NIS2 : les 7 premières actions si votre organisation est concernée
Par Christophe Godefroid · · 4 min de lecture
Vous venez de découvrir que votre organisation entre dans le champ de la directive NIS2, peut-être grâce au test NIS2. La liste des obligations peut sembler longue. Bonne nouvelle : tout ne se fait pas en même temps. Voici les sept actions que je recommande de lancer, dans l’ordre.
Belgique ou France ? En Belgique, la loi du 26 avril 2024 transpose NIS2 et s’applique depuis le 18 octobre 2024 : ces actions sont des obligations. En France, la loi de transposition n’est pas encore en vigueur et les obligations précises restent à définir ; ces actions sont alors une façon d’anticiper, fondée sur le texte de la directive.
1. Confirmer votre statut et vous enregistrer
Commencez par vérifier précisément votre situation : votre secteur figure-t-il dans les annexes de la directive, et êtes-vous une entité essentielle ou importante ? Ce statut détermine le niveau de supervision et le montant des sanctions possibles.
En Belgique, vous devez vous enregistrer auprès du Centre pour la Cybersécurité Belgique (CCB), selon les modalités qu’il publie. En France, l’ANSSI propose depuis novembre 2025 un pré-enregistrement volontaire sur sa plateforme MonEspaceNIS2. L’enregistrement deviendra obligatoire après l’adoption de la loi de transposition et de ses décrets d’application. Le pré-enregistrement ne prend que quelques minutes et facilitera la suite : je le recommande. Dans les deux cas, gardez une trace de votre analyse : elle vous sera demandée en cas de contrôle.
2. Impliquer la direction dès le départ
NIS2 change la donne sur un point essentiel : la cybersécurité devient explicitement une responsabilité de la direction. Les organes de direction doivent approuver les mesures de gestion des risques, en superviser la mise en œuvre, et peuvent être tenus responsables en cas de manquement (article 20). Leurs membres doivent également suivre une formation.
Concrètement, inscrivez la cybersécurité à l’ordre du jour du comité de direction et prévoyez une première session de sensibilisation des dirigeants.
3. Désigner un pilote et définir la gouvernance
Un programme NIS2 a besoin d’un responsable identifié, qui coordonne les actions, rend compte à la direction et fait le lien avec l’autorité. C’est le rôle d’un RSSI. Si vous n’avez pas la taille pour un poste à temps plein, un RSSI as a Service peut assumer cette fonction quelques jours par mois.
Définissez aussi qui décide de quoi : comité de pilotage, fréquence des points, circuit de validation des politiques.
4. Cartographier vos activités et vos actifs critiques
On ne protège bien que ce que l’on connaît. Identifiez les services essentiels que vous fournissez, les systèmes et les données qui les font fonctionner, et vos dépendances : prestataires informatiques, éditeurs, hébergeurs. La sécurité de la chaîne d’approvisionnement fait partie des exigences de NIS2.
5. Analyser vos risques
L’analyse de risques est le cœur de la démarche : c’est elle qui permet de proportionner les mesures à vos enjeux réels, plutôt que d’appliquer une liste de contrôles sans discernement. Deux méthodes de référence :
- ISO/IEC 27005, la norme internationale, idéale si vous visez aussi ISO 27001 ;
- EBIOS Risk Manager, la méthode de l’ANSSI, fondée sur des scénarios d’attaque réalistes.
Le résultat : une liste de risques priorisés, qui servira de base à votre plan d’action.
6. Préparer la gestion et la notification des incidents
La directive impose des délais de notification courts en cas d’incident significatif. Ils s’appliquent déjà en Belgique, et la loi française devrait les reprendre :
- une alerte précoce sous 24 heures ;
- une notification sous 72 heures ;
- un rapport final dans le mois qui suit.
Ces délais ne se tiennent pas en improvisant. Rédigez une procédure simple, désignez qui décide de notifier, préparez les contacts utiles et faites au moins un exercice. C’est l’une des actions les plus rapides à mettre en place, et l’une des plus utiles.
7. Construire votre feuille de route avec un référentiel
L’article 21 de la directive liste les domaines de mesures attendus : politiques de sécurité, gestion des incidents, continuité d’activité et sauvegardes, sécurité de la chaîne d’approvisionnement, gestion des vulnérabilités, évaluation de l’efficacité des mesures, cyberhygiène et formation, chiffrement, contrôle d’accès et gestion des actifs, authentification multifacteur.
Plutôt que de partir d’une page blanche, appuyez-vous sur un référentiel. En Belgique, le cadre CyFun® du CCB et la certification ISO 27001 permettent de démontrer votre conformité. En France, en attendant la loi, ISO 27001 et les recommandations de l’ANSSI constituent une base solide. Votre feuille de route classe ensuite les actions selon le risque, l’effort et le budget, sur 12 à 24 mois.
En résumé
NIS2 n’est pas qu’une contrainte : c’est l’occasion de structurer votre sécurité et de rassurer vos clients et partenaires. Les trois premières actions (statut, direction, pilote) se lancent en quelques semaines. L’analyse de risques et la procédure d’incident suivent naturellement. La feuille de route vous donne ensuite une vision claire pour les mois à venir.
Si vous souhaitez en parler, je vous propose un premier échange de 30 minutes, sans engagement.