L’article 21(2) de NIS2 exige que les mesures de gestion des risques en matière de cybersécurité soient fondées sur une approche « tous risques » qui vise à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique. Le considérant 79 donne des exemples : le vol, l’incendie, l’inondation, les défaillances des télécommunications ou de l’alimentation électrique, et l’accès physique non autorisé. La sécurité physique et environnementale fait partie de NIS2, ce n’est pas une option.
Ce guide explique ce que signifie l’approche « tous risques », les risques cités par les considérants, la place de la sécurité physique dans les dix mesures, les règles détaillées applicables aux fournisseurs numériques, le lien avec la directive CER, un socle proportionné pour les PME et une liste de contrôle.
La correspondance ci-dessous reflète la pratique, ce n’est pas un tableau officiel.
| Risque | Point d’ancrage NIS2 | Mesure type |
|---|---|---|
| Incendie | Considérant 79 ; art. 21(2)(c) | Détection dans les locaux techniques, sauvegardes dans un autre lieu |
| Inondation ou fuite d’eau | Considérant 79 ; art. 21(2)(c) | Équipements surélevés, détecteurs de fuite, restauration testée |
| Coupure de courant | Considérant 79 ; art. 21(2)(c) ; règl. 2024/2690, section 13.1 | Onduleur avec arrêt propre, groupe électrogène si le service l’exige |
| Panne télécom ou internet | Considérant 79 ; art. 21(2)(c) et (j) | Seconde connexion, canal d’urgence hors du réseau principal |
| Panne de climatisation | Règl. 2024/2690, considérant 29, section 13.2 | Alertes de température et d’humidité, refroidissement redondant |
| Vol de matériel | Considérant 79 ; art. 21(2)(h) et (i) | Inventaire des actifs, chiffrement des disques, effacement à distance |
| Accès non autorisé, manipulation, sabotage | Considérant 79 ; art. 21(2)(i) ; règl. 2024/2690, section 13.3 | Locaux verrouillés, registre des clés et des badges, procédure de départ |
| Défaillance d’un site du fournisseur | Art. 21(2)(c) et (d) | Preuves du fournisseur, plan testé pour la perte d’un site ou d’une région |
Qu’est-ce que l’approche « tous risques » de NIS2 ?
L’article 21(2) commence ainsi : « Les mesures visées au paragraphe 1 sont fondées sur une approche “tous risques” qui vise à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre les incidents, et elles comprennent au moins ». Les dix mesures suivent.
- Elle s’applique à toutes les entités essentielles et importantes, pas seulement aux centres de données ou aux infrastructures critiques.
- Ce n’est pas une onzième mesure. C’est le fondement des dix.
- L’objet, ce sont les réseaux et les systèmes d’information. Le considérant 79 définit les risques par ce qu’ils pourraient compromettre : « la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou traitées » ou des services que ces systèmes fournissent.
En pratique, cela fixe la limite. Une toiture qui fuit au-dessus de la cantine est un problème de services généraux. Une toiture qui fuit au-dessus du local télécom est un problème NIS2.
Une inondation dans une salle serveurs détruit le matériel plus vite qu’un rançongiciel, et une coupure de courant arrête un service aussi sûrement qu’une attaque par déni de service.
Quels risques NIS2 vise-t-elle ?
Le considérant 79 vise la protection contre des événements « tels que le vol, les incendies, les inondations, une défaillance des télécommunications ou une défaillance électrique, ou contre tout accès physique non autorisé et toute atteinte aux informations détenues par l’entité essentielle ou importante et aux installations de traitement de l’information de l’entité, ou toute interférence avec ces informations et installations ». Les mesures devraient protéger les systèmes « contre les défaillances du système, les erreurs humaines, les actes malveillants ou les phénomènes naturels, conformément aux normes européennes et internationales, par exemple celles figurant dans la série ISO/CEI 27000 ». Le considérant mentionne aussi la sécurité liée aux ressources humaines et les politiques de contrôle d’accès, et demande la cohérence avec la directive CER.
Pour les fournisseurs numériques couverts par le règlement d’exécution (UE) 2024/2690, le considérant 28 de ce règlement ajoute « les tremblements de terre, les explosions, le sabotage, la menace interne, les troubles civils, les déchets toxiques et les émissions dans l’environnement ».
Ce sont des exemples, pas une liste fermée, et les considérants éclairent l’article sans être contraignants en eux-mêmes. Votre analyse des risques détermine lesquels s’appliquent.
Où se situe la sécurité physique dans les dix mesures de l’article 21 ?
Aucun point de l’article 21(2) ne s’intitule « sécurité physique ». Elle traverse cinq d’entre eux :
- (a) Analyse des risques : les risques physiques figurent dans le même registre que les cybermenaces.
- (c) Continuité des activités, gestion des sauvegardes, reprise des activités et gestion des crises : elles doivent résister à un incendie, à une inondation ou à une longue coupure de courant.
- (d) Sécurité de la chaîne d’approvisionnement : un site de colocation ou une région cloud est votre environnement physique, exploité par quelqu’un d’autre.
- (i) Sécurité des ressources humaines, contrôle d’accès et gestion des actifs : l’accès physique aux locaux, et savoir où se trouvent les actifs.
- (j) « Systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins » : un moyen de se coordonner quand le réseau du bureau est hors service.
Les dix mesures sont détaillées dans les mesures de l’article 21 de NIS2 expliquées.
Qu’exige le règlement d’exécution 2024/2690 ?
Pour les fournisseurs numériques visés à l’article 21(5), des services DNS et du cloud aux centres de données, fournisseurs de services gérés, plateformes en ligne et prestataires de services de confiance, l’article 21 est précisé par le règlement d’exécution (UE) 2024/2690. La section 13 de son annexe, « Sécurité environnementale et physique », comporte trois parties :
- 13.1 Services d’utilité publique. Considérant 28 : prévenir la perte ou l’interruption « en raison de la défaillance et de la perturbation de services d’utilité publique sous-jacents » devrait contribuer à la continuité des activités.
- 13.2 Protection contre les menaces physiques et environnementales. Considérant 29 : concevoir des mesures de protection, fixer des seuils de contrôle minimaux et maximaux et surveiller les paramètres environnementaux.
- 13.3 Périmètre et contrôle d’accès physique.
Le considérant 29 énumère ce que les fournisseurs « devraient envisager » : la détection précoce des inondations, un compartiment coupe-feu séparé pour le centre de données, des matériaux résistant au feu, des capteurs de température et d’humidité, une alarme incendie avec notification automatisée aux services locaux de lutte contre les incendies, et une protection contre les surtensions avec alimentation électrique de secours. Les exercices d’incendie et les inspections relèvent d’un « devraient » ; la climatisation redondante d’un « pourraient envisager ».
Le texte contraignant est l’annexe, et les orientations techniques de mise en œuvre publiées par l’ENISA en juin 2025 ajoutent des exemples de preuves. Le détail pour les fournisseurs se trouve dans NIS2 pour le cloud, les centres de données et l’infrastructure numérique. Si vous n’êtes pas l’un de ces fournisseurs, le règlement ne vous lie pas, mais c’est un point de repère utile.
Quel est le lien entre NIS2 et la directive CER ?
La directive CER, directive (UE) 2022/2557 sur la résilience des entités critiques, couvre la résilience des entités que les États membres recensent comme critiques, y compris face aux risques non cyber, dans onze secteurs allant de l’énergie et des transports à l’infrastructure numérique et à l’alimentation. Les États membres devaient recenser leurs entités critiques au plus tard le 17 juillet 2026. Le considérant 30 de NIS2 évoque « les liens qui existent entre la cybersécurité et la sécurité physique des entités ».
- Une entité critique au sens de CER est une entité essentielle au sens de NIS2, quelle que soit sa taille (articles 2(3) et 3(1) de NIS2).
- CER ne s’applique pas aux questions couvertes par NIS2, et les deux textes doivent être mis en œuvre de manière coordonnée (article 1(2) de CER).
- Les entités critiques évaluent leurs risques dans un délai de neuf mois suivant la notification, puis au moins tous les quatre ans (article 12 de CER). Elles assurent la protection physique de leurs locaux, « en prenant dûment en considération, par exemple, des clôtures, des barrières, des outils et procédures de surveillance des enceintes, et des équipements de détection et de contrôle des accès » (article 13(1)(b)).
- Dans les secteurs bancaire, des infrastructures des marchés financiers et des infrastructures numériques, l’article 11 et les chapitres III, IV et VI de CER, qui contiennent ces obligations de résilience, ne s’appliquent pas (article 8). Pour l’infrastructure numérique, le considérant 20 de CER indique que NIS2 « applique une approche tous risques qui inclut la résilience des réseaux et des systèmes d’information ainsi que des composants et environnements physiques de ces systèmes ». Pour la finance, voir NIS2, DORA et le secteur financier.
- Les autorités NIS2 et CER échangent régulièrement des informations, et les autorités NIS2 informent les autorités CER lorsqu’elles supervisent une entité critique (articles 13(5) et 32(9) de NIS2).
En pratique, une entité critique de l’énergie, des transports, de la santé ou de l’eau relève des deux régimes. Une approche raisonnable consiste à mener une seule évaluation des risques, mise en correspondance avec les deux régimes, plutôt que de tenir deux registres qui se contredisent sur le même poste électrique. La vue sectorielle se trouve dans NIS2 pour le secteur de l’énergie.
À quoi ressemble une sécurité physique proportionnée pour une PME ?
L’article 21(1) fixe la proportionnalité en fonction du degré d’exposition de l’entité aux risques, de sa taille, ainsi que de la probabilité de survenance d’incidents et de leur gravité, y compris leurs conséquences sociétales et économiques. Elle détermine jusqu’où vous allez, pas si vous agissez.
La plupart des PME concernées n’exploitent pas de centre de données. Leur environnement physique, c’est une baie réseau dans un bureau, des ordinateurs portables qui quittent les locaux chaque jour, et des fournisseurs de cloud ou de colocation. Un socle proportionné, en pratique :
- Consignez dans l’inventaire des actifs l’endroit où les systèmes fonctionnent physiquement, y compris les régions cloud.
- Verrouillez la baie réseau ou la salle serveurs. Tenez un registre des clés et des badges, et récupérez les deux auprès des personnes qui quittent l’entreprise.
- Placez le cœur de réseau et les serveurs sur site derrière un onduleur dimensionné pour un arrêt propre.
- Faites alerter une personne quand la température d’un local technique sort de la plage prévue.
- Chiffrez les disques des portables et activez l’effacement à distance, pour qu’un portable volé soit une perte de matériel et non une exposition de données.
- Conservez les sauvegardes à l’écart des systèmes qu’elles protègent, et testez une restauration.
- Dotez les sites critiques d’un second accès internet et d’un canal d’urgence indépendant du réseau du bureau.
- Recueillez les preuves de sécurité physique de vos fournisseurs, par exemple un certificat ISO/IEC 27001 couvrant votre site, et prévoyez la perte de ce site.
Vous ne pouvez pas empêcher une inondation. Vous pouvez faire en sorte qu’elle n’emporte pas le service et les sauvegardes avec elle.
Si vous appliquez l’ISO 27001, le thème physique de l’annexe A compte déjà 14 mesures, de 7.1 à 7.14, classées selon le travail qu’elles demandent dans les mesures de l’annexe A regroupées selon le travail réel.
Un modèle de registre :
REGISTRE DES RISQUES PHYSIQUES ET ENVIRONNEMENTAUX (un par site)
Site ou emplacement :
Systèmes et services sur ce site :
Fournisseur (colocation ou cloud), preuve détenue, expiration :
Risque Prob. Impact Mesure en place Propriétaire
Incendie F/M/É F/M/É
Eau : inondation ou fuite
Coupure de courant de plus d'1 h
Perte internet ou télécom
Panne de climatisation
Vol de matériel
Accès non autorisé, manipulation
Perte du site entier
Dernier test de restauration depuis l'extérieur de ce site (date, résultat) :
Risques acceptés et qui les a acceptés :
Date de la prochaine revue :Ce que l’approche « tous risques » laisse ouvert, et comment y remédier
NIS2 dit quoi protéger et contre quoi. Elle ne dit pas à partir de quand c’est suffisant, ni ce qui vaut preuve. L’écart se voit dans le registre : une inondation notée faible pour un local télécom en sous-sol, et un onduleur que personne n’a testé depuis son installation.
Les preuves physiques se trouvent aussi en dehors du système d’information : journaux de badges, autotests des onduleurs, alertes de température, registre des clés, certificats des fournisseurs. Elles sont vérifiées, quand elles le sont, juste avant un audit.
Combler l’écart, c’est traiter les mesures physiques comme les autres. Collectez automatiquement ce qui peut l’être : couverture du chiffrement, résultats des sauvegardes et des restaurations, alertes environnementales et des onduleurs. Planifiez le reste avec un responsable, et faites examiner les exceptions par une personne. C’est ainsi que fonctionne la plateforme CloudSoul : une plateforme automatisée, avec une expertise humaine dans la boucle. Un audit de sécurité au regard de l’article 21 montre où vous en êtes, et le programme complet est présenté sur la page conformité NIS2.
Liste de contrôle NIS2 « tous risques »
- Ajoutez les risques physiques et environnementaux au registre des risques, site par site.
- Consignez où chaque système fonctionne physiquement, y compris les régions cloud.
- Verrouillez les locaux techniques et les baies, et tenez à jour le registre des clés et des badges.
- Conservez les sauvegardes à l’écart des systèmes qu’elles protègent, et testez une restauration.
- Équipez les locaux techniques d’un onduleur et d’alertes de température.
- Recueillez les preuves de sécurité physique de vos fournisseurs, et vérifiez leur périmètre.
- Si vous êtes une entité critique au sens de CER, menez une seule évaluation des risques pour les deux régimes.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 2, 3, 13, 21 et 32, considérants 30 et 79, EUR-Lex.
- Règlement d’exécution (UE) 2024/2690 de la Commission, considérants 28 et 29 et section 13 de l’annexe, EUR-Lex.
- Directive (UE) 2022/2557 sur la résilience des entités critiques (CER), articles 1, 6, 8, 12 et 13 et considérant 20, EUR-Lex.
- Commission européenne, résilience des infrastructures critiques, Migration et affaires intérieures.
- ENISA, NIS2 Technical Implementation Guidance, juin 2025, ENISA.
Questions fréquentes
Qu'est-ce que l'approche « tous risques » de NIS2 ?
L'article 21(2) de NIS2 exige que les mesures de gestion des risques en matière de cybersécurité soient fondées sur une approche « tous risques » qui vise à protéger les réseaux et les systèmes d'information ainsi que leur environnement physique contre les incidents. Les événements physiques et environnementaux tels que le vol, l'incendie, l'inondation et les défaillances électriques ou des télécommunications entrent dans le champ, pas seulement les cyberattaques.
NIS2 impose-t-elle la sécurité physique ?
Oui, dans le cadre de l'article 21. Le considérant 79 précise que les mesures devraient également porter sur la sécurité physique et la sécurité de l'environnement des réseaux et des systèmes d'information, y compris l'accès physique non autorisé, conformément à des normes telles que la série ISO/IEC 27000. NIS2 ne cite aucune mesure physique précise : votre analyse des risques et la proportionnalité déterminent jusqu'où vous allez.
Que dit le règlement d'exécution 2024/2690 sur la sécurité physique ?
Pour les fournisseurs de cloud, de centres de données, de DNS, de services gérés et les autres fournisseurs numériques visés, la section 13 de son annexe traite de la sécurité environnementale et physique en trois parties : services d'utilité publique, protection contre les menaces physiques et environnementales, et périmètre et contrôle d'accès physique.
Quelle est la différence entre NIS2 et la directive CER ?
NIS2 couvre la cybersécurité des réseaux et des systèmes d'information, y compris leur environnement physique. La directive (UE) 2022/2557 sur la résilience des entités critiques (CER) couvre la résilience des entités que les États membres recensent comme critiques, y compris face aux risques non cyber. Une entité critique au sens de CER est une entité essentielle au sens de NIS2, quelle que soit sa taille.
NIS2 impose-t-elle un groupe électrogène ou un second centre de données ?
Non. NIS2 ne cite aucune mesure physique précise. L'article 21 exige des mesures appropriées et proportionnées compte tenu de l'exposition, de la taille, de la probabilité et de la gravité. En pratique, pour la plupart des PME, un onduleur dimensionné pour un arrêt propre, des sauvegardes conservées à l'écart des systèmes qu'elles protègent et une restauration testée constituent le socle proportionné.
