NIS2 : construire votre plan de sécurité à partir du terrain
NIS2 concerne la manière de piloter la cybersécurité, de gérer les risques et de préparer la réponse aux incidents. Samhan vous aide à relier cette démarche à vos activités, à votre système d’information et aux actions que vos équipes devront mener.
Trois questions pour préparer le premier échange
Vous n’avez pas besoin d’un dossier complet pour commencer. Nous partons des informations disponibles et identifions ce qui reste à vérifier.
Quelle activité faut-il préserver ?
Décrivez vos services, les interruptions difficiles à supporter et les dépendances envers vos prestataires.
Sur quels systèmes repose-t-elle ?
Rassemblez les inventaires, les schémas réseau, les applications et les principaux chemins d’accès connus.
Qui peut décider et agir ?
Identifiez les responsables métiers, les équipes techniques et les personnes qui peuvent fixer les priorités.
Pour le premier contact, décrivez le contexte sans joindre de secrets ni d’exports de configuration. Les modalités de partage des informations techniques sont convenues lors du cadrage.
Relier les décisions d’organisation aux contrôles techniques
Définir le périmètre et les responsabilités
Clarifier les activités, les systèmes, les interlocuteurs et les références à examiner. Formaliser les rôles, les politiques de sécurité et les décisions à prendre.
Qualifier les risques et les écarts
Examiner les dépendances métier, la documentation et les protections existantes. Distinguer les constats vérifiés, les informations manquantes et les contrôles à compléter.
Choisir et mettre en œuvre les mesures
Prioriser les actions selon les risques, les contraintes d’exploitation et les moyens disponibles. Accompagner les travaux d’architecture, de segmentation, de contrôle des accès et de durcissement retenus.
Organiser les preuves et le suivi
Documenter les choix, préparer les éléments justificatifs et définir comment vérifier les corrections. Restituer les résultats aux responsables et aux équipes qui exploiteront les solutions.
Examiner un accès d’administration de bout en bout
Un exemple illustratif pour comprendre la démarche, à adapter à votre environnement.
Une procédure décrit les droits d’un prestataire. La revue technique cherche aussi à comprendre le chemin réellement emprunté : point d’entrée, authentification, bastion éventuel, compte utilisé et ressource administrée.
Les questions portent sur les droits accordés, la séparation des accès, la durée des autorisations et les traces disponibles. Les décisions peuvent concerner les règles d’accès, l’architecture ou les pratiques d’exploitation.
Le résultat attendu est un ensemble documenté : constat, risque examiné, mesure retenue et moyen de vérifier sa mise en œuvre. Le contrôle des accès devient ainsi un chantier que vos équipes peuvent suivre.
Un plan d’action qui précise les décisions et leur suite
Les livrables et leur niveau de détail sont définis avec vous avant l’intervention.
Un état de départ documenté
Périmètre, références examinées, analyse de risques, écarts observés et limites des vérifications.
Des actions à prioriser
Priorités, dépendances, responsables à désigner et modalités de mise en œuvre des mesures.
Des éléments à maintenir
Politiques, procédures, justificatifs et critères de vérification utiles au suivi des corrections.
Les missions anonymisées présentent l’expérience de Thomas Sautier en architecture, migration et contrôle des accès. Elles illustrent le travail technique ; elles ne constituent pas une attestation de conformité NIS2.
Confirmer les références qui concernent votre organisation
NIS2 est une directive européenne. Les textes de transposition précisent le cadre national ; le Référentiel Cyber France (ReCyF) publié par l’ANSSI fournit des objectifs et des mesures pour préparer la sécurisation.
Votre secteur, vos activités, vos effectifs et vos données financières sont à examiner ensemble. Des exceptions et des dispositions propres à certaines activités existent. Le simulateur de l’ANSSI constitue un premier repère pour préparer cet examen.
Situation consultée le 1 octobre 2026 : l’ANSSI indique que la transposition française est en cours. Le ReCyF v2.5 du 17 mars 2026 reste un document de travail susceptible d’évoluer. Le cadre et le périmètre applicables doivent être confirmés pour chaque mission.
Le document de travail distingue les entités importantes (EI), avec les objectifs 1 à 15, et les entités essentielles (EE), avec les objectifs 1 à 20 et certaines mesures renforcées. Certaines activités relèvent d’un règlement européen spécifique.
Les conclusions portent sur les systèmes et les références convenus. Elles doivent être réexaminées si les textes, votre activité ou votre système d’information évoluent.
Consulter les sujets couverts par le ReCyF
Les numéros ci-dessous renvoient au document ANSSI. Les libellés courts sont une aide de lecture Samhan ; ils ne remplacent pas les objectifs ni leurs mesures détaillées.
Afficher les 20 objectifs du document de travail
- Inventorier les activités et SI
- Organiser le pilotage de la sécurité
- Connaître ses prestataires et dépendances
- Intégrer la sécurité aux pratiques RH
- Connaître et maintenir son SI
- Contrôler les accès aux locaux
- Cloisonner et filtrer les réseaux
- Protéger les connexions à distance
- Se protéger des logiciels malveillants
- Gérer les comptes et leurs droits
- Encadrer les opérations d’administration
- Identifier et traiter les incidents
- Préparer la continuité et la reprise
- Organiser la gestion de crise
- Tester et entraîner les équipes
- Piloter par l’analyse de risques — EE uniquement
- Évaluer la sécurité par des audits — EE uniquement
- Durcir les configurations — EE uniquement
- Dédier des ressources à l’administration — EE uniquement
- Surveiller les événements de sécurité — EE uniquement
Sources officielles consultées le 1 octobre 2026 : ANSSI — démarche NIS2 et ReCyF v2.5 du 17 mars 2026 (PDF).
Quelles priorités retenir pour votre démarche NIS2 ?
Décrivez votre activité, vos systèmes et les travaux déjà engagés. Nous définirons les sujets à examiner et les éléments attendus.