien n’est raccordé, le rapport le dit au lieu de laisser la ligne vide.
| Réf. | Exigence | Détections | Démontré | |
|---|---|---|---|---|
| 11.6 | Authentification | 302 | Oui | |
| 3.2 | Surveillance et journalisation | 167 | Oui | |
| 6.9 | Protection contre les logiciels malveillants ou non autorisés | 155 | Oui | |
| 11.2 | Gestion des droits d’accès | 140 | Oui | |
| 3.4 | Évaluation et classification des événements | 135 | Oui | |
| 6.7 | Sécurité des réseaux | 70 | Oui | |
| 11.3 | Comptes privilégiés et comptes d’administration du système | 30 | Partiel | |
| 11.7 | Authentification à plusieurs facteurs | 2 | Nécessite une source d’identité |
Un exemple, et non les données d’une entité. Les numéros et les intitulés des exigences sont reproduits de l’annexe au règlement d’exécution (UE) 2024/2690.
RéférencesEUR-Lex · ENISA
Chaque chiffre, chaque délai et chaque intitulé d’exigence de ce site provient des textes ci-dessous. Lorsque ce site cite, il cite la version linguistique officielle dans laquelle vous le lisez.
Dites-nous ce que votre organisation exploite — cinq lignes suffisent — et nous vous dirons quelles parties de la loi vous pourriez prouver aujourd'hui et lesquelles non. Par écrit, gratuitement, et sans aucun appel.
Vérifier votre couverture