NIS2 et PME/ETI : comment la cartographie SI vous aide à être conforme

La directive européenne NIS2 (Network and Information Security 2) est entrée en vigueur et change la donne pour des milliers de PME et ETI en France. Pour le secteur financier, la réglementation DORA vient compléter ce dispositif. Si la première version de la directive (NIS1) ne concernait que quelques centaines de grandes entreprises et opérateurs critiques, NIS2 élargit considérablement le périmètre : on estime que plus de 10 000 entités françaises sont désormais concernées, dont de nombreuses PME et ETI.

Et pourtant, selon les premières enquêtes, plus de 60 % des entreprises nouvellement concernées n'ont pas encore commencé leur mise en conformité. Le risque ? Des sanctions financières, mais surtout une exposition accrue aux cyberattaques dont les PME sont les cibles privilégiées.

Ce guide vous explique concrètement ce que NIS2 implique pour votre entreprise et comment la cartographie de votre SI est un levier essentiel pour atteindre la conformité.

NIS2 : ce qui change pour les PME et ETI

Le contexte

La directive NIS2 (Directive (UE) 2022/2555) a été adoptée par le Parlement européen fin 2022. Elle remplace la directive NIS1 de 2016 et renforce considérablement les exigences en matière de cybersécurité pour les entreprises européennes.

La transposition en droit français est en cours, pilotée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information), qui sera l'autorité compétente pour la France.

Qui est concerné ?

NIS2 définit deux catégories d'entités :

Entités essentielles (obligations les plus strictes) :

• Énergie, transports, santé, eau potable, infrastructures numériques
• Administrations publiques
• Secteur spatial

Entités importantes (obligations légèrement allégées) :

• Services postaux, gestion des déchets, industrie chimique
• Agroalimentaire, fabrication de dispositifs médicaux
• Fournisseurs de services numériques
• Recherche

Le critère de taille : sont concernées les entreprises de plus de 50 salariés ou réalisant plus de 10 millions d'euros de chiffre d'affaires dans les secteurs listés. Mais attention : certaines entreprises plus petites peuvent être concernées si elles sont jugées critiques par les États membres.

Le point clé : de nombreuses PME et ETI qui n'étaient pas concernées par NIS1 le sont désormais par NIS2. Si vous êtes fournisseur d'une entité essentielle, vous pouvez également être indirectement concerné par les exigences de sécurité de la chaîne d'approvisionnement.

Les obligations principales

NIS2 impose aux entités concernées un ensemble d'obligations de cybersécurité :

• Analyse des risques : évaluer régulièrement les risques pesant sur vos systèmes d'information
• Gestion des incidents : mettre en place des procédures de détection, de réponse et de notification des incidents de sécurité
• Continuité d'activité : disposer de plans de continuité et de reprise d'activité
• Sécurité de la chaîne d'approvisionnement : évaluer et gérer les risques liés à vos fournisseurs et prestataires IT
• Sécurité dans l'acquisition et le développement : intégrer la sécurité dans le cycle de vie des systèmes
• Évaluation de l'efficacité : tester et auditer régulièrement vos mesures de sécurité
• Hygiène cyber de base : formation, gestion des accès, chiffrement, authentification multi-facteur
• Notification des incidents : alerter l'autorité compétente (l'ANSSI en France) dans les 24 heures pour une alerte initiale, puis un rapport complet sous 72 heures

Les sanctions

Les sanctions prévues par NIS2 sont significatives :

• Entités essentielles : jusqu'à 10 millions d'euros ou 2 % du CA mondial
• Entités importantes : jusqu'à 7 millions d'euros ou 1,4 % du CA mondial
• Responsabilité des dirigeants : les dirigeants peuvent être personnellement tenus responsables en cas de manquement grave

Pourquoi la cartographie SI est indispensable pour NIS2

Le lien entre cartographie et conformité

La quasi-totalité des obligations NIS2 repose sur un prérequis fondamental : connaître son système d'information. Vous ne pouvez pas protéger ce que vous ne connaissez pas.

La cartographie SI répond directement à plusieurs exigences de la directive :

1. L'analyse des risques

Pour évaluer les risques, il faut d'abord savoir :

• Quelles applications composent votre SI
• Quelles données elles traitent (données personnelles, données critiques métier)
• Comment elles sont interconnectées
• Quels sont les points de défaillance potentiels

Sans cartographie, votre analyse des risques sera incomplète et peu fiable. Avec une cartographie à jour, vous pouvez systématiquement identifier les zones à risque.

2. La gestion des incidents

Quand un incident de sécurité survient, vous devez pouvoir :

• Identifier rapidement le périmètre impacté : quels systèmes, quelles données, quels utilisateurs ?
• Évaluer l'impact métier : quels processus sont affectés ?
• Contenir la propagation : quels systèmes faut-il isoler pour empêcher l'incident de s'étendre ?

La cartographie vous donne une vue des dépendances qui permet de répondre à ces questions en minutes plutôt qu'en heures.

3. La sécurité de la chaîne d'approvisionnement

NIS2 exige d'évaluer les risques liés à vos fournisseurs IT. La cartographie vous permet de :

• Lister tous vos fournisseurs et prestataires IT
• Identifier les applications et données critiques hébergées ou gérées par des tiers
• Évaluer le niveau de dépendance envers chaque fournisseur
• Identifier les points uniques de défaillance dans votre chaîne d'approvisionnement

4. La continuité d'activité

Un plan de continuité crédible nécessite de connaître :

• Les applications critiques pour chaque processus métier
• Les dépendances entre applications (si A tombe, B et C tombent aussi)
• Les données essentielles et leurs emplacements de sauvegarde
• Les délais de reprise acceptables pour chaque composant

La cartographie est la colonne vertébrale de votre plan de continuité.

Checklist de conformité NIS2 pour les PME/ETI

Utilisez cette checklist pour évaluer votre niveau de préparation :

Gouvernance et organisation

• [ ] Un responsable de la sécurité des SI (RSSI ou équivalent) est désigné
• [ ] La direction est impliquée et informée des enjeux NIS2
• [ ] Un budget cybersécurité est identifié et alloué
• [ ] Les rôles et responsabilités en matière de sécurité sont définis

Connaissance du SI

• [ ] Un inventaire complet des applications est réalisé et à jour
• [ ] Les flux de données entre applications sont documentés
• [ ] Les actifs critiques (applications, données, infrastructures) sont identifiés
• [ ] Les fournisseurs et prestataires IT sont listés avec leur périmètre d'intervention
• [ ] Les dépendances entre systèmes sont cartographiées

Analyse des risques

• [ ] Une analyse des risques formelle est réalisée sur les actifs critiques
• [ ] Les risques sont priorisés selon leur impact et leur probabilité
• [ ] Un plan de traitement des risques est défini et suivi
• [ ] L'analyse des risques est revue au moins annuellement

Protection

• [ ] L'authentification multi-facteur est déployée sur les accès critiques
• [ ] Les accès sont gérés selon le principe du moindre privilège
• [ ] Les données sensibles sont chiffrées (en transit et au repos)
• [ ] Les mises à jour de sécurité sont appliquées dans des délais définis
• [ ] La segmentation réseau est en place pour les systèmes critiques

Détection et réponse aux incidents

• [ ] Des outils de détection des incidents sont déployés
• [ ] Une procédure de réponse aux incidents est formalisée et testée
• [ ] Les équipes sont formées à la gestion d'incident
• [ ] Le processus de notification à l'ANSSI est défini (alerte 24h, rapport 72h)
• [ ] Des exercices de simulation d'incident sont réalisés au moins annuellement

Continuité d'activité

• [ ] Un plan de continuité d'activité (PCA) est formalisé
• [ ] Un plan de reprise d'activité (PRA) est formalisé et testé
• [ ] Les sauvegardes sont réalisées régulièrement et testées
• [ ] Les délais de reprise (RTO) et points de reprise (RPO) sont définis pour chaque application critique

Chaîne d'approvisionnement

• [ ] Les fournisseurs critiques sont identifiés et évalués
• [ ] Des exigences de sécurité sont intégrées dans les contrats fournisseurs
• [ ] La sécurité des fournisseurs est revue régulièrement
• [ ] Un plan de substitution existe pour les fournisseurs critiques

Formation et sensibilisation

• [ ] Un programme de sensibilisation à la cybersécurité est en place
• [ ] Les dirigeants suivent une formation spécifique (obligation NIS2)
• [ ] Les équipes IT sont formées aux pratiques de sécurité
• [ ] Des campagnes de test (phishing, etc.) sont réalisées régulièrement

Plan d'action en 6 étapes pour les PME/ETI

Étape 1 : Déterminer si vous êtes concerné (immédiat)

Vérifiez si votre entreprise entre dans le périmètre de NIS2 :

• Votre secteur d'activité est-il listé dans la directive ?
• Dépassez-vous les seuils de taille (50 salariés ou 10 M EUR de CA) ?
• Êtes-vous fournisseur d'une entité essentielle ?

En cas de doute, consultez le site de l'ANSSI ou un expert en cybersécurité.

Étape 2 : Cartographier votre SI (mois 1-2)

C'est la fondation de tout le reste. Sans cartographie, les étapes suivantes seront approximatives et inefficaces.

Concrètement :

• Inventoriez toutes vos applications et systèmes
• Documentez les flux de données critiques
• Identifiez les dépendances entre systèmes
• Listez vos fournisseurs IT et leur périmètre
• Classez vos actifs par niveau de criticité

Étape 3 : Réaliser l'analyse des risques (mois 2-3)

En vous appuyant sur votre cartographie :

• Identifiez les menaces pertinentes pour votre secteur et votre SI
• Évaluez la vulnérabilité de chaque actif critique
• Estimez l'impact potentiel d'un incident sur chaque composant
• Priorisez les risques et définissez les actions de remédiation

Étape 4 : Mettre en place les mesures de sécurité prioritaires (mois 3-6)

Concentrez-vous d'abord sur les mesures à fort impact et faible coût :

• Déployer l'authentification multi-facteur
• Mettre à jour les systèmes critiques
• Formaliser la procédure de réponse aux incidents
• Mettre en place des sauvegardes testées
• Former les équipes aux gestes de base

Étape 5 : Formaliser la gouvernance (mois 4-6)

• Nommer un responsable sécurité
• Définir les rôles et responsabilités
• Mettre en place les comités de suivi
• Documenter les politiques de sécurité
• Informer et impliquer la direction

Étape 6 : Maintenir et améliorer en continu (en permanence)

• Mettre à jour la cartographie à chaque changement significatif du SI
• Réviser l'analyse des risques au moins annuellement
• Tester les plans de continuité et de reprise
• Former régulièrement les collaborateurs
• Suivre les évolutions réglementaires et les recommandations de l'ANSSI

Les erreurs à éviter

• Attendre la dernière minute : la mise en conformité NIS2 prend 6 à 12 mois minimum. Appuyez-vous sur un schéma directeur SI pour structurer votre démarche. Ne pas démarrer maintenant, c'est prendre le risque d'être en infraction
• Confondre conformité et sécurité : la conformité est un minimum légal. La sécurité réelle va au-delà. Visez la sécurité, la conformité suivra naturellement
• Traiter NIS2 comme un projet purement IT : NIS2 implique la direction, les métiers, les RH, les achats. C'est un projet d'entreprise qui nécessite une gouvernance IT adaptée
• Sous-estimer la chaîne d'approvisionnement : vos fournisseurs IT sont un vecteur de risque majeur. Les ignorer, c'est laisser une porte ouverte
• Ne pas maintenir la cartographie : une cartographie obsolète est pire qu'aucune cartographie, car elle donne un faux sentiment de sécurité. Évitez les approches basées sur Excel qui rendent la mise à jour laborieuse

Ce qu'UrbaHive apporte à une démarche NIS2

La conformité NIS2 commence par la connaissance de votre SI. UrbaHive n'a pas de fonctionnalité de conformité : il fournit l'inventaire et les dépendances que la directive suppose. Concrètement :

• Inventaire partagé de votre portefeuille applicatif, de vos serveurs et de vos infrastructures, avec pour chaque application son éditeur, sa pile technique, son type de service (interne ou externe) et son responsable
• Analyse d'impact depuis une application, un serveur ou un processus : les dépendances directes, en amont et en aval, un niveau à la fois — on relance l'analyse depuis l'objet suivant pour remonter une chaîne en cas d'incident
• Documentation des flux entre applications (source, cible, type, fréquence), restituée dans un diagramme généré à partir du référentiel, pour identifier où transitent les données critiques
• Criticité des capacités métier et matrice de couverture capacités × applications, pour repérer les applications qui portent vos capacités les plus critiques ; des champs personnalisés accueillent vos propres critères de classification
• Espace multi-utilisateur à quatre rôles (Owner, Editor, Member, Viewer) pour partager la connaissance du SI avec la direction, le RSSI et les auditeurs
• Journal d'audit : chaque création, modification et suppression est enregistrée avec les valeurs avant/après, ce qui montre que votre cartographie est effectivement tenue à jour

Lors d'un audit NIS2, votre cartographie UrbaHive sera un appui utile : elle montre que vous connaissez vos actifs, leurs dépendances et leurs responsables, et que vous en maintenez une vision à jour. L'analyse des risques, les procédures d'incident et les documents attendus par l'autorité restent à produire par ailleurs.

Ne laissez pas NIS2 devenir une source de stress. Transformez cette obligation en opportunité pour renforcer votre SI et protéger votre entreprise.

Découvrez ce qu'UrbaHive apporte à votre préparation NIS2 : demandez une démo.