NIS2 article 21(2) : ce qui constitue une preuve

Ce qu'exige réellement l'article 21

L'article 21(1) de la directive (UE) 2022/2555 impose aux entités essentielles et importantes de prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité de leurs réseaux et systèmes d'information, et pour prévenir ou limiter l'impact des incidents. La norme est explicitement fondée sur le risque et « tous risques » : la proportionnalité s'apprécie au regard de l'exposition de l'entité, de sa taille et de l'impact sociétal et économique qu'un incident grave provoquerait.

L'article 21(2) énumère ensuite dix mesures sur lesquelles ces dispositions doivent au minimum reposer. Cette liste est un plancher, non un plafond, et elle est rédigée dans le vocabulaire des « politiques et procédures » — ce qui est précisément là où la plupart des organisations s'arrêtent, et précisément là où les évaluations dérapent.

Deux paragraphes supplémentaires changent la nature de l'obligation. L'article 21(3) l'étend à la chaîne d'approvisionnement, en exigeant des entités qu'elles tiennent compte des vulnérabilités propres à chaque fournisseur direct et de la qualité globale des pratiques de sécurité de leurs fournisseurs. L'article 21(4) impose aux entités qui découvrent qu'elles ne sont pas en conformité de prendre les mesures correctives nécessaires sans retard indu — ce qui suppose que la non-conformité soit quelque chose que vous êtes en mesure de remarquer.

Autour de l'article 21 se trouve la responsabilité qui lui donne sa force. L'article 20 rend les organes de direction responsables de l'approbation des mesures et de la supervision de leur mise en œuvre, et les rend redevables en cas de manquement. L'article 32 confère aux autorités compétentes des pouvoirs de supervision sur les entités essentielles, y compris inspections, audits ciblés et demandes de preuves. L'article 34 prévoit des amendes administratives pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes — le montant le plus élevé étant retenu dans chaque cas.

Texte officiel: Directive (EU) 2022/2555

Les dix mesures, en langage clair

L'article 21(2) exige que vos mesures reposent sur une approche « tous risques » et comprennent au moins les éléments suivants. Les lettres comptent : évaluateurs, audit interne et outils de preuve citent tous ces points, et les confondre est une erreur étonnamment fréquente.

Notez en particulier (h) et (i). La cryptographie relève du (h) ; la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs relèvent du (i). Les citations plaçant la cryptographie au (i) sont courantes dans la littérature secondaire — et l'étaient dans notre propre produit, jusqu'à ce que nous la corrigions. Si un référentiel sur lequel vous vous appuyez se trompe ici, chaque rapport bâti dessus hérite de l'erreur.

Pourquoi « nous avons une politique » n'est pas une preuve

L'article 21(2) est formulé en termes de politiques et de procédures, il est donc tentant de considérer un corpus documentaire signé comme la conformité. En pratique, la supervision pose une autre question : la mesure fonctionnait-elle pendant la période examinée, et pouvez-vous le montrer ?

La distinction est celle que les auditeurs établissent de longue date entre efficacité de conception et efficacité opérationnelle. Une politique de cryptographie imposant TLS 1.2 ou supérieur est un contrôle de conception. La preuve qu'aucun service de votre parc n'a négocié quoi que ce soit de plus faible pendant onze mois, que trois exceptions ont été détectées à des dates précises et que chacune a été résolue dans un délai défini — voilà l'efficacité opérationnelle. Seule la seconde résiste à une question du type « montrez-moi ».

Le règlement d'exécution (UE) 2024/2690 de la Commission a précisé cela pour un groupe défini d'entités numériques — fournisseurs de services DNS, registres de noms de domaine de premier niveau, fournisseurs de services d'informatique en nuage et de centres de données, réseaux de diffusion de contenu, fournisseurs de services gérés et de services de sécurité gérés, places de marché en ligne, moteurs de recherche en ligne, plateformes de réseaux sociaux et prestataires de services de confiance — en fixant des exigences techniques et méthodologiques pour leurs mesures au titre de l'article 21(2). Le guide de mise en œuvre technique de l'ENISA qui l'accompagne, publié en juin 2025, va plus loin encore et associe à chaque exigence des exemples de preuves concrets qu'une entité pourrait produire.

Même si votre entité sort du champ de ce règlement d'exécution, ces exemples constituent le signal publié le plus clair de ce à quoi « démontrez-le » est censé ressembler. Ils méritent d'être lus comme un objectif, car ils décrivent des artefacts — inventaires, enregistrements, journaux, mesures, rapports de tests dans la durée — et non des documents.

Texte officiel: Implementing Regulation (EU) 2024/2690

Ce qu'un évaluateur demande réellement

Dans l'ensemble des exemples de preuves, les mêmes trois propriétés reviennent. Elles constituent un test utile à appliquer à tout ce que vous comptez soumettre.

Une quatrième propriété mérite d'être ajoutée pour tout ce qui touche à la réglementation : l'enregistrement devrait indiquer la version du référentiel réglementaire utilisée pour le produire. Les référentiels sont des interprétations, et les interprétations se corrigent. Un rapport qui horodate sa version de référentiel permet à un évaluateur de savoir exactement de quel texte une conclusion donnée est tirée — et vous permet de corriger les rapports futurs sans réécrire silencieusement les précédents.

Quelles mesures sont observables de l'extérieur

C'est la partie que le marketing de la conformité passe le plus souvent sous silence. Sur les dix mesures, la grande majorité concerne des processus internes et des dispositions organisationnelles. Aucun outil de surveillance externe — le nôtre compris — ne peut les voir, car elles ne laissent aucune trace sur l'internet public.

La gestion des incidents (b) vit dans vos systèmes de ticketing et d'astreinte. La continuité des activités (c) se prouve par des tests de restauration, non par quoi que ce soit d'observable de l'extérieur. La sécurité de la chaîne d'approvisionnement (d) est contractuelle et procédurale. La sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs (i) sont internes par définition. L'authentification à plusieurs facteurs (j) est une propriété de votre fournisseur d'identité, pas de votre surface publique. L'analyse des risques (a) est une activité que vous menez ; un inventaire externe peut l'alimenter mais ne peut s'y substituer.

Ce qui est observable de l'extérieur est plus étroit et plus précis : la cryptographie que vos services publics négocient réellement, les certificats qu'ils servent réellement, les signaux de confiance que vos domaines publient réellement et — dans la durée — la rapidité avec laquelle les faiblesses constatées sont corrigées. Ce dernier point vaut davantage qu'il n'y paraît, car c'est la matière première d'une mesure d'efficacité au titre du (f), par ailleurs l'une des mesures les plus difficiles à prouver.

L'affirmation honnête pour tout outil externe est donc : preuve directe pour un petit nombre de mesures, preuve à l'appui pour quelques autres, et rien du tout pour le reste. Toute prétention plus large mérite d'être lue avec scepticisme.

Ce que SkyQon prouve, énoncé précisément

Le rapport de preuves NIS2 de SkyQon couvre cinq des dix mesures, avec le niveau de couverture indiqué en toutes lettres dans le rapport. Ces formulations sont reproduites telles quelles dans le PDF signé : ce que vous lisez ici est ce que lit un évaluateur.

Directe signifie que notre télémétrie est la preuve principale pour cette mesure. À l'appui signifie qu'elle est l'un des éléments parmi d'autres qui vous seront nécessaires. Donnée d'entrée uniquement signifie qu'elle alimente votre processus et n'est explicitement pas revendiquée comme couverte — elle figure dans le rapport précisément pour que nul ne prenne un inventaire pour une analyse des risques.

Le rapport est signé par l'autorité de certification de SkyQon et porte une empreinte de contenu que quiconque peut vérifier de façon indépendante, sans compte, auprès de notre vérificateur public. Il indique la version du référentiel utilisée pour le générer. Et il est présenté d'un bout à l'autre comme aligné sur l'article 21(2) de NIS2 — jamais comme une certification, que SkyQon n'est pas en mesure d'accorder et qu'aucun produit de surveillance ne l'est.

Ce qu'il ne prouve pas

Cinq mesures sont entièrement hors du rapport : gestion des incidents (b), continuité des activités (c), sécurité de la chaîne d'approvisionnement (d), sécurité des ressources humaines et contrôle d'accès (i), et mesures d'authentification (j). Le rapport le dit plutôt que de les passer sous silence, car une lacune qu'un évaluateur découvre est pire qu'une lacune que vous avez déclarée.

Deux autres limites méritent d'être énoncées clairement. D'abord, une preuve portant sur votre parc accessible de l'extérieur n'est pas une preuve portant sur votre réseau interne ; un rapport couvrant les services publics se limite aux services publics. Ensuite, aucun artefact d'aucun fournisseur ne libère de l'obligation — l'article 20 place l'approbation et la supervision sur votre organe de direction, et cela ne peut être sous-traité à un PDF.

Une progression pratique

Si vous partez des politiques et voulez arriver aux preuves, cet ordre est celui qui gaspille le moins d'efforts.

• Corrigez d'abord l'inventaire. Toutes les mesures ultérieures en dépendent pour leur périmètre. Recensez les domaines, sous-domaines et services publics que vous exploitez réellement, y compris ceux hérités d'acquisitions et de projets abandonnés. Les débats sur la couverture se perdent ici, pas dans l'analyse.
• Lancez le chronomètre tôt. La preuve de continuité exige du temps écoulé et ne peut être produite rétroactivement. Un enregistrement de surveillance qui commence la semaine précédant votre évaluation démontre très peu ; le même enregistrement couvrant l'année écoulée est quasi inattaquable.
• Instrumentez la correction, pas seulement le constat. Les mesures (e) et (f) reposent toutes deux sur le délai de résolution. Si votre processus détecte un certificat faible mais que la résolution vit dans un fil d'e-mails, vous avez un constat et aucune preuve. Consignez détection et résolution comme des événements datés.
• Préférez les artefacts signés. Lorsqu'un enregistrement peut être signé et haché, signez-le. Cela ne coûte rien au moment de la génération et supprime toute une catégorie de contestations ultérieures.
• Faites une correspondance honnête, et versionnez-la. Ne revendiquez une couverture directe que là où votre artefact est réellement la preuve principale. Notez la version du référentiel utilisée pour chaque rapport, afin qu'une correction ultérieure ne jette pas le doute sur tout ce que vous avez déjà déposé.
• Vérifiez votre transposition nationale. NIS2 vous engage par le droit national, et les États membres ont transposé à des rythmes et avec des niveaux de détail différents. La directive est la référence ; votre acte national de transposition est le texte applicable.

Périmètre, calendrier et obligation de notification

NIS2 s'applique aux entités essentielles et importantes des secteurs énumérés aux annexes I et II, généralement lorsque l'entité est au moins de taille moyenne, plusieurs catégories étant concernées quelle que soit leur taille. La classification compte : elle détermine à la fois le régime de supervision et le plafond des amendes. La date limite de transposition pour les États membres était le 17 octobre 2024, les mesures nationales s'appliquant à partir du 18 octobre 2024, même si la transposition a pris du retard dans plusieurs États membres.

L'article 23 ajoute l'obligation de notification qui prend le plus souvent les entités de court, car ses délais sont brefs : une alerte précoce à l'autorité compétente ou au CSIRT dans les 24 heures suivant la prise de connaissance d'un incident important, une notification d'incident dans les 72 heures et un rapport final dans un délai d'un mois. La preuve que votre surveillance détecte effectivement les événements — avec horodatage — est ce qui rend ces délais atteignables plutôt qu'aspirationnels.

Questions fréquentes