Analyse des risques et politique de sécurité
Preuve attendue : une cartographie des actifs et des risques, datée, revue, et une politique approuvée par la direction — pas un document type téléchargé.
Checklist
Les dix mesures et la preuve attendue
L'article 21 énumère dix familles de mesures. Pour chacune, la question n'est pas « est-ce que nous le faisons » mais « qu'est-ce que nous montrons à un contrôleur ». Cette page donne les deux.
Vous préférez appeler ?+33 7 82 70 38 30
ou laissez vos coordonnées :
Faisons le point sur votre situation
Trente minutes pour cadrer ce qui vous concerne réellement et par quoi commencer. Sans engagement.
Mesure par mesure
Gestion des incidents
Preuve attendue : une procédure nommant qui décide, qui déclare et sous quel délai, plus le journal des incidents passés et de leur traitement.
Continuité d'activité
Preuve attendue : un test de restauration daté. Une sauvegarde jamais restaurée ne prouve rien ; c'est le point qui tombe le plus souvent.
Sécurité de la chaîne d'approvisionnement
Preuve attendue : la liste de vos prestataires ayant un accès à vos systèmes, les clauses de sécurité de leurs contrats, et la date de la dernière évaluation.
Sécurité du développement et de la maintenance
Preuve attendue : gestion des vulnérabilités et des correctifs, revue de code ou tests de sécurité avant mise en production.
Évaluation de l'efficacité
Preuve attendue : audits, tests d'intrusion, exercices — et surtout le suivi des corrections qui a suivi.
Hygiène informatique et formation
Preuve attendue : le programme de sensibilisation, les taux de participation, et la formation suivie par les membres de la direction.
Cryptographie et chiffrement
Preuve attendue : une politique disant ce qui est chiffré, où et avec quoi — postes, sauvegardes, flux, données sensibles au repos.
Ressources humaines, accès et actifs
Preuve attendue : la procédure d'arrivée et de départ, la revue périodique des comptes, et l'inventaire des actifs tenu à jour.
Authentification à plusieurs facteurs
Preuve attendue : le MFA effectivement actif sur les accès distants, l'administration et la messagerie — avec la liste des exceptions et leur justification.
Par où commencer si tout est à faire
Dans l'ordre, et sans hésiter : le MFA sur les accès distants et l'administration, un test de restauration de sauvegarde, et la procédure de déclaration d'incident. Ces trois chantiers coûtent peu, se mesurent, et couvrent les scénarios qui font réellement tomber une entreprise.
Le reste se construit ensuite, dans l'ordre que donne l'audit d'écart.
Ce qu'on vous répond avant que vous demandiez.
Existe-t-il une checklist officielle de l'ANSSI ?
L'ANSSI publie des guides et un espace dédié à NIS 2, mais la liste qui fait foi reste celle de l'article 21 de la directive. Cette page la reprend, avec la preuve attendue pour chaque mesure.
Cette checklist suffit-elle pour être conforme ?
Elle sert à savoir où vous en êtes. La conformité, elle, se démontre par des preuves datées et par la proportionnalité des mesures au risque de votre entreprise — ce qu'une liste à cocher ne peut pas établir seule.
Vous voulez savoir où vous en êtes vraiment ?
Trente minutes pour cadrer votre périmètre et vous dire ce qui manque en priorité. Sans engagement, et sans vous vendre un label qui n'existe pas.
Source : directive (UE) 2022/2555, et FAQ de l'ANSSI pour l'avancement de la transposition française. Cette page est informative et ne constitue pas un conseil juridique.