NIS2 : quelles preuves techniques préparer pour démontrer ses mesures de cybersécurité ?

Une politique de sécurité signée n'établit pas, à elle seule, que les mesures sont effectivement appliquées. Pour préparer une revue de cybersécurité liée à NIS2, la question utile est : quelle pièce permet à un tiers de vérifier une mesure, sur un périmètre et à une date donnés ? 1

D'abord, déterminer le périmètre applicable

L'article 21 de la directive NIS2 prévoit des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, notamment en matière de risques, d'incidents, de continuité, de fournisseurs, d'accès et d'actifs. Les modalités nationales de transposition et de supervision doivent être vérifiées pour chaque entité. 1

Le règlement d'exécution (UE) 2024/2690 précise directement certaines exigences pour des catégories définies de prestataires et d'acteurs numériques : DNS, registres TLD, cloud, centres de données, CDN, services gérés, plateformes et certains services de confiance. Il ne constitue pas un référentiel technique obligatoire uniforme pour tous les secteurs NIS2. Le guide ENISA de juin 2025 accompagne ce règlement et propose des exemples de preuves, non une liste exhaustive de documents obligatoires pour toute entreprise. 2 3

Dix familles de preuves à préparer

| Famille | Exemple de preuve vérifiable | Point de contrôle | | --- | --- | --- | | 1. Gouvernance | Politique approuvée, responsabilités, compte rendu de revue | Qui décide et quand ? | | 2. Analyse des risques | Registre daté, scénarios, décisions de traitement | Quels risques résiduels sont acceptés ? | | 3. Actifs | Inventaire applicatif, matériel, cloud et propriétaires | Le périmètre est-il complet et actualisé ? | | 4. Accès | Extraits de revues de comptes privilégiés, exceptions MFA | Les écarts ont-ils été corrigés ? | | 5. Vulnérabilités | Résultats de scans, délais de traitement, dérogations | Une correction est-elle traçable ? | | 6. Incidents | Procédure, exercices, chronologie anonymisée | La chaîne d'escalade fonctionne-t-elle ? | | 7. Continuité | Résultats de tests de sauvegarde et de reprise | Le service métier a-t-il été restauré ? | | 8. Fournisseurs | Inventaire, criticité, exigences contractuelles et suivi | Qui dépend de quel tiers ? | | 9. Sensibilisation | Programme, participation, évaluation adaptée | La formation est-elle effective ? | | 10. Efficacité | Indicateurs, audits internes, plans d'action clôturés | Les mesures sont-elles évaluées ? |

Cette grille est une méthode éditoriale de préparation : elle ne doit pas être présentée comme une checklist légale universelle ni comme une garantie de conformité.

Une preuve doit être contextualisée

Un export de configuration MFA, sans date ni indication des comptes exclus, peut induire en erreur. Pour chaque pièce, conserver au minimum : exigence ou risque couvert, responsable, périmètre, date d'extraction, méthode de collecte, résultat, écart éventuel et action corrective. Les données personnelles et secrets techniques doivent être minimisés ou masqués dans les dossiers transmis.

L'inventaire des actifs est souvent le point de jonction : il relie un système à un processus métier, à son propriétaire, à ses dépendances et à ses contrôles. Une cartographie actualisée facilite ces rapprochements, sans remplacer les tests ni les preuves de mise en œuvre. 4

Cas pratique : un prestataire informatique

Un prestataire géré rassemble sa politique de gestion des risques, son inventaire des environnements clients et internes, une revue d'accès privilégiés et les comptes rendus de deux exercices de reprise. Il découvre que la procédure de restauration couvre la base de données mais pas l'annuaire nécessaire à l'authentification des opérateurs. L'écart est affecté à un responsable, assorti d'une échéance et retesté.

Le dossier est plus convaincant lorsqu'il montre la détection, la décision, la correction et la vérification, plutôt qu'une accumulation de captures d'écran.

Avant une revue : cinq questions à poser

• Les exigences ont-elles été qualifiées pour notre secteur et notre pays ?
• Chaque preuve correspond-elle à un actif, un responsable et une période ?
• Les exceptions et mesures compensatoires sont-elles visibles ?
• Les tests prouvent-ils le résultat, pas seulement l'existence d'une procédure ?
• Les preuves sensibles peuvent-elles être communiquées de manière sécurisée ?

La préparation NIS2 commence donc par un système de preuves vivant. La documentation, l'exploitation et la gouvernance doivent raconter la même histoire.