# NIS2 : périmètre et obligations (FAQ)

> 40 questions sur NIS2 : périmètre et obligations, en langage clair : quoi vérifier, ce que montre NetSenX et ce qu'une sonde ne voit pas.

Source page: https://netsenx.com/fr/faq/nis2

## Ai-je besoin d'un NDR pour NIS2 ?

NIS2 ne cite pas le NDR, mais impose de détecter et de gérer les incidents et de notifier les incidents importants dans des délais fixés. L'article 21 range la gestion des incidents parmi les mesures obligatoires de gestion des risques ; l'article 23 impose une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois. La surveillance du réseau est un moyen concret de détecter les incidents à temps et de conserver les preuves nécessaires à ces notifications ; NetSenX suit les délais de l'article 23 pour chaque incident. Ces obligations incombent à votre organisation : aucun outil ne les remplit à lui seul.

https://netsenx.com/fr/faq/do-i-need-ndr-for-nis2

## NIS2 impose-t-elle une surveillance du réseau ?

NIS2 ne cite ni la surveillance réseau ni le NDR, mais l'article 21 range la gestion des incidents parmi les mesures obligatoires de gestion des risques, et l'article 23 impose de notifier les incidents importants dans des délais fixés. On ne peut pas notifier un incident que l'on n'a pas détecté : une surveillance continue du réseau est donc un moyen concret de répondre aux deux exigences.

https://netsenx.com/fr/faq/does-nis2-require-network-monitoring

## Quels sont les délais de notification des incidents NIS2 ?

Selon l'article 23, paragraphe 4 : une alerte précoce dans les 24 heures après avoir eu connaissance d'un incident important, une notification d'incident dans les 72 heures, un rapport intermédiaire à la demande de l'autorité et un rapport final au plus tard un mois après la notification. Les lois nationales peuvent préciser ces règles ; vérifiez celles de votre pays.

https://netsenx.com/fr/faq/what-are-the-nis2-incident-reporting-deadlines

## NIS2 s'applique-t-elle aux entreprises de taille moyenne ?

En règle générale, NIS2 s'applique aux entités des secteurs énumérés à ses annexes I et II qui sont au moins des moyennes entreprises au sens de la recommandation 2003/361/CE (50 salariés ou plus, ou un chiffre d'affaires annuel et un total du bilan supérieurs tous deux à 10 millions d'euros), ainsi qu'à certaines entités quelle que soit leur taille. Votre autorité nationale ou votre conseil juridique peut confirmer si votre organisation est concernée.

https://netsenx.com/fr/faq/does-nis2-apply-to-mid-sized-companies

## NetSenX transmet-il la notification NIS2 à notre place ?

Non. NetSenX suit les délais de l'article 23 pour chaque incident, conserve les alertes et le journal d'audit sur lesquels s'appuie la notification et prépare pour votre DPO une notification de violation au titre de l'article 33 du RGPD ; c'est votre organisation qui transmet les notifications à son CSIRT ou à l'autorité compétente.

https://netsenx.com/fr/faq/does-netsenx-submit-the-nis2-report-for-us

## Quelles sont les amendes prévues par NIS2 ?

Selon l'article 34 de la directive (UE) 2022/2555, les États membres doivent prévoir des amendes maximales d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu, pour les entités essentielles, et d'au moins 7 millions d'euros ou 1,4 % pour les entités importantes. Ce sont des planchers pour le maximum, pas le montant qu'une entreprise paiera réellement : les lois nationales fixent les montants exacts, les manquements sanctionnés et la procédure, et les autorités tiennent compte notamment de la gravité et de la durée du manquement et de la coopération de l'entreprise. L'Allemagne prévoit par exemple, à l'article 65 du BSIG, jusqu'à 10 ou 7 millions d'euros, et jusqu'à 2 % ou 1,4 % du chiffre d'affaires mondial pour les entités dont le chiffre d'affaires total dépasse 500 millions d'euros. Vérifiez les montants applicables dans la loi de votre pays.

https://netsenx.com/fr/faq/what-are-the-nis2-fines

## Qui est responsable de NIS2 dans une entreprise ?

L'organe de direction. L'article 20 de NIS2 impose aux organes de direction des entités essentielles et importantes d'approuver les mesures de gestion des risques de cybersécurité, d'en superviser la mise en œuvre et d'en répondre en cas de manquement, et à leurs membres de suivre une formation. En pratique, les dirigeants ou le conseil ne peuvent pas se décharger de cette responsabilité sur l'informatique ou un prestataire, même si d'autres font le travail : ils approuvent les mesures, reçoivent des rapports réguliers et doivent pouvoir montrer que la supervision a eu lieu. Les lois nationales précisent les détails. En Allemagne, par exemple, l'article 38 du BSIG oblige la direction à mettre en œuvre et à surveiller les mesures, la rend responsable envers l'entité selon le droit des sociétés et impose une formation régulière. Désignez une personne pour piloter le programme au quotidien et consignez chaque revue dans un procès-verbal.

https://netsenx.com/fr/faq/who-is-responsible-for-nis2-in-a-company

## NIS2 s'applique-t-elle à une entreprise de moins de 50 salariés ?

En général pas directement, mais il existe des exceptions, et NIS2 peut vous atteindre par vos clients. Elle s'applique en principe aux entités des secteurs listés qui sont au moins des moyennes entreprises au sens de la définition de l'UE, soit en résumé 50 salariés ou plus, ou un chiffre d'affaires annuel et un total du bilan supérieurs tous deux à 10 millions d'euros. L'article 2, paragraphe 2, inclut certaines entités quelle que soit leur taille, comme les fournisseurs de communications électroniques publiques, les prestataires de services de confiance, les registres de domaines de premier niveau et les fournisseurs de services DNS, ainsi que celles qu'un État membre identifie comme critiques. Vérifiez aussi si votre groupe compte comme une seule entreprise, car les données des entreprises partenaires et liées peuvent s'additionner. Même hors champ, attendez-vous à des questionnaires : les clients concernés doivent gérer le risque fournisseurs selon l'article 21. Le dernier mot revient à votre loi nationale et à votre autorité.

https://netsenx.com/fr/faq/is-nis2-mandatory-for-companies-with-fewer-than-50-staff

## Une petite filiale peut-elle relever de NIS2 à cause de son groupe ?

Oui, c'est possible. NIS2 mesure la taille selon la définition européenne des petites et moyennes entreprises (recommandation 2003/361/CE de la Commission), selon laquelle les effectifs, le chiffre d'affaires et le bilan des entreprises partenaires et liées s'ajoutent en principe à ceux de l'entreprise. Une filiale de 30 personnes au sein d'un grand groupe peut donc compter comme grande entreprise et entrer dans le champ si son activité relève d'un secteur listé. Les lois nationales peuvent atténuer cette règle : en Allemagne, l'article 28, paragraphe 4, du BSIG n'additionne pas les données du groupe si l'entreprise est indépendante de ses entreprises partenaires ou liées dans la conception et l'exploitation de ses systèmes informatiques. Cartographiez chaque entité du groupe, son secteur et ses chiffres consolidés, vérifiez les règles nationales de chaque pays où elle opère et consignez le résultat.

https://netsenx.com/fr/faq/can-a-small-subsidiary-be-in-nis2-scope-because-of-its-group

## Notre client relève de NIS2. Devons-nous nous y conformer aussi ?

Pas à la loi elle-même, sauf si vous êtes vous-même concerné, mais en pratique vous devrez répondre aux exigences de votre client. L'article 21, paragraphe 2, point d), oblige les entités concernées à traiter la sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité de leurs relations avec leurs fournisseurs et prestataires directs, et l'article 21, paragraphe 3, leur demande de tenir compte des vulnérabilités et des pratiques de cybersécurité de chaque fournisseur direct. Votre client enverra donc des questionnaires, demandera des preuves et inscrira des clauses de sécurité et de notification d'incident dans le contrat. Répondez avec exactitude, documentez ce que vous avez et négociez des obligations adaptées à votre taille. Le contrat vous lie même là où la directive ne le fait pas. NetSenX aide pour une question récurrente, la détection d'intrusion : détection réseau dans toutes les offres, Free comprise, historique des alertes et journal d'audit à présenter, avec des données clients stockées dans l'UE.

https://netsenx.com/fr/faq/our-customer-is-in-nis2-scope-do-we-have-to-comply

## Qu'exige NIS2 d'une entreprise de taille moyenne concernée ?

Quatre choses, en gros. D'abord la gouvernance : l'organe de direction approuve les mesures de cybersécurité, les supervise et suit une formation (article 20). Ensuite la gestion des risques : des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, fondées sur une approche « tous risques », couvrant au moins les dix domaines de l'article 21, paragraphe 2, de l'analyse des risques et de la gestion des incidents aux sauvegardes, à la chaîne d'approvisionnement, à la cryptographie, au contrôle d'accès et à l'authentification multifacteur. Puis la notification : les incidents importants sont signalés au CSIRT ou à l'autorité compétente par étapes, une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le mois (article 23). Enfin l'enregistrement et la supervision prévus par la loi nationale. Proportionné signifie adapté à votre taille et à votre exposition. NetSenX aide pour la détection, les preuves d'incident et le suivi des délais ; le reste relève de votre programme.

https://netsenx.com/fr/faq/what-does-nis2-require-from-a-mid-sized-company

## Quelles sont les dix mesures de gestion des risques de l'article 21 de NIS2 ?

L'article 21, paragraphe 2, liste les domaines minimaux que toute entité concernée doit couvrir. En termes simples : des politiques d'analyse des risques et de sécurité des systèmes d'information ; la gestion des incidents ; la continuité des activités, comme la gestion des sauvegardes, la reprise après sinistre et la gestion de crise ; la sécurité de la chaîne d'approvisionnement ; la sécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris le traitement et la divulgation des vulnérabilités ; des politiques pour évaluer l'efficacité des mesures ; l'hygiène informatique de base et la formation ; des politiques sur la cryptographie et, le cas échéant, le chiffrement ; la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs ; l'authentification multifacteur ou continue, des communications vocales, vidéo et textuelles sécurisées et, le cas échéant, des communications d'urgence sécurisées. Chaque mesure doit être appropriée et proportionnée aux risques. Les lois nationales reprennent la liste. NetSenX soutient la gestion des incidents et la preuve d'efficacité, pas toute la liste.

https://netsenx.com/fr/faq/what-are-the-ten-nis2-article-21-measures

## Quelle est la différence entre entités essentielles et importantes selon NIS2 ?

Surtout le mode de supervision et le plafond des amendes, pas les obligations elles-mêmes. Les deux doivent appliquer les mesures de gestion des risques de l'article 21 et notifier les incidents importants selon l'article 23. D'après l'article 3, les entités essentielles sont, en gros, les grandes entreprises des secteurs de l'annexe I, plus certaines entités quelle que soit leur taille, comme les prestataires de services de confiance qualifiés, les registres de domaines de premier niveau et les fournisseurs de services DNS, et celles qu'un État membre désigne ; les entités importantes sont les autres entités concernées des annexes I et II. Les entités essentielles font l'objet d'une supervision a priori, avec inspections et audits possibles à tout moment (article 32), les importantes d'une supervision a posteriori, quand des indices de manquement apparaissent (article 33). Les plafonds d'amende diffèrent selon l'article 34. Les lois nationales emploient leurs propres termes ; vérifiez ceux de votre pays.

https://netsenx.com/fr/faq/what-is-the-difference-between-essential-and-important-entities

## Quels secteurs NIS2 couvre-t-elle ?

Dix-huit secteurs répartis en deux annexes. L'annexe I, secteurs hautement critiques, couvre l'énergie, les transports, le secteur bancaire, les infrastructures des marchés financiers, la santé, l'eau potable, les eaux usées, les infrastructures numériques, la gestion des services TIC pour les clients professionnels (fournisseurs de services gérés et de services de sécurité gérés), l'administration publique et l'espace. L'annexe II, autres secteurs critiques, couvre les services postaux et d'expédition, la gestion des déchets, les produits chimiques, la production et la distribution de denrées alimentaires, la fabrication (dispositifs médicaux ; produits informatiques, électroniques et optiques ; équipements électriques ; machines ; véhicules automobiles ; autres matériels de transport), les fournisseurs numériques (places de marché en ligne, moteurs de recherche et réseaux sociaux) et la recherche. Chaque secteur se divise en types d'entités : lisez le libellé exact pour votre activité, pas seulement le nom du secteur. Les seuils de taille et les choix nationaux décident ensuite si une entreprise donnée est concernée.

https://netsenx.com/fr/faq/which-sectors-does-nis2-cover

## Les dirigeants sont-ils personnellement responsables au titre de NIS2 ?

Ils peuvent l'être, selon les modalités du droit national. L'article 20, paragraphe 1, impose aux États membres de veiller à ce que les organes de direction des entités essentielles et importantes puissent être tenus responsables des manquements à leur obligation d'approuver et de superviser les mesures de cybersécurité. Pour les entités essentielles, l'article 32 permet aussi aux autorités, en dernier recours, de demander l'interdiction temporaire pour une personne d'exercer des fonctions de direction si les mesures ordonnées ne sont pas prises. La responsabilité varie d'un pays à l'autre : l'Allemagne, par exemple, rend la direction responsable envers la société des dommages causés par sa faute selon le droit des sociétés (article 38, paragraphe 2, du BSIG) et permet d'interdire temporairement l'exercice aux dirigeants peu fiables des entités particulièrement importantes (article 61, paragraphe 9). Vérifiez votre droit national et votre assurance responsabilité des dirigeants, et tenez des procès-verbaux montrant l'approbation et la revue des mesures.

https://netsenx.com/fr/faq/are-managers-personally-liable-under-nis2

## La formation à la cybersécurité est-elle obligatoire pour les dirigeants selon NIS2 ?

Oui pour les membres des organes de direction des entités concernées ; la fréquence est laissée au droit national. L'article 20, paragraphe 2, impose à ces membres de suivre une formation afin d'acquérir des connaissances et compétences suffisantes pour identifier les risques et évaluer les pratiques de gestion des risques de cybersécurité et leur impact sur les services fournis, et il encourage les entités à proposer régulièrement une formation similaire aux salariés. NIS2 ne fixe ni nombre d'heures ni certificat. Les lois nationales ajoutent des précisions : en Allemagne, l'article 38, paragraphe 3, du BSIG impose par exemple aux dirigeants de suivre régulièrement des formations. Un programme sensé couvre les menaces, le panorama des risques de l'entreprise, les obligations de la direction et les délais de notification, et inclut un exercice sur table. Conservez feuilles de présence et supports comme preuves. NetSenX ne dispense pas de formation ; ses alertes en langage clair peuvent servir d'exemples réalistes.

https://netsenx.com/fr/faq/is-management-training-mandatory-under-nis2

## Que doivent approuver les membres de la direction au titre de l'article 20 de NIS2 ?

Les mesures de gestion des risques de cybersécurité que l'entité prend au titre de l'article 21, et ils doivent aussi en superviser la mise en œuvre. En pratique, la direction approuve un petit ensemble de documents et de décisions : l'analyse des risques et les priorités qui en découlent, les politiques de sécurité couvrant les dix domaines de l'article 21, paragraphe 2, la procédure de gestion et de notification des incidents, le plan de continuité et de sauvegarde, l'approche de la sécurité des fournisseurs, ainsi que le budget et les responsables de chaque domaine. Approuver n'est pas une signature unique : la direction doit recevoir régulièrement des rapports sur l'efficacité des mesures, décider des écarts et consigner ses décisions. Demandez des preuves, pas seulement des politiques : tests de restauration, couverture de la surveillance, registre des incidents. NetSenX fournit des preuves pour la détection et la gestion des incidents réseau ; approuver le reste reste le rôle de la direction.

https://netsenx.com/fr/faq/what-do-board-members-approve-under-nis2-article-20

## Comment un dirigeant peut-il vérifier que les mesures cyber fonctionnent vraiment ?

En demandant des tests et des résultats plutôt que des descriptions. NIS2 range elle-même parmi les domaines obligatoires les politiques et procédures pour évaluer l'efficacité des mesures (article 21, paragraphe 2, point f). Des vérifications utiles sans connaissances techniques : demandez à l'informatique de restaurer un vrai système depuis une sauvegarde et d'indiquer le temps nécessaire ; demandez la part des comptes protégés par authentification multifacteur et la liste des exceptions ; demandez la date du dernier test d'intrusion externe et les constats encore ouverts ; demandez quels segments du réseau sont surveillés et à voir une alerte récente et ce qui a été fait ; et organisez un court exercice sur table chaque année. Comparez les réponses d'un trimestre à l'autre. NetSenX fournit la partie détection en langage clair : historique des alertes, liste des segments surveillés et journal d'audit des décisions.

https://netsenx.com/fr/faq/how-can-a-managing-director-check-cyber-measures-work

## NetSenX couvre-t-il toutes les mesures de l'article 21 de NIS2 ?

Non. NetSenX en soutient quelques-unes et dit clairement ce qu'il ne fait pas. Il aide surtout pour la gestion des incidents (article 21, paragraphe 2, point b) : détection réseau du beaconing C2, des balayages, des mouvements latéraux et des volumes inhabituels de données sortantes dans toutes les offres, Free comprise, avec le suivi des délais de l'article 23 par incident. Il fournit des preuves pour évaluer l'efficacité (point f) : historique des alertes, segments surveillés et journal d'audit des décisions, avec des rapports PDF dès l'offre Starter. Il donne une visibilité partielle sur la chaîne d'approvisionnement (point d), en montrant ce que font les sessions à distance des fournisseurs sur votre réseau, et sur la gestion des actifs (point i), grâce à la carte réseau. Il ne rédige pas vos politiques, ne fait pas les sauvegardes, ne gère pas les accès, n'impose pas l'authentification multifacteur, ne forme pas le personnel et ne gère pas la divulgation des vulnérabilités. Aucun outil n'assure seul la conformité : NIS2 est un programme d'organisation.

https://netsenx.com/fr/faq/does-netsenx-cover-all-nis2-article-21-measures

## Acheter un outil de sécurité nous rend-il conformes à NIS2 ou enregistrés ?

Non. Être conforme signifie que votre organisation a pris les mesures de gestion des risques de l'article 21, sous la supervision de son organe de direction, et notifie les incidents importants comme l'exige l'article 23 ; un outil peut soutenir une partie de ce travail, pas le faire à votre place. L'enregistrement est une démarche juridique distincte : si vous êtes concerné, vous transmettez vos informations à l'autorité nationale selon la procédure prévue par votre loi, par exemple via MonEspaceNIS2 en France ou l'enregistrement auprès du BSI en Allemagne, et aucun fournisseur ne peut le faire pour vous en vous vendant un logiciel. Méfiez-vous des produits présentés comme garantissant la conformité. NetSenX soutient la détection, les preuves d'incident et le suivi des délais NIS2, et dit ce qu'il ne fait pas ; savoir si vous êtes concerné, et vous enregistrer, vous revient.

https://netsenx.com/fr/faq/does-buying-a-security-tool-make-us-nis2-compliant

## Pour quelles tâches NIS2 un logiciel peut-il aider, et pour lesquelles non ?

Un logiciel aide pour les tâches qui produisent ou analysent des données ; il ne peut ni décider, ni porter la responsabilité juridique, ni changer seul les comportements. Les outils peuvent aider à détecter les incidents (détection réseau et sur les postes), conserver les preuves et suivre les délais de notification, gérer les vulnérabilités et les correctifs, imposer l'authentification multifacteur, exécuter et tester les sauvegardes, tenir l'inventaire des actifs et rassembler les preuves d'audit. Ils ne peuvent pas décider si vous êtes concerné, vous enregistrer, approuver les mesures à la place de l'organe de direction, juger si un incident est important, transmettre les notifications, négocier les contrats fournisseurs ni faire suivre la formation au personnel. Prévoyez les deux colonnes : les outils et, à côté de chacun, la personne qui décide. NetSenX couvre la détection réseau, les preuves d'incident et le suivi des délais NIS2 ; il ne transmet jamais de notification à votre place.

https://netsenx.com/fr/faq/which-nis2-tasks-can-software-help-with

## NIS2 impose-t-elle un outil de sécurité précis, comme une détection d'intrusion ?

Non. NIS2 est neutre sur le plan technologique : l'article 21 exige des mesures appropriées et proportionnées tenant compte de l'état de l'art, des normes pertinentes et du coût de mise en œuvre, mais ne nomme aucune catégorie de produit. En pratique, on ne peut ni gérer les incidents (article 21, paragraphe 2, point b) ni les notifier à temps (article 23) sans un moyen de les détecter : la plupart des entités combinent protection des postes, collecte de journaux et détection réseau, selon leurs risques. Le droit national peut être plus précis pour certaines entités : en Allemagne, l'article 31, paragraphe 2, du BSIG impose aux exploitants d'installations critiques des systèmes de détection d'attaques, les autres entités relevant des mesures générales de l'article 30. Choisissez les outils selon les risques de votre analyse, et documentez pourquoi.

https://netsenx.com/fr/faq/does-nis2-require-a-specific-security-tool

## Que se passe-t-il si nous grandissons ou rachetons une entreprise et franchissons le seuil de NIS2 ?

Vous entrez dans le champ dès que vous remplissez les critères de votre loi nationale, et les délais d'enregistrement et de mise en œuvre des mesures commencent. La croissance des effectifs ou du chiffre d'affaires, ou une acquisition qui vous intègre à un groupe plus grand, peut changer votre statut de moyenne ou grande entreprise et votre catégorie. Vérifiez les chiffres à chaque clôture annuelle et avant toute acquisition, selon la méthode européenne de calcul des effectifs, du chiffre d'affaires et du bilan, entreprises partenaires et liées comprises. Les lois nationales fixent quand les obligations commencent : en Allemagne, l'article 33, paragraphe 1, du BSIG impose l'enregistrement au plus tard trois mois après qu'une entité est pour la première fois ou de nouveau considérée comme particulièrement importante ou importante. Construisez les mesures de gestion des risques avant de franchir le seuil, pas après, et incluez la sécurité de la cible dans la due diligence d'acquisition.

https://netsenx.com/fr/faq/what-if-we-cross-the-nis2-size-threshold

## Qui décide si notre entreprise relève de NIS2 ?

Dans la plupart des pays, vous l'évaluez d'abord vous-même au regard des critères de votre loi nationale, et l'autorité peut confirmer ou corriger le résultat. NIS2 fixe le cadre : secteur et type d'entité de l'annexe I ou II, taille selon la définition européenne, et exceptions applicables quelle que soit la taille (article 2). Les États membres doivent établir une liste des entités essentielles et importantes (article 3, paragraphe 4) et comptent en pratique surtout sur l'enregistrement par les entreprises elles-mêmes ; certains écrivent aussi aux entreprises qu'ils estiment concernées. En Allemagne, le BSI peut enregistrer lui-même une entité qui ne l'a pas fait (article 33, paragraphe 3, du BSIG). Documentez donc votre analyse : activités, rattachement sectoriel, chiffres du groupe, conclusion et qui l'a validée. Si le résultat reste incertain, interrogez l'autorité nationale ou un avocat. Un fournisseur ne peut pas prendre cette décision à votre place.

https://netsenx.com/fr/faq/who-decides-whether-we-are-in-nis2-scope

## Devons-nous nous enregistrer au titre de NIS2, et auprès de qui ?

En général oui, si vous êtes concerné, auprès de l'autorité que désigne votre loi nationale. L'article 3, paragraphe 4, de NIS2 impose aux États membres d'établir une liste des entités essentielles et importantes et d'exiger des entités au moins leur nom, leur adresse et des coordonnées à jour, y compris adresses e-mail, plages d'adresses IP et numéros de téléphone, leur État membre ainsi que leur secteur et sous-secteur. Certains fournisseurs numériques, comme les fournisseurs DNS et cloud, les centres de données, les fournisseurs de services gérés et de services de sécurité gérés, s'enregistrent au titre de l'article 27 dans le pays de leur établissement principal. La procédure et le délai sont nationaux : en France, l'ANSSI a ouvert MonEspaceNIS2 ; en Allemagne, l'article 33 du BSIG impose l'enregistrement auprès du BSI dans les trois mois. Vérifiez le portail de votre pays et conservez la confirmation.

https://netsenx.com/fr/faq/do-we-have-to-register-under-nis2

## Pourquoi nos clients nous envoient-ils soudain des questionnaires fournisseurs NIS2 ?

Parce que NIS2 les rend responsables de la sécurité de leur chaîne d'approvisionnement. L'article 21, paragraphe 2, point d), impose aux entités concernées de traiter la sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité de leurs relations avec leurs fournisseurs et prestataires directs, et l'article 21, paragraphe 3, leur demande de tenir compte des vulnérabilités, de la qualité des produits et des pratiques de cybersécurité de chaque fournisseur. Leurs auditeurs et autorités leur demanderont comment ils l'ont fait, et le questionnaire est la première étape habituelle, souvent suivie de clauses contractuelles sur les mesures de sécurité, la notification d'incident et le droit d'audit. Voyez-y une question commerciale : une réponse rapide, honnête et documentée aide à garder le client. Gardez prêt un dossier de réponses type : politiques, certifications éventuelles, gestion des incidents, localisation des données et surveillance. NetSenX fournit dans toutes les offres des preuves pour la partie surveillance.

https://netsenx.com/fr/faq/why-are-customers-sending-nis2-supplier-questionnaires

## Comment répondre à « avez-vous une détection d'intrusion ? » dans un questionnaire client ?

Précisément : ce que vous avez, où, et qui réagit. Une bonne réponse indique le type de détection (réseau, postes ou les deux), les sites et segments couverts, comment les alertes atteignent une personne et en combien de temps, et quelles preuves vous pouvez fournir. Par exemple : la détection réseau fonctionne sur les segments du siège et de l'entrepôt grâce à un capteur sur un port miroir ; les alertes sont envoyées par e-mail au responsable informatique et à notre prestataire ; nous conservons un historique des alertes et un journal d'audit des décisions ; une protection des postes fonctionne sur tous les portables et serveurs. S'il manque quelque chose, comme une astreinte de nuit, dites-le et indiquez ce que vous faites à la place. Avec NetSenX, vous pouvez répondre qu'une détection réseau est en place dans toutes les offres, avec historique des alertes, journal d'audit, rapports PDF dès l'offre Starter et données clients stockées dans l'UE.

https://netsenx.com/fr/faq/how-to-answer-do-you-have-intrusion-detection-on-a-questionnaire

## Par quoi une entreprise doit-elle commencer pour se préparer à NIS2 ?

Par savoir si et comment elle est concernée, puis par combler les manques qui feraient le plus mal lors d'un vrai incident. Un ordre pratique : confirmer le champ et la catégorie selon la loi nationale et s'enregistrer si nécessaire ; nommer un responsable au niveau de la direction et informer celle-ci de ses obligations ; lister les systèmes, données et fournisseurs critiques ; s'assurer qu'un incident serait remarqué, par une détection sur les postes et sur le réseau, et que quelqu'un reçoit les alertes ; écrire une courte procédure de réponse et de notification qui tient les étapes de 24 heures, 72 heures et un mois de l'article 23 ; tester une restauration depuis les sauvegardes ; activer l'authentification multifacteur pour la messagerie, l'accès à distance et les comptes d'administration ; puis traiter les autres mesures de l'article 21 dans un plan fondé sur les risques et approuvé par la direction. NetSenX peut couvrir les étapes de détection et de suivi des délais dans toutes les offres, Free comprise.

https://netsenx.com/fr/faq/what-should-a-company-do-first-to-prepare-for-nis2

## Comment une PME réalise-t-elle une analyse de risques cyber pour NIS2 ?

Simplement, concrètement et régulièrement, plutôt que de façon volumineuse et théorique. NIS2 demande des politiques d'analyse des risques (article 21, paragraphe 2, point a) et une approche « tous risques » : incluez l'incendie, la coupure de courant et l'erreur humaine en plus des attaques. Une méthode praticable : lister les services qui font tourner l'activité et les systèmes, données et fournisseurs dont chacun dépend ; pour chacun, décrire ce qui peut mal tourner, avec quelle probabilité et pour quel coût ; noter les mesures existantes et les manques ; classer les manques par impact ; et convenir avec la direction de responsables et d'échéances pour les principaux. Une page par service critique suffit pour commencer. Revoyez l'analyse chaque année et après chaque incident ou changement majeur. NetSenX ne réalise pas l'analyse, mais ses alertes et sa carte réseau montrent quels risques se produisent réellement sur votre réseau.

https://netsenx.com/fr/faq/how-do-smes-do-a-cyber-risk-assessment-for-nis2

## Mon pays a-t-il déjà transposé NIS2 en droit national ?

Consultez le site de votre gouvernement ou de votre autorité nationale de cybersécurité, car la réponse varie selon les pays et évolue dans le temps. NIS2 est une directive : elle s'applique aux entreprises par le biais de lois nationales ; l'article 41 a fixé la date à laquelle les États membres devaient les adopter, et plusieurs ont pris du retard. En Allemagne, le NIS2UmsuCG a réécrit la loi sur le BSI (BSIG) ; d'autres pays ont adopté ou adoptent encore leurs propres textes, souvent avec des noms, autorités, portails d'enregistrement et détails différents. En France, renseignez-vous sur l'état de la loi de transposition et sur les informations de l'ANSSI. Tant que votre loi nationale n'est pas en vigueur, ses obligations, délais et amendes ne vous lient pas de la même manière, mais clients et assureurs peuvent déjà demander des mesures de niveau NIS2, et des règles nationales antérieures peuvent encore s'appliquer. Planifiez avec la directive comme base et ajustez quand votre loi sera définitive.

https://netsenx.com/fr/faq/has-my-country-transposed-nis2

## NIS2 impose-t-elle l'authentification multifacteur ?

Elle la cite parmi les domaines requis, lorsque c'est approprié. L'article 21, paragraphe 2, point j), comprend l'utilisation de solutions d'authentification à plusieurs facteurs ou d'authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d'urgence au sein de l'entité, selon les besoins. Cette réserve laisse place à une décision fondée sur les risques, mais pour les comptes que les attaquants visent le plus, il est difficile de justifier son absence : messagerie, accès à distance et VPN, comptes d'administration, consoles cloud, systèmes de sauvegarde et applications financières. Commencez par là, préférez les applications d'authentification ou les clés matérielles aux SMS quand c'est possible, couvrez aussi les comptes des prestataires et tenez une liste d'exceptions documentées et motivées. Les assureurs posent en général des questions sur les mêmes comptes. NetSenX propose lui-même l'authentification à deux facteurs dans toutes les offres ; il ne gère pas la MFA de vos autres systèmes.

https://netsenx.com/fr/faq/does-nis2-require-multi-factor-authentication

## NIS2 impose-t-elle le chiffrement ?

Elle impose des politiques et procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement (article 21, paragraphe 2, point h). Cela signifie décider par écrit où et comment votre entreprise chiffre : les données en transit (TLS pour les sites, la messagerie et l'accès à distance), les données au repos (chiffrement des disques des portables, sauvegardes et bases chiffrées) et la gestion des clés et certificats, y compris qui y accède et comment ils sont renouvelés. Fondez vos choix sur les recommandations actuelles de votre autorité nationale, comme l'ANSSI en France, ou de l'ENISA, et tenez un inventaire des usages de la cryptographie pour pouvoir remplacer les algorithmes faibles quand les recommandations évoluent. NetSenX analyse les métadonnées du trafic et ne le déchiffre jamais ; là où l'agent capture les paquets, sous Linux ou comme capteur SPAN ou TAP, il lit les négociations TLS, ce qui aide à montrer quelles connexions utilisent un chiffrement faible ou dépassé.

https://netsenx.com/fr/faq/does-nis2-require-encryption

## NIS2 impose-t-elle des sauvegardes et un plan de continuité ?

Oui. L'article 21, paragraphe 2, point c), range parmi les mesures minimales la continuité des activités, comme la gestion des sauvegardes et la reprise des activités, ainsi que la gestion des crises. En pratique, une entité concernée devrait pouvoir montrer : quels services et systèmes sont critiques et combien de temps ils peuvent être indisponibles ; des sauvegardes de ces systèmes, conservées de sorte qu'un attaquant qui contrôle le réseau ne puisse ni les effacer ni les chiffrer, par exemple hors ligne ou immuables ; des tests de restauration avec résultats et durées consignés ; un ordre de reprise ; et un plan de crise avec rôles, listes de contacts sur papier et un moyen de communiquer sans la messagerie de l'entreprise. Exercez-le au moins une fois par an. Autorités et assureurs demandent les preuves des tests de restauration. NetSenX ne sauvegarde ni ne restaure rien ; il peut alerter quand un appareil se met à toucher de nombreux partages de fichiers ou à envoyer des données vers l'extérieur, ce qui précède souvent le blocage par un rançongiciel.

https://netsenx.com/fr/faq/does-nis2-require-backups-and-business-continuity

## Que dit NIS2 sur la sécurité de la chaîne d'approvisionnement ?

Que les entités concernées doivent gérer les risques de sécurité qui viennent de leurs fournisseurs et prestataires. L'article 21, paragraphe 2, point d), couvre la sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité des relations entre chaque entité et ses fournisseurs ou prestataires directs, et l'article 21, paragraphe 3, impose de tenir compte des vulnérabilités propres à chaque fournisseur direct, de la qualité globale des produits et des pratiques de cybersécurité des fournisseurs, y compris leurs procédures de développement sécurisé. L'article 22 ajoute des évaluations coordonnées des risques des chaînes d'approvisionnement critiques au niveau de l'UE. En pratique : tenir une liste des fournisseurs ayant accès à vos systèmes ou données, les classer par risque, demander des preuves aux plus risqués, inscrire des clauses de sécurité et de notification d'incident dans les contrats, limiter et surveiller leur accès, et réviser chaque année. NetSenX montre ce que font les sessions à distance des fournisseurs sur votre réseau et alerte si elles s'étendent à d'autres appareils.

https://netsenx.com/fr/faq/what-does-nis2-say-about-supply-chain-security

## NIS2 impose-t-elle un inventaire des actifs informatiques ?

Oui, au sein d'un domaine obligatoire. L'article 21, paragraphe 2, point i), couvre la sécurité des ressources humaines, les politiques de contrôle d'accès et la gestion des actifs, et il est difficile de protéger, corriger ou restaurer des systèmes dont on ignore l'existence. Un inventaire utile indique pour chaque appareil, système et service cloud : ce que c'est, où il fonctionne, qui en est responsable, sa criticité, les données qu'il contient et s'il est encore maintenu et corrigé. Tenez-le à jour en combinant les sources : gestion des appareils, achats, comptes cloud et ce que vous voyez réellement sur le réseau. Les appareils inconnus sont une découverte fréquente, du vieux serveur au petit ordinateur branché sur une prise. Dans toutes les offres, la carte réseau de NetSenX liste les appareils vus sur les segments surveillés avec le nom qu'ils annoncent et leurs première et dernière apparitions, ce qui aide à trouver ce que l'inventaire papier a manqué.

https://netsenx.com/fr/faq/does-nis2-require-an-asset-inventory

## Qui contrôle le respect de NIS2, et que peut faire l'autorité ?

L'autorité compétente que désigne votre loi nationale, souvent l'agence nationale de cybersécurité ou un régulateur sectoriel. Les articles 32 et 33 donnent aux autorités des pouvoirs de supervision et d'exécution : inspections sur place et contrôles à distance, audits réguliers, ciblés et ponctuels, scans de sécurité, demandes d'informations et de preuves des mesures, instructions contraignantes et injonctions de corriger les manquements, injonctions d'informer les clients des menaces, et amendes. Les entités essentielles peuvent être contrôlées a priori à tout moment, les importantes en général a posteriori, en présence d'indices de manquement. En France, l'ANSSI est l'autorité nationale de référence ; en Allemagne, le BSI exerce ces pouvoirs selon les articles 61 et 62 du BSIG. Préparez-vous en tenant votre documentation à jour, pour répondre à une demande en quelques jours et non en quelques mois.

https://netsenx.com/fr/faq/who-supervises-nis2-and-what-can-they-do

## NIS2 s'applique-t-elle aux entreprises établies hors de l'UE ?

Elle peut s'appliquer, si elles fournissent des services dans l'UE. NIS2 vise les entités qui fournissent leurs services ou exercent leurs activités dans l'Union (article 2), et l'article 26 fixe l'État membre compétent : en principe celui où l'entité est établie, avec des règles particulières pour les fournisseurs de communications électroniques publiques, l'administration publique et certains fournisseurs numériques, comme les fournisseurs DNS et cloud, les centres de données, les fournisseurs de services gérés et de services de sécurité gérés, les places de marché en ligne, les moteurs de recherche et les réseaux sociaux, qui relèvent du pays de leur établissement principal dans l'UE. Un fournisseur de ces services numériques non établi dans l'UE mais qui y propose des services doit désigner un représentant dans un État membre. Les entreprises hors UE en dehors de ces catégories rencontrent surtout NIS2 à travers les exigences fournisseurs de leurs clients européens.

https://netsenx.com/fr/faq/does-nis2-apply-to-companies-outside-the-eu

## Quelles preuves une autorité de contrôle NIS2 demandera-t-elle ?

La preuve que les mesures existent, sont approuvées par la direction et fonctionnent réellement. Attendez-vous à des demandes portant sur : l'analyse du champ d'application et l'enregistrement ; l'analyse des risques et les politiques de sécurité couvrant les domaines de l'article 21, paragraphe 2 ; les procès-verbaux montrant que l'organe de direction les a approuvées et revues, et les traces de la formation des dirigeants ; la procédure de gestion des incidents et le registre des incidents, avec les notifications envoyées et leur chronologie ; les résultats des sauvegardes et des tests de restauration ; la liste des fournisseurs avec contrats et évaluations ; l'état du contrôle d'accès et de l'authentification multifacteur ; les résultats d'audits et de tests d'intrusion et les corrections qui ont suivi. Le droit allemand, par exemple, impose de documenter le respect des obligations de gestion des risques. NetSenX fournit des preuves d'incident : alertes avec heure, appareils et destinations, délais NIS2 par incident, journal d'audit des décisions et, dès l'offre Starter, rapports PDF.

https://netsenx.com/fr/faq/what-evidence-will-a-nis2-supervisor-ask-for

## Qu'est-ce que le règlement d'exécution (UE) 2024/2690 pris en application de NIS2 ?

C'est l'acte de la Commission qui fixe des exigences techniques et méthodologiques détaillées pour les mesures de l'article 21 applicables à certaines entités numériques, et qui précise quand un incident chez elles est important. Il vise les fournisseurs de services DNS, les registres de domaines de premier niveau, les fournisseurs de services d'informatique en nuage, de centres de données et de réseaux de diffusion de contenu, les fournisseurs de services gérés et de services de sécurité gérés, les places de marché en ligne, les moteurs de recherche, les plateformes de réseaux sociaux et les prestataires de services de confiance. Pour eux, le règlement, directement applicable sans transposition, décrit le contenu de chaque mesure, de la gestion des risques et des incidents au contrôle d'accès et à la cryptographie. Le droit allemand lui donne d'ailleurs priorité pour ces types d'entités. Si vous n'en faites pas partie, il reste une liste de contrôle utile et concrète pour structurer vos propres mesures, et les clients de prestataires de services gérés attendent souvent qu'ils s'y conforment.

https://netsenx.com/fr/faq/what-is-the-nis2-implementing-regulation-2024-2690

## En quoi les lois nationales de transposition de NIS2 diffèrent-elles d'un pays à l'autre ?

Par les noms, les autorités, les procédures et certains détails, sur un socle commun. Chaque loi nationale doit reprendre l'essentiel de la directive : secteurs et règles de taille, mesures de l'article 21, obligations des organes de direction, notification par étapes de l'article 23 et amendes au moins au niveau de l'article 34. Les différences que vous rencontrerez portent sur : l'autorité compétente et le CSIRT, et la manière de les joindre ; le portail d'enregistrement et ses délais ; l'inclusion d'entités supplémentaires, comme certains organismes publics ou des entreprises plus petites ; des exigences nationales en plus, comme les systèmes de détection d'attaques pour les installations critiques en Allemagne ou un responsable de la sécurité désigné ; et la procédure et le montant réel des amendes. Si vous êtes présent dans plusieurs pays, rattachez chaque filiale à sa loi et à son autorité nationales, et vérifiez la loi de chaque pays, car ce sont les termes et délais locaux qui comptent.

https://netsenx.com/fr/faq/how-do-national-nis2-laws-differ

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

FAQ: https://netsenx.com/fr/faq