Auto-évaluation NIS2 : 25 questions pour savoir si votre entreprise est conforme

Auto-évaluation NIS2 : 25 questions pour savoir si votre entreprise est conforme

Si votre entreprise compte entre 50 et 500 salariés, opère dans un secteur que la directive NIS2 considère comme essentiel ou important et que vous ne pouvez pas répondre à ce court questionnaire avec des preuves documentées, vous avez un écart de conformité. Nous n'avons pas conçu ces questions pour vous effrayer. Nous les avons conçues pour que, en vingt minutes, vous obteniez la même photographie diagnostique que celle livrée lors d'un premier diagnostic payant. Si, après y avoir répondu, vous décidez que vous n'avez pas besoin de nous, ce résultat est bon lui aussi.

Le test comporte cinq blocs de cinq questions : gouvernance, gestion des risques et des actifs, réponse aux incidents, chaîne d'approvisionnement et continuité. Chaque question admet une réponse binaire (oui avec preuves, ou non) et une brève explication de ce que « oui avec preuves » signifie en pratique. Il n'y a pas de réponses à moitié oui. Les autorités de supervision, lorsqu'elles arriveront, ne les accepteront pas non plus.

1 · Gouvernance et reddition de comptes (questions 1 à 5)

1. L'organe de direction de votre entreprise reçoit-il une formation à la cybersécurité documentée et datée, avec registre de présence, au moins tous les 12 mois ?

« Oui avec preuves » signifie feuille d'émargement ou enregistrement dans une plateforme d'apprentissage. Un « nous leur avons envoyé quelques diapositives » ne suffit pas. L'article 20 de NIS2 impose cette obligation à la direction, pas à l'équipe informatique. Nous trouvons régulièrement des entreprises où le directeur technique a trente heures de formation et le conseil zéro.

2. Existe-t-il un responsable de la cybersécurité désigné par écrit, avec une ligne de reporting claire vers l'organe de direction et un budget alloué pour l'exercice en cours ?

Un RSSI sans budget, sans équipe et avec une ligne pointillée vers les opérations informatiques n'est pas un RSSI. La directive parle de responsabilité définie, pas de titre.

3. L'organe de direction a-t-il approuvé formellement, par écrit, une politique de gestion des risques de cybersécurité datée des 18 derniers mois ?

Beaucoup d'entreprises moyennes s'appuient encore sur une politique informatique de 2019 qui parle de pare-feu et d'antivirus et oublie le cloud, l'identité et la chaîne d'approvisionnement. NIS2 exige un cadre de gestion des risques, pas une liste de produits de l'ère du périmètre.

4. Les responsabilités personnelles de l'organe de direction en cas de non-conformité à NIS2 sont-elles comprises, documentées dans un procès-verbal ou équivalent et révisées chaque année ?

NIS2 a introduit pour la première fois la responsabilité personnelle de la direction. Si votre conseil n'a jamais vu de note sur ce que cela signifie pour eux personnellement, vous avez un écart de sensibilisation, pas technique.

5. Disposez-vous d'un processus pour déterminer si votre entreprise se qualifie comme entité essentielle ou entité importante selon la loi nationale de transposition, et vous êtes-vous enregistré auprès de l'autorité compétente lorsque c'est obligatoire ?

En France, le point de référence est l'ANSSI et le registre géré conformément à la loi de transposition. En Espagne, INCIBE-CERT et le registre prévu par le décret royal de transposition. En Roumanie, le registre est tenu par le DNSC. Nous avons vu des entreprises opérant dans un secteur clairement essentiel sans aucun enregistrement parce que personne n'était propriétaire de la question. C'est un risque de sanction, sans nuances.

2 · Gestion des risques et des actifs (questions 6 à 10)

6. Disposez-vous d'un inventaire à jour et révisé au cours des six derniers mois de tous les actifs qui stockent, traitent ou transmettent de l'information, y compris le SaaS et le shadow IT ?

L'inventaire doit inclure les outils SaaS que deux personnes de l'équipe financière ont souscrits le trimestre dernier. S'il ne couvre que les actifs gérés, il est incomplet par conception.

7. Avez-vous réalisé au cours des 12 derniers mois une évaluation des risques de cybersécurité documentée qui identifie les menaces, les vulnérabilités, la probabilité, l'impact et les risques acceptés par rapport à ceux traités ?

L'article 21 paragraphe 2 point a de NIS2 l'exige explicitement. Un questionnaire de sécurité d'un fournisseur n'est pas une évaluation des risques.

8. Existe-t-il des contrôles techniques et organisationnels qui rendent effectif le principe du moindre privilège sur l'identité, la gestion des accès et les comptes administratifs, avec des revues au moins trimestrielles ?

Dans environ quatre diagnostics moyens sur cinq, nous trouvons au moins un compte de service doté de privilèges administratifs qu'aucune personne de l'équipe actuelle ne sait expliquer entièrement.

9. Tous les systèmes sont-ils corrigés dans un SLA inscrit dans votre politique (plage typique : 7 jours critiques, 30 jours élevés, 90 jours moyens), avec des exceptions documentées pour les cas où le SLA ne peut être respecté ?

Les exceptions sont aussi importantes que le SLA. Un « nous corrigeons mensuellement » générique, sans registre d'exceptions, n'est pas un programme ; c'est une habitude.

10. Les contrôles de chiffrement (au repos, en transit, pour les sauvegardes) sont-ils documentés par système et validés par des preuves techniques périodiques (captures de configuration, revues de suites cryptographiques, journaux de rotation de clés) ?

L'écart le plus courant dans ce bloc est le chiffrement des sauvegardes : activé dans la console, jamais validé par l'équipe qui devrait restaurer sous pression.

3 · Réponse aux incidents (questions 11 à 15)

11. Disposez-vous d'un plan de réponse aux incidents écrit, daté des 12 derniers mois, avec des rôles nommés, des listes de contacts, des arbres de décision et des chemins d'escalade ?

Pas un schéma d'une page. Un plan avec des manuels pour les trois ou quatre classes d'incidents les plus probables (rançongiciel, fraude au président, brèche chez un tiers, exfiltration de données) est le seuil réaliste.

12. Avez-vous réalisé un exercice théorique (tabletop) ou une simulation technique d'incident au cours des 9 derniers mois, avec un rapport de retour d'expérience écrit et un plan de remédiation assigné ?

Une simulation sans rapport est du théâtre. La liste de remédiations avec responsables et échéances est l'artefact que la supervision NIS2 cherchera.

13. Savez-vous exactement à quel CSIRT national ou autorité compétente votre entreprise doit notifier selon NIS2 et avez-vous enregistré le canal de contact ?

En France, le CERT-FR de l'ANSSI. En Espagne, INCIBE-CERT pour la plupart des secteurs, CCN-CERT pour les administrations publiques. En Roumanie, le DNSC. Connaître l'URL ne suffit pas ; le canal de contact doit avoir été testé au moins une fois.

14. Pouvez-vous émettre l'alerte précoce dans les 24 heures suivant la détection d'un incident significatif, la notification complète dans les 72 heures et le rapport final dans un délai d'un mois, comme l'exige l'article 23 ?

L'horloge des 24 heures démarre à la détection, pas à la confirmation. La plupart des entreprises moyennes qui n'ont pas testé le processus sous-estiment combien de temps prend la seule validation interne.

15. Les journaux (logs) sont-ils centralisés, conservés pendant la période exigée par votre secteur et votre plan de réponse (plage médiane typique : minimum 12 mois de journaux de sécurité) et protégés contre la manipulation ?

La période de conservation n'est pas arbitraire. Plusieurs autorités de supervision ont commencé à demander entre 12 et 24 mois de journaux d'authentification, de réseau et de terminaux dans les demandes de suivi.

4 · Chaîne d'approvisionnement et tiers (questions 16 à 20)

16. Maintenez-vous une liste de tiers critiques, classée par criticité, avec au moins une révision annuelle de leur posture de cybersécurité (questionnaire, référence de certification ou rapport d'audit) ?

L'article 21 paragraphe 2 point d rend explicite l'obligation relative au risque de la chaîne d'approvisionnement. La réponse « nous faisons confiance à notre fournisseur de CRM » ne la satisfait pas.

17. Les clauses de cybersécurité sont-elles incluses dans tous les contrats avec les fournisseurs critiques, y compris l'obligation de notifier les incidents affectant vos données ou services ?

Nous avons vu cette clause absente de contrats signés en 2023 et 2024 avec de grands fournisseurs de cloud, parce que l'équipe juridique n'a pas vu de mise à jour du modèle et que les achats n'ont pas posé la question.

18. Disposez-vous d'un processus écrit pour évaluer la posture de cybersécurité des nouveaux fournisseurs avant la signature du contrat, proportionnel à la criticité et aux données qu'ils traiteront ?

« Proportionnel » est le mot-clé. Un questionnaire monolithique de 200 questions pour chaque fournisseur tue le processus. Un questionnaire par niveaux avec une voie rapide pour la faible criticité est la réponse réaliste.

19. Existe-t-il un plan de sortie documenté pour chaque fournisseur critique, incluant la restitution des données, la rotation des clés et la révocation des accès, révisé au cours des 24 derniers mois ?

Le plan de sortie est le contrôle de la chaîne d'approvisionnement dont personne ne veut parler jusqu'au jour où il est nécessaire et qu'il n'existe pas.

20. Vos fournisseurs critiques vous informent-ils lorsqu'ils subissent un incident de cybersécurité susceptible d'affecter vos services ou données, dans un délai qui vous permette de respecter vos propres obligations de notification NIS2 (typiquement entre 12 et 24 heures) ?

Sans cela, votre horloge de 24 heures face à votre superviseur sera très serrée.

5 · Continuité, sauvegardes et reprise (questions 21 à 25)

21. Disposez-vous d'une sauvegarde immuable ou isolée de vos systèmes critiques, testée par une restauration complète au cours des 6 derniers mois ?

La leçon la plus chère que la vague de rançongiciels de 2023-2025 a laissée au marché moyen européen est que « nous avons des sauvegardes » n'est pas la même chose que « nous avons des sauvegardes restaurables ». Un test de restauration de moins de six mois est le seuil réaliste.

22. Vos objectifs de temps de reprise (RTO) et de point de reprise (RPO) sont-ils définis par service critique, convenus avec le propriétaire métier et mesurés lors du dernier exercice ?

Si votre RTO est un chiffre sur une diapositive que personne n'a mesuré sous pression, c'est un souhait, pas un objectif.

23. Disposez-vous d'un plan de continuité couvrant la perte de votre site principal, la perte de votre région cloud principale et la perte de votre équipe informatique pendant 72 heures ?

Le scénario « perte de l'équipe informatique » sonne dramatique ; il couvre un spear phishing réussi contre trois personnes le même jour.

24. Les contrôles de cybersécurité sont-ils validés périodiquement par une évaluation indépendante (audit interne, pentest externe ou diagnostic externe), avec un rapport écrit et un registre de remédiations ?

L'indépendance compte. La même équipe qui opère les contrôles ne devrait pas être la seule à les valider.

25. Existe-t-il un processus écrit pour informer les destinataires de vos services d'un incident significatif susceptible d'affecter matériellement leur capacité d'utilisation, dans les délais qu'exige NIS2 ?

C'est l'obligation que beaucoup d'entreprises moyennes négligent parce qu'elle se situe entre la communication, le juridique et la sécurité. Si personne n'en est propriétaire, la réponse est non.

Comment interpréter votre résultat

Nous ne donnons pas de score au sens strict, parce que la supervision NIS2 n'en donnera pas non plus. Ce que nous suggérons :

• 24 ou 25 oui avec preuves : vous faites partie du groupe très étroit d'entreprises moyennes européennes qui opèrent déjà au niveau de maturité NIS2. Utilisez cette auto-évaluation comme intrant pour votre prochain audit externe.
• 18 à 23 oui avec preuves : vous avez un programme structuré avec des écarts localisés. Le plan réaliste est un cycle de remédiation de 60 à 90 jours sur les questions répondues non.
• 10 à 17 oui avec preuves : vous avez des fondations dans certains domaines et des écarts sérieux dans d'autres. La lecture honnête est qu'un programme de six mois est le seuil, et un engagement budgétaire de l'organe de direction est la première exigence.
• 9 ou moins oui avec preuves : l'écart est structurel. La conversation ne porte pas sur le contrôle à corriger en premier ; elle porte sur la question de savoir si l'entreprise dispose de la gouvernance et du budget pour construire un programme conforme à la directive.

> « Une auto-évaluation NIS2 ne vous donne pas la conformité. Elle vous donne une liste de preuves que vous pouvez ou ne pouvez pas produire. La différence entre les deux devient très visible la première fois qu'un superviseur la demande. » — Méthodologie diagnostique IBL, note interne 2026

Que faire maintenant

Si vous avez complété les 25 questions et que le décompte sincère vous inquiète, la première chose à faire est de partager le résultat avec votre organe de direction. Les obligations NIS2 leur incombent, pas seulement à l'équipe de cybersécurité. La deuxième est de décider si vous avez la capacité interne pour combler les écarts ou si vous avez besoin d'un appui externe.

Si vous souhaitez un deuxième avis sur votre auto-évaluation, vous pouvez nous demander une conversation de 45 minutes. Nous ne vous vendrons pas de programme lors de cet appel. Nous vous demanderons de nous décrire en détail trois de vos réponses « non » et nous vous dirons si elles nous semblent des correctifs rapides, des écarts structurels ou quelque chose d'intermédiaire.

Écrivez à [email protected]. Nous répondons dans un jour ouvrable.

---

OCIRIA est un cabinet de conseil boutique en cybersécurité basé à Málaga, en Espagne, avec une équipe opérationnelle en Roumanie. Nous travaillons avec des entreprises moyennes européennes qui préfèrent l'honnêteté technique à l'emballage commercial. Nous avons été fondés en 2026 ; nous n'inventons pas une histoire plus longue.

Lectures connexes

• RGPD + NIS2 : comment éviter de dupliquer l'effort de conformité (cluster pilier T3)
• NIS2 face à ISO 27001 : quand chaque levier est le bon (cluster pilier T3)
• DMARC expliqué : pourquoi votre courriel est vulnérable et comment le corriger en 24 heures (cluster pilier T3)

Étiquettes : nis2, conformite, entreprise-moyenne, auto-evaluation, article-21, notification-incidents, chaine-approvisionnement