L'une des questions les plus fréquentes sur NIS2 est aussi l'une des moins bien posées : "Sommes-nous concernés ?" Beaucoup d'organisations cherchent un déclencheur unique, comme l'effectif, une étiquette sectorielle ou une idée floue de ce qui serait "critique". En pratique, une première évaluation utile repose sur autre chose : comprendre le service rendu, le secteur, la taille de l'organisation et son rôle opérationnel.
Une première analyse interne n'est pas un raccourci juridique. C'est une manière de distinguer trois cas : les organisations très probablement dans le périmètre, celles qui ont besoin d'une analyse plus approfondie, et celles qui subissent surtout une pression par leurs clients, assureurs ou partenaires. Cette distinction aide la direction à prioriser et évite à l'IT d'attendre une certitude parfaite avant de traiter des lacunes évidentes de preuve et de traçabilité.
Ce contenu ne constitue pas un conseil juridique. Il sert de cadre pratique pour une première évaluation interne avant une analyse juridique ou réglementaire plus formelle.
Pour qui cette page est faite
Cette page est particulièrement utile pour :
- les dirigeants et directions générales,
- les responsables IT et infrastructure,
- les fonctions conformité, risque et sécurité,
- les administrateurs externes et MSP qui accompagnent leurs clients,
- les organisations qui soupçonnent une possible exposition sans avoir encore de vue claire.
Ce que vous devez en retenir
Après lecture, vous devriez mieux voir :
- pourquoi le périmètre NIS2 ne se décide pas sur un seul critère,
- la différence entre intérêt général pour NIS2 et impact réglementaire direct,
- ce qu'une première évaluation interne doit couvrir,
- pourquoi la question des logs et de la preuve se pose très tôt.
Pourquoi beaucoup d'organisations se posent la mauvaise question
Demander "sommes-nous une entité critique ou non ?" est souvent trop simpliste pour être utile. De meilleures questions sont par exemple :
- quel service rendons-nous réellement,
- ce service relève-t-il d'un secteur visé,
- sommes-nous au-dessus des seuils de taille pertinents,
- appartenons-nous à un groupe qui change l'analyse,
- des clients régulés dépendent-ils de nous au point de créer une pression opérationnelle forte même sans périmètre direct.
Le bon objectif d'un premier tri n'est pas de produire une conclusion juridique définitive. Il s'agit de réunir les faits permettant de décider si le sujet doit être escaladé rapidement.
Intérêt général pour NIS2 vs impact réglementaire direct
Il existe une vraie différence entre le fait de s'intéresser à NIS2 et le fait d'être directement concerné par le régime. Beaucoup d'organisations doivent s'y intéresser parce que leurs clients, assureurs ou partenaires demandent désormais plus de résilience cyber, de traçabilité et de capacité à démontrer leurs contrôles.
Cela ne signifie pas automatiquement que tout le cadre réglementaire s'applique. Mais l'erreur inverse est tout aussi risquée : se croire trop petit, trop ordinaire ou trop périphérique pour être concerné.
Secteurs et types d'organisations typiquement concernés
Au niveau européen, NIS2 vise des organisations actives dans des secteurs considérés comme importants pour l'économie, la société ou les services essentiels. On retrouve typiquement :
- l'énergie,
- les transports,
- la santé,
- les infrastructures numériques,
- certaines administrations publiques,
- certains services numériques,
- l'eau, les eaux usées et les déchets,
- certaines activités industrielles ou de fabrication.
Cela ne veut pas dire que toutes les organisations d'un secteur donné seront concernées de la même manière. Ce qui compte n'est pas seulement l'étiquette du secteur, mais la nature du service rendu et le rôle réel de l'organisation.
La taille compte, mais ne suffit pas
NIS2 capte souvent des organisations de taille moyenne ou plus grandes, mais la taille n'est qu'une partie de l'équation. Pour une première revue interne, vérifiez notamment :
- l'effectif,
- le chiffre d'affaires ou le total de bilan,
- l'appartenance éventuelle à un groupe,
- la nature exacte du service fourni,
- l'existence d'un rôle particulier dans une chaîne critique.
La taille agit donc comme un filtre, pas comme une décision complète.
Pourquoi la combinaison des facteurs compte
Une grande partie des erreurs internes vient du fait qu'une organisation s'accroche à un seul argument censé tout trancher :
- "nous sommes trop petits",
- "nous ne sommes qu'un fournisseur",
- "nous ne sommes pas un organisme public",
- "nous faisons seulement du support IT",
- "notre entité locale est petite".
En réalité, un examen utile doit généralement prendre en compte :
- le secteur,
- la nature du service,
- la taille,
- la structure de groupe,
- l'importance opérationnelle,
- la dépendance de clients régulés,
- les détails de transposition nationale.
Idées reçues fréquentes
"Nous sommes une petite entreprise, donc cela ne peut pas nous concerner"
Beaucoup d'organisations de taille intermédiaire entrent dans le périmètre. Et les chiffres de groupe sont souvent sous-estimés.
"Nous sommes seulement sous-traitants"
Cela peut vous laisser hors du périmètre direct, mais pas hors de la pression client. Si vous supportez des opérations importantes, vos clients demanderont de plus en plus de preuves, de capacité d'investigation et de traçabilité.
"Seul le secteur compte"
Le secteur compte, mais le service réel compte tout autant. Deux organisations dans un même secteur large peuvent être appréciées différemment en fonction de leur rôle et de leur importance effective.
"Si nous ne sommes pas sûrs, nous pouvons attendre"
Attendre est rarement une stratégie solide. Même si l'organisation n'est finalement pas directement dans le périmètre, les attentes autour des logs, de la preuve et de la préparation à l'incident apparaîtront souvent via les clients ou les incidents eux-mêmes.
Comment faire une première évaluation interne
L'objectif n'est pas de remplacer l'analyse juridique. Il s'agit d'ordonner les faits et d'identifier s'il faut accélérer le sujet.
1. Définir le service en termes opérationnels
Décrivez ce que l'organisation fournit réellement, qui en dépend et quelles seraient les conséquences d'une indisponibilité ou d'une compromission.
2. Rattacher ce service à un secteur
Utilisez une lecture opérationnelle, et non le langage marketing ou commercial du site web.
3. Vérifier la taille et la structure de groupe
Prenez en compte :
- l'effectif,
- le chiffre d'affaires,
- le total de bilan,
- la société mère et les entités sœurs,
- les règles d'agrégation qui peuvent s'appliquer.
4. Évaluer les dépendances
Déterminez si des clients régulés dépendent de vos systèmes, de votre connectivité, de vos services d'identité, de votre support d'exploitation ou d'autres fonctions critiques.
5. Identifier les systèmes critiques et les lacunes de preuve
Si l'organisation est probablement concernée, quels systèmes devraient permettre l'audit, la traçabilité et l'analyse d'incident ? Quelles identités, quels serveurs, quels contrôles réseau et quels services cloud sont centraux ? Quelles preuves existent déjà de manière centralisée, et lesquelles n'existent qu'en local sur les systèmes sources ?
Cela mène naturellement à Quels logs faut-il pour l'audit et NIS2 ?.
Quels éléments préparer avant une analyse formelle
Si vous voulez une étape suivante productive, préparez au minimum :
- une brève description des services fournis,
- des informations de base sur vos clients et dépendances,
- vos données d'effectif, chiffre d'affaires ou bilan,
- des informations sur la structure de groupe,
- une liste des systèmes et plateformes critiques,
- une vue d'ensemble du logging et de la rétention existants,
- les demandes déjà formulées par des clients régulés en matière d'assurance cyber.
Le point sur le logging est souvent sous-estimé. Dès qu'une exposition directe devient plausible, la question opérationnelle suivante est simple : qu'est-ce que nous pouvons démontrer aujourd'hui ? Si la réponse est "nos logs sont dispersés sur des serveurs, équipements et consoles séparés", le point de départ est faible.
Pourquoi la responsabilité de la direction fait partie de la même discussion
L'évaluation du périmètre n'est pas seulement un exercice pour les juristes ou la conformité. C'est aussi une décision de direction sur l'urgence, la responsabilité et les moyens.
La première évaluation doit donc rapidement être reliée à des questions comme :
- qui porte le sujet au niveau direction,
- qui prépare la phase suivante,
- à quelle vitesse un minimum de preuve doit être mis en place,
- quelles lacunes opérationnelles sont déjà évidentes.
Cette dimension est développée sur NIS2 pour la direction.
Pourquoi les outils et sources officiels comptent
Une revue interne est utile, mais elle doit être confrontée autant que possible à des sources officielles :
- textes primaires,
- guidance des autorités compétentes,
- outils sectoriels ou nationaux de qualification du périmètre,
- si nécessaire, conseil formel plutôt qu'interprétation improvisée.
Pour les organisations opérant dans plusieurs pays, il faut garder un point en tête : la directive est européenne, mais sa mise en œuvre reste concrètement nationale. Les détails peuvent donc varier selon la juridiction.
Étapes pratiques suivantes
Si votre organisation n'est pas sûre, une séquence raisonnable est la suivante :
- faire une première revue interne fondée sur le service, le secteur, la taille et la structure de groupe,
- identifier les systèmes critiques, les identités clés et l'état actuel du logging,
- confronter les hypothèses à la guidance officielle,
- escalader rapidement vers la direction si une exposition directe est plausible ou si la pression client est déjà visible,
- commencer à améliorer le minimum de preuve avant même qu'une conclusion juridique finale soit rendue.
Cette approche évite deux échecs fréquents : sur-réagir sans faits et attendre trop longtemps une certitude totale.
FAQ
Nous sommes fournisseur d'une organisation régulée. Cela nous met-il automatiquement dans le périmètre ?
Non. En revanche, cela signifie souvent que vos clients attendront de vous davantage de preuves, de préparation aux incidents et de traçabilité.
Le nombre de salariés suffit-il pour déterminer le périmètre ?
Non. La taille compte, mais aussi le secteur, le service, la structure de groupe et les règles nationales applicables.
Faut-il déjà se préoccuper des logs à ce stade ?
Oui. S'il existe une probabilité réaliste d'être concerné, ou si des clients régulés exigent déjà plus de garanties, les logs et la preuve deviennent un sujet immédiat.
Cette première évaluation remplace-t-elle un conseil juridique ?
Non. Elle sert à organiser les faits, réduire la confusion et préparer une décision plus formelle.
Liens internes
- Retour à la vue d'ensemble NIS2
- Les différents niveaux d'obligations NIS2
- NIS2 pour la direction
- Quels logs faut-il pour l'audit et NIS2 ?
Prochaine étape
- Télécharger la checklist pour une première revue interne du périmètre NIS2.
- Obtenir une évaluation de préparation axée sur le périmètre, la preuve et le minimum de logging.
- Demander une consultation initiale pour passer de l'incertitude à une phase suivante défendable.