Qui est concerné par NIS2, et surtout qui ne l'est pas
Commençons par ce qui devrait rassurer une bonne partie des lecteurs. La directive NIS2 vise en principe les entités qui remplissent deux conditions cumulatives : appartenir à l'un des secteurs listés par le texte, et atteindre un seuil de taille — au moins 50 salariés, ou au moins 10 millions d'euros de chiffre d'affaires annuel.
Une entreprise de 30 personnes réalisant 4 millions d'euros de chiffre d'affaires n'est donc, en principe, pas directement assujettie. Un cabinet de conseil, une agence de communication, un commerce de détail classique ne figurent pas non plus parmi les secteurs visés.
Trois nuances importantes doivent cependant être posées. Certaines activités jugées critiques peuvent être concernées indépendamment de leur taille, notamment dans les télécommunications, les services de confiance ou l'administration. Vous pouvez être concerné indirectement, en tant que fournisseur d'une entité assujettie qui vous imposera contractuellement des exigences de sécurité. Et le périmètre exact retenu en France dépend des textes nationaux.
Sur ce dernier point, soyons clairs : la transposition française de NIS2 n'est pas entièrement publiée à ce jour. Le périmètre précis des entités, le détail des obligations, le calendrier et le régime de sanctions se stabilisent progressivement. Toute donnée chiffrée sur les amendes ou les échéances est à vérifier à date auprès de l'ANSSI. Méfiez-vous des offres commerciales qui présentent des chiffres définitifs.
Que demande la directive, en langage courant ?
Au-delà du vocabulaire réglementaire, NIS2 demande à une organisation assujettie de savoir répondre à un petit nombre de questions.
- Quels sont vos risques numériques, et qui en a la responsabilité au niveau de la direction ?
- Comment maîtrisez-vous les accès, en particulier ceux des comptes à privilèges ?
- Que faites-vous en cas d'incident, dans quel délai le signalez-vous et à qui ?
- Comment redémarrez-vous en cas de panne majeure ou de rançongiciel ?
- Quelles exigences imposez-vous à vos fournisseurs numériques ?
Deux points changent la nature du sujet par rapport aux démarches habituelles. La responsabilité est explicitement portée par l'organe de direction, qui doit être formé. Et l'obligation de notification des incidents significatifs impose des délais courts, ce qui suppose d'avoir préparé la procédure à l'avance.
Que couvre Microsoft 365 dans les exigences NIS2, et avec quelle licence ?
Le tableau ci-dessous met en regard les grandes familles de mesures attendues et ce que l'écosystème Microsoft 365 permet de couvrir. Il ne constitue pas un avis juridique et n'affirme pas qu'une brique rend conforme : il indique ce qu'elle apporte techniquement. Les contenus de plan évoluent, ils sont à vérifier à date.
| Famille d'exigence NIS2 | Brique Microsoft 365 correspondante | Licence indicative | Couverture |
|---|---|---|---|
| Contrôle d'accès et authentification forte | Entra ID : MFA, accès conditionnel, révision d'accès | Business Premium pour l'essentiel ; E5 ou Entra ID P2 pour les revues automatisées | Bonne |
| Gestion des comptes à privilèges | Entra ID PIM : élévation temporaire et justifiée | Entra ID P2, inclus dans E5 | Bonne |
| Sécurité de la messagerie et des postes | Defender for Office 365, Defender for Endpoint, Intune | Business Premium ; E5 pour les fonctions avancées | Bonne |
| Chiffrement des données | Chiffrement des appareils, étiquettes de confidentialité Purview | Business Premium pour la base ; E5 pour l'étiquetage automatique | Bonne |
| Journalisation et détection | Journal d'audit unifié, Defender XDR, intégration SIEM | Rétention étendue avec E5 ou modules dédiés | Partielle |
| Prévention de la fuite de données | Purview DLP sur mail, fichiers et terminaux | E5 ou module conformité | Partielle |
| Sauvegarde et restauration | Rétention Purview ; sauvegarde tierce recommandée | Rétention native limitée, prévoir un outil complémentaire | Partielle |
| Gestion des incidents et notification | Defender XDR, alertes, procédure interne à rédiger | Toutes licences pour l'alerte ; procédure hors outil | Partielle |
| Analyse de risque et gouvernance | Aucune brique ne remplace la démarche | Sans objet | Hors périmètre |
| Sécurité de la chaîne d'approvisionnement | Gestion des invités et des accès externes ; clauses contractuelles | Sans objet côté licence | Hors périmètre |
| Continuité d'activité et tests | Plan de continuité, exercices, restaurations testées | Sans objet côté licence | Hors périmètre |
| Formation de l'organe de direction | Aucune brique technique ne s'y substitue | Sans objet côté licence | Hors périmètre |
La lecture de la dernière colonne est la plus instructive. Microsoft 365 couvre bien le volet technique, partiellement le volet détection et sauvegarde, et pas du tout le volet gouvernance. Un intégrateur qui vous annonce une conformité NIS2 clé en main par une montée de licence vous vend une illusion.
Qu'est-ce qui restera à votre charge, quelle que soit la licence ?
Quatre chantiers restent entièrement à votre charge, avec l'appui d'un conseil adapté.
L'analyse de risque, qui identifie vos activités critiques et les scénarios qui les menacent. La politique de sécurité écrite, validée par la direction, avec des rôles nommés. Le plan de continuité et de reprise, testé au moins une fois, restauration réelle à l'appui. Et les exigences imposées à vos fournisseurs, par contrat.
S'y ajoute la formation de l'organe de direction, explicitement attendue par la directive. Ce n'est pas un détail administratif : c'est le point qui transforme la sécurité d'un sujet informatique en sujet de gouvernance.
Par où commencer, que vous soyez assujetti ou non
La bonne nouvelle est que le socle technique est le même dans les deux cas. Une PME non assujettie qui met en place ces mesures réduit son risque réel de rançongiciel et de fraude, et se prépare aux exigences que ses clients grands comptes lui imposeront tôt ou tard.
- Qualification (une réunion). Détermination de votre situation probable au regard des seuils et des secteurs, et identification de vos clients susceptibles de vous imposer des exigences contractuelles. Le point juridique définitif relève d'un avocat.
- État des lieux technique (3 à 5 jours). Couverture MFA, comptes à privilèges, sécurité de la messagerie, gestion des postes, journalisation, sauvegardes et tests de restauration. Livrable : un écart mesuré, ligne par ligne.
- Socle prioritaire (4 à 8 semaines). Généralisation du MFA, accès conditionnel, durcissement de la messagerie — sujet détaillé dans notre page sécuriser ma messagerie contre le phishing — gestion des appareils, sauvegarde vérifiée.
- Gouvernance (en parallèle). Politique de sécurité écrite, procédure d'incident avec les contacts et les délais, exercice de crise, clauses fournisseurs.
Les briques techniques et leur paramétrage sont décrits dans notre page sécurité Microsoft 365. Les contraintes propres aux secteurs les plus exposés, notamment les sites de production, sont abordées dans notre page Microsoft 365 pour l'industrie.
Un dernier point de franchise. Nous ne délivrons pas d'attestation de conformité NIS2 et nous n'affirmons pas qu'une configuration Microsoft 365 rend conforme. Nous documentons ce qui est couvert techniquement, ce qui ne l'est pas, et ce qui reste à traiter avec un conseil juridique.
Notre périmètre se limite donc au socle technique : paramétrage de Microsoft 365, mesure des écarts, remédiation. L'analyse de risque, la politique de sécurité, le plan de continuité et la qualification juridique de votre assujettissement relèvent de votre direction et du conseil de votre choix. Nous n'assurons pas ce volet, et nous le disons avant de commencer plutôt qu'au moment du contrôle.
