Vos prestataires sont-ils le maillon faible de votre conformité ?
Sécurisez et tracez les accès distants de vos sous-traitants pour répondre aux exigences du ReCyF et de NIS 2.
Des milliers d’entreprises, hier épargnées, sont désormais soumises à des obligations de cybersécurité strictes. Pourquoi s’intéresser à la directive NIS 2 et au ReCyF aujourd’hui ? Parce que ce n’est plus un sujet exclusivement technique : c’est un enjeu stratégique majeur qui engage directement la responsabilité pénale et financière des dirigeants.
- Qu’est-ce que la directive NIS 2 ?
- Qui est concerné ? Entités essentielles et importantes
- Le ReCyF et l’Objectif 3 : la bombe à retardement des tiers
- Notification des incidents en 3 étapes chronométrées
- Sanctions et enjeux vitaux pour les dirigeants
- L’accès distant : le point de contrôle critique (Reemo)
- Focus France : le calendrier et l’ANSSI
1. Qu’est-ce que la directive NIS 2 ?
La directive NIS 2 (officiellement la directive (UE) 2022/2555) est la nouvelle législation européenne de référence en matière de cybersécurité. Elle vient remplacer et durcir la première directive NIS de 2016 (NIS 1).
Son objectif principal ? Harmoniser et élever le niveau de résilience cyber de l’ensemble du marché intérieur face à l’explosion des ransomwares. Concrètement, NIS 2 impose des règles strictes en matière de gestion des risques cyber, de sécurisation de la chaîne d’approvisionnement et de notification des incidents.
La grande différence avec NIS 1 réside dans son périmètre. Là où NIS 1 visait principalement les opérateurs de services essentiels (énergie, banques, hôpitaux), NIS 2 élargit massivement son champ d’application à 18 secteurs d’activité, touchant désormais de très nombreuses PME et ETI.
2. Qui est concerné ? Entités essentielles et importantes
La directive NIS 2 abandonne l’approche « sur désignation » de NIS 1 (où l’État notifiait individuellement chaque entreprise). Elle adopte une règle de taille : si votre organisation opère dans l’un des 18 secteurs listés et dépasse certains seuils (généralement plus de 50 employés et plus de 10 millions d’euros de chiffre d’affaires annuel), vous êtes automatiquement concerné.
NIS 2 divise ces organisations en deux grandes catégories, selon le degré de criticité de leur activité :
🏢 Les Entités Essentielles (EE)
- Secteurs hautement critiques : Énergie, Transports, Banque, Santé, Eau potable, Infrastructures numériques, Administration publique, Espace.
- Taille : Généralement les grandes entreprises (>250 employés, ou CA >50M€).
- Niveau de supervision : Contrôle ex ante (a priori) et ex post (a posteriori) par les autorités.
🏭 Les Entités Importantes (EI)
- Secteurs critiques (nouveaux entrants) : Services postaux, Gestion des déchets, Chimie, Agroalimentaire, Dispositifs médicaux, Fournisseurs numériques, Recherche.
- Taille : Moyennes entreprises (50 à 250 employés, ou CA entre 10M€ et 50M€).
- Niveau de supervision : Contrôle ex post uniquement (contrôle déclenché suite à un incident ou un signalement).
* Note : Certaines entités hautement critiques (ex: fournisseurs de réseaux télécoms publics, administration centrale) sont assujetties indépendamment de leur taille.
3. Le ReCyF et l’Objectif 3 : la bombe à retardement des tiers
Pour comprendre comment NIS 2 s’appliquera concrètement en France, il faut lire le ReCyF (Référentiel des exigences de Cybersécurité Français), le document de travail de l’ANSSI. Ce qui doit alerter les DSI et directions des risques se trouve dans l’Objectif de sécurité 3 : « Maîtrise de l’écosystème ».
Ce point est applicable à toutes les entités (essentielles et importantes) sans exception. Il prouve que NIS 2 ne s’arrête pas à votre périmètre direct, mais descend dans votre chaîne de prestataires.
- Cartographie exhaustive : Une liste à jour de l’ensemble de vos prestataires informatiques, y compris ceux avec lesquels la relation est « de fait » (un fournisseur qui accède à vos systèmes sans contrat formalisé entre dans le périmètre).
- Points de contact : Une base vivante avec un point de contact renseigné pour chaque entrée de cette cartographie (pas un simple fichier Excel statique).
- Assurances contractuelles : Vos prestataires doivent s’engager à respecter leurs obligations NIS 2. Votre conformité dépend directement de celle de vos tiers (principe de cascade).
- Vérification périodique : Une surveillance continue de la conformité de vos fournisseurs, pouvant aller jusqu’à l’exigence d’audits.
« L’Objectif 3 crée une obligation de surveillance continue de votre écosystème, pas un simple état des lieux annuel. Si vous donnez un accès distant à un prestataire non maîtrisé, vous êtes en infraction. »
4. Notification des incidents en 3 étapes chronométrées
En cas d’incident « important », l’organisation a l’obligation légale de notifier l’autorité compétente selon un calendrier extrêmement serré.
1. L’alerte précoce
Signalement d’urgence dans les 24h pour indiquer si l’incident est soupçonné d’être malveillant ou s’il a un impact transfrontalier.
2. La notification d’incident
Mise à jour incluant une évaluation initiale de l’incident, de sa gravité et de son impact (ex: « 3 serveurs critiques chiffrés »).
3. Le rapport final
Description complète de l’attaque (Indicateurs de Compromission), conséquences exactes et mesures d’atténuation appliquées.
* Note : Cette procédure ne s’applique qu’aux « incidents importants » (perturbations graves, pertes financières ou dommages matériels significatifs).
5. Sanctions et enjeux vitaux pour les dirigeants
Avec NIS 2, la cybersécurité sort définitivement de la DSI pour s’installer sur le bureau de la Direction Générale. Les sanctions prévues sont dissuasives et alignées sur la logique du RGPD.
- Entités Essentielles : Amendes pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu).
- Entités Importantes : Amendes pouvant atteindre 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial.
- Responsabilité personnelle : Les autorités peuvent demander la suspension temporaire d’un dirigeant (Directeur Général, membre du Comex) de ses fonctions si l’entreprise refuse de se conformer.
* Note : La directive stipule explicitement que c’est de manière systématique le montant le plus élevé entre le plafond forfaitaire et le pourcentage du CA qui est retenu.
6. L’accès distant : le point de contrôle critique (Reemo)
Si l’Objectif 3 du ReCyF vous oblige à cartographier vos prestataires, la question technique suivante est : comment sécurisez-vous concrètement leurs accès à votre SI ? Les VPN obsolètes et les accès non tracés sont désormais considérés comme des fautes de gestion. C’est ici que Reemo intervient.
Pratiques sanctionnables (NIS 2 / ReCyF)
- Accès RDP ou VPN sans MFA
- Accès prestataires (« de fait » ou contractuels) non tracés
- Aucun journal vidéo en cas d’incident
- Mouvements latéraux possibles depuis le poste tiers
Conformité avec Reemo Bastion+
- MFA obligatoire et architecture Zero Trust
- Accès fournisseurs « Just-In-Time » limités dans le temps
- Enregistrement vidéo complet pour prouver les actions du tiers
- Air-Gap logique empêchant la propagation de malwares
7. Focus France : le calendrier et l’ANSSI
En France, la transposition de NIS 2 est prévue pour la fin de l’année 2026. C’est l’ANSSI qui pilote son application et mènera les contrôles.
L’urgence est réelle : n’attendez pas la publication finale. L’ANSSI a déjà ouvert le guichet de pré-enregistrement MonEspaceNIS2. Si vous êtes une entité importante ou essentielle et que vous n’avez pas encore commencé à cartographier et sécuriser vos accès tiers, le ReCyF vient de vous donner votre calendrier.
Conclusion : la conformité comme avantage compétitif
NIS 2 n’est pas qu’une contrainte, c’est un électrochoc nécessaire. Attendre le contrôle de l’ANSSI pour agir est la pire des stratégies. En initiant dès aujourd’hui la sécurisation de vos portes d’entrée numériques (comme les accès de vos sous-traitants), vous protégez votre business et vous vous démarquez dans les appels d’offres.
Laisser un commentaire