Article 21 de NIS2 : les 10 mesures de gestion des risques en matière de cybersécurité expliquées

L’article 21 de NIS2 impose aux entités essentielles et importantes de prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent leurs réseaux et systèmes d’information. Ces mesures doivent suivre une approche « tous risques » et comprendre au minimum les dix mesures énumérées à l’article 21, paragraphe 2. NIS2 n’impose aucun outil. Jusqu’où aller dépend de votre exposition, de votre taille et de la gravité probable des incidents.

Ce guide présente les exigences de l’article 21, les dix mesures une par une, le sens de « proportionné », le paragraphe consacré à la chaîne d’approvisionnement, les mesures correctives, les règles d’exécution détaillées, les responsables et une liste de contrôle.

Mesure de l’article 21, paragraphe 2	En une ligne	Preuves habituelles
(a) Politiques d’analyse des risques et de sécurité des systèmes d’information	Connaître vos risques et écrire comment vous les traitez	Registre des risques, politique de sécurité approuvée
(b) Gestion des incidents	Détecter les incidents, y répondre et en tirer les leçons	Procédure de gestion des incidents, journal des incidents, compte rendu d’exercice
(c) Continuité des activités et gestion des crises	Maintenir les services critiques et les rétablir	Tests de sauvegarde et de restauration, plans de continuité et de crise
(d) Sécurité de la chaîne d’approvisionnement	Gérer le risque lié aux fournisseurs directs et aux prestataires de services	Registre des fournisseurs, clauses contractuelles, évaluations
(e) Sécurité de l’acquisition, du développement et de la maintenance	Développer et acheter de façon sécurisée, traiter les vulnérabilités	Règles de développement sécurisé, historique des correctifs, politique de divulgation
(f) Évaluation de l’efficacité	Vérifier que les mesures fonctionnent	Audit interne, résultats de tests, indicateurs
(g) Cyberhygiène et formation	Pratiques de base et formation pour tout le personnel	Socle d’hygiène, registres de formation
(h) Cryptographie et chiffrement	Règles d’utilisation de la cryptographie	Politique de cryptographie, gestion des clés
(i) Sécurité des ressources humaines, contrôle d’accès, gestion des actifs	Les bonnes personnes, les bons accès, des actifs connus	Suivi des arrivées, mobilités et départs, revues des accès, inventaire des actifs
(j) Authentification à plusieurs facteurs (MFA) et communications sécurisées	Authentification forte et canaux sécurisés, selon les besoins	Couverture MFA, moyens de communication sécurisés et d’urgence

Qu’exige l’article 21 ?

Deux paragraphes posent le cadre. L’article 21, paragraphe 1, exige des mesures qui garantissent un niveau de sécurité « adapté au risque existant », en tenant compte de l’état des connaissances, des normes européennes et internationales applicables s’il y a lieu, et du coût de mise en œuvre. Les mesures doivent aussi éliminer ou réduire les conséquences des incidents sur les destinataires de vos services et sur d’autres services.

Selon l’article 21, paragraphe 2, les mesures sont « fondées sur une approche “tous risques” qui vise à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre les incidents ». Une salle serveurs inondée ou une panne de courant entrent dans le champ, pas seulement un attaquant.

Les dix mesures ci-dessous sont ce que vos mesures doivent comprendre « au moins ». Ce sont des intitulés, pas un catalogue de contrôles. C’est voulu : la directive fixe des résultats et laisse le choix de la méthode à vous, à votre droit national et, pour certains secteurs, aux règles d’exécution.

Quelles sont les 10 mesures de l’article 21, paragraphe 2 ?

Chaque intitulé ci-dessous reprend la mesure telle qu’elle est formulée à l’article 21, paragraphe 2, suivie de ce qu’elle signifie généralement en pratique. Ces notes pratiques sont des repères, pas des exigences légales supplémentaires.

(a) Les politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information

Il vous faut une méthode documentée pour identifier et évaluer les risques, et une politique de sécurité approuvée par la direction. En pratique, c’est un registre des risques rattaché aux services inclus dans le périmètre, avec des responsables et des décisions de traitement, revu à intervalles planifiés.

(b) La gestion des incidents

Vous devez détecter les incidents, y répondre et en tirer les leçons. C’est cette mesure qui rend possible la notification prévue à l’article 23 : sans processus de gestion des incidents opérationnel, vous ne pouvez pas envoyer d’alerte précoce dans les 24 heures. Voir le calendrier de notification des incidents NIS2.

(c) La continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises

Vous devez maintenir les services critiques en fonctionnement ou les rétablir. La preuve qui compte est une restauration réellement testée, pas une sauvegarde qui existe.

(d) La sécurité de la chaîne d’approvisionnement

Elle couvre « les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». L’article 21, paragraphe 3, précise ce que vous devez prendre en compte, comme expliqué plus bas et dans Sécurité de la chaîne d’approvisionnement NIS2.

(e) La sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités

Des exigences de sécurité quand vous achetez ou développez, la gestion des correctifs et des vulnérabilités en exploitation, et un moyen permettant à des tiers de vous signaler des vulnérabilités.

(f) Des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité

Vous devez vérifier que les neuf autres fonctionnent. Audits internes, tests techniques et un petit nombre d’indicateurs, comme les délais d’application des correctifs ou la couverture MFA, revus par la direction.

(g) Les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité

Les considérants de la directive donnent des exemples de cyberhygiène : les principes « confiance zéro », les mises à jour de logiciels, la configuration des dispositifs, la segmentation des réseaux, la gestion des identités et des accès et la sensibilisation des utilisateurs. La formation concerne tout le personnel, et l’article 20 impose séparément une formation aux membres des organes de direction.

(h) Des politiques et des procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement

Quelles données sont chiffrées, avec quoi, et comment les clés sont gérées. « Le cas échéant » vise le chiffrement, pas l’existence d’une politique de cryptographie.

(i) La sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs

La sécurité lors des recrutements, des changements de poste et des départs, des accès adaptés aux fonctions et revus, et un inventaire des actifs que vous protégez. Vous ne pouvez pas corriger un actif dont vous ignorez l’existence.

(j) L’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins

La MFA « selon les besoins », des communications internes sécurisées, et un moyen de communiquer pendant un incident, lorsque vos canaux habituels peuvent être compromis.

Que signifie « proportionné » ?

L’article 21, paragraphe 1, cite quatre facteurs : le degré d’exposition de l’entité aux risques, sa taille, la probabilité de survenance d’incidents et leur gravité, y compris leurs conséquences sociétales et économiques. Un industriel de 60 personnes et un fournisseur de services cloud qui sert des milliers de clients mettent tous deux en œuvre les dix mesures, mais avec une profondeur très différente.

La proportionnalité ne permet pas d’échapper à une mesure. Elle décide jusqu’où vous allez, pas si vous la mettez en œuvre. L’autorité attendra de vous que vous justifiiez vos choix par votre analyse des risques.

Qu’ajoute l’article 21, paragraphe 3, sur la chaîne d’approvisionnement ?

Pour décider quelles mesures de sécurité de la chaîne d’approvisionnement sont appropriées, vous devez tenir compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct, de la qualité globale de leurs produits et de leurs pratiques de cybersécurité, y compris leurs procédures de développement sécurisé, et des résultats des évaluations coordonnées des risques de l’UE portant sur les chaînes d’approvisionnement critiques, prévues à l’article 22. Envoyer le même questionnaire à tous les fournisseurs ne suffit pas, à lui seul, à y répondre.

Que faire si vous constatez un écart ?

L’article 21, paragraphe 4, impose à une entité qui constate qu’elle ne se conforme pas aux mesures de prendre, « sans retard injustifié, toutes les mesures correctives nécessaires appropriées et proportionnées ». Un écart inscrit dans votre propre registre ne constitue pas en soi une infraction. Un écart connu que vous laissez ouvert est plus difficile à défendre.

Existe-t-il des exigences techniques plus détaillées ?

Pour certaines entités, oui. L’article 21, paragraphe 5, imposait à la Commission d’adopter des actes d’exécution pour les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les fournisseurs de services d’informatique en nuage, de services de centres de données et de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux, et les prestataires de services de confiance. Cet acte est le règlement d’exécution (UE) 2024/2690.

Son annexe compte 13 sections : politique de sécurité, politique de gestion des risques, gestion des incidents, continuité des activités et gestion des crises, sécurité de la chaîne d’approvisionnement, acquisition et développement, évaluation de l’efficacité, cyberhygiène et formation, cryptographie, sécurité des ressources humaines, contrôle d’accès, gestion des actifs, et sécurité environnementale et physique. Si vous ne faites pas partie de ces fournisseurs, c’est tout de même la lecture officielle la plus détaillée de l’article 21 disponible, et un repère utile.

Les droits nationaux peuvent apporter des précisions pour d’autres secteurs. Vérifiez le vôtre avant de concevoir vos contrôles.

Qui est responsable de l’article 21 ?

Les organes de direction. L’article 20 leur impose d’approuver les mesures de gestion des risques et d’en superviser la mise en œuvre, et ils peuvent être tenus responsables des violations de l’article 21 par l’entité. Leurs membres doivent suivre une formation. Pour les violations de l’article 21, le droit national doit prévoir des amendes maximales d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et d’au moins 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu (article 34).

Comment mettre en œuvre l’article 21 ?

Partez des services inclus dans le périmètre, pas des dix intitulés. Ensuite :

1. Délimitez le périmètre : les services, systèmes et sites couverts par les mesures.
2. Réalisez une analyse des risques sur ce périmètre, mesure (a).
3. Rendez opérationnelles la gestion et la notification des incidents, mesure (b) et article 23, car les délais s’appliquent dès le premier jour.
4. Comblez les lacunes d’hygiène évidentes : MFA sur les accès d’administration et à distance, correctifs, sauvegardes que vous avez déjà restaurées.
5. Constituez le registre des fournisseurs et corrigez les contrats critiques, mesure (d).
6. Mettez en place les contrôles d’efficacité, mesure (f), et rendez-en compte à la direction.

Si vous appliquez déjà ISO 27001, l’essentiel existe. ISO 27001 face à NIS2 montre quelles mesures un SMSI couvre entièrement et où il ne suffit pas.

Où échouent les programmes de conformité à l’article 21

La plupart échouent sur les preuves, pas sur les politiques. Les dix mesures sont faciles à documenter et difficiles à prouver. Une autorité peut demander des « preuves de la mise en œuvre de politiques de cybersécurité » (articles 32 et 33) : la preuve que la MFA est activée aujourd’hui sur chaque compte d’administration, que les correctifs critiques ont été appliqués dans le délai que vous vous êtes fixé, que la restauration a fonctionné.

Ces preuves se trouvent dans votre fournisseur d’identité, vos outils de sécurité des terminaux, vos comptes cloud et votre outil de ticketing. Un certificat ne règle pas non plus la question, car il n’existe pas de certificat NIS2. Collectées à la main une fois par an, les preuves sont périmées dès leur arrivée. Collectées en continu depuis les systèmes, avec une personne qui examine les exceptions, elles répondent à la question que l’autorité pose réellement. C’est ainsi que fonctionne la plateforme CloudSoul. Si vous voulez d’abord savoir où vous en êtes, un audit de sécurité au regard de l’article 21 est le moyen le plus rapide de le découvrir, et le programme complet est présenté sur la page conformité NIS2.

Liste de contrôle article 21 NIS2

• Définissez les services, systèmes et sites inclus dans le périmètre.
• Tenez un registre des risques avec des responsables et des décisions de traitement, mesure (a).
• Testez la gestion des incidents au regard des délais de notification de 24 heures et de 72 heures.
• Restaurez depuis une sauvegarde au moins une fois et consignez le résultat.
• Tenez un registre des fournisseurs directs, avec des clauses de sécurité pour les fournisseurs critiques.
• Activez la MFA pour les accès d’administration et à distance, et mesurez la couverture.
• Revoyez l’efficacité des mesures à intervalles planifiés et rendez-en compte à la direction.
• Consignez l’approbation des mesures par les organes de direction et la formation de leurs membres.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 20, 21, 22, 23, 32, 33 et 34 et considérant 89, EUR-Lex.
• Règlement d’exécution (UE) 2024/2690 de la Commission, annexe, EUR-Lex.

Questions fréquentes