SchildmarkNIS2
NIS2 : les mesures techniques, et la preuve que vous les avez prises
NIS2 impose aux entités essentielles et importantes de gérer le risque cyber par des mesures appropriées et de signaler les incidents importants sous 24 heures. Schildmark prend en charge la détection, la réponse, les correctifs et la journalisation, et conserve les traces qu’un auditeur ou l’autorité demandera.
Ce que NIS2 exige sur le plan technique
L’article 21, paragraphe 2, de la directive (UE) 2022/2555 énumère dix domaines de mesures, de l’analyse des risques à l’authentification multifacteur. Voici ceux où la détection et la réponse font un vrai travail. L’article 23 fixe les délais de notification.
- Art. 21, § 2, b) Gestion des incidents
- Détecter les incidents, les évaluer, les contenir et s’en rétablir.
- Art. 21, § 2, e) Gestion des vulnérabilités
- Volet de la sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris le traitement et la divulgation des vulnérabilités. Savoir quelles vulnérabilités vous avez, et les corriger.
- Art. 21, § 2, f) Évaluer l’efficacité
- Des politiques et procédures pour vérifier que vos mesures de gestion des risques fonctionnent réellement.
- Art. 21, § 2, g) Hygiène informatique de base
- Pratiques de base en matière de cyberhygiène et formation à la cybersécurité. Des machines à jour et bien configurées en sont le cœur.
- Art. 23 Notification
- Pour un incident important : une alerte précoce sans retard injustifié et dans les 24 heures suivant sa découverte ; une notification d’incident dans les 72 heures, avec une première évaluation et, le cas échéant, les indicateurs de compromission ; un rapport final au plus tard un mois après la notification.
Qui est concerné
Les entités des secteurs des annexes I et II, de l’énergie, des transports, de la banque, de la santé et des infrastructures numériques à l’industrie manufacturière, l’alimentaire, la chimie et les fournisseurs numériques, qui comptent au moins 50 salariés, ou dont le chiffre d’affaires annuel et le total du bilan dépassent chacun 10 millions d’euros. Certaines sont concernées quelle que soit leur taille : fournisseurs de communications électroniques publiques, prestataires de services de confiance, registres de domaines de premier niveau et fournisseurs de services DNS.
Les grandes entités des secteurs de l’annexe I sont en général des entités essentielles, la plupart des autres des entités importantes. Les mesures techniques sont les mêmes ; la supervision et les sanctions diffèrent.
Allemagne et France
- Allemagne
- La loi NIS2UmsuCG s’applique depuis décembre 2025 et a refondu la loi sur le BSI (BSIG) : le § 30 liste les mesures, le § 32 les notifications à 24 heures, 72 heures et un mois, le § 38 rend la direction responsable de leur mise en œuvre et de leur suivi, avec une formation régulière. Selon le § 33, les entités s’enregistrent auprès du BSI ; le délai légal est dépassé et le BSI invite les entités non enregistrées à le faire sans attendre.
- France
- Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2, a été adopté par le Sénat en mars 2025 et, en novembre 2026, n’est pas encore définitivement adopté. L’ANSSI indique que les obligations s’appliqueront une fois la loi et ses textes d’application publiés. Les mesures suivront la directive : beaucoup d’entités s’y préparent déjà.
Exigence, mise en œuvre, preuve
Chaque ligne décrit ce que le produit fait aujourd’hui. Le pack de preuves est un ZIP de fichiers CSV pour la période choisie.
| Exigence | Ce que fait Schildmark | Preuve produite |
|---|---|---|
| Gestion des incidents | Alertes des machines Windows, macOS et Linux, des sondes réseau, des pare-feu, de Microsoft 365, d’AWS et de Google Cloud dans une seule liste, avec une seule échelle de gravité. Blocage de l’adresse attaquante sur votre propre pare-feu, depuis l’alerte, une règle ou l’analyste ; une règle peut attendre une approbation humaine. | Chaque alerte avec sa règle, sa technique MITRE, ses machines et son heure ; chaque blocage avec qui, quand et pourquoi dans le journal d’audit ; audit_trail.csv. |
| Notifications à 24 et 72 heures | Les faits dont les notifications ont besoin : l’heure de la première alerte, les machines, les adresses sources, ce qui a été bloqué. L’analyste les résume en langage clair à votre demande. Schildmark ne décide pas si un incident est important et ne dépose pas la notification. | Détail des alertes avec la ligne de journal ; adresses sources comme indicateurs de compromission ; journal d’audit de la période. |
| Gestion des vulnérabilités | Paquets vulnérables recoupés avec les données des éditeurs et de la NVD, les vulnérabilités exploitées en premier. Chaque correctif est répété sur la machine, approuvé, installé dans la version exacte, et compté comme fait seulement quand la vulnérabilité est confirmée corrigée. Un correctif impossible devient un risque accepté, avec responsable, justification et échéance. | vulnerabilities_fixed.csv avec la preuve de vérification ; patch_activity.csv avec approbations, refus et exécutions. |
| Efficacité et cyberhygiène | Contrôles de configuration CIS sur chaque machine, relus toutes les 10 minutes, et un avertissement si les journaux sont conservés moins longtemps qu’un référentiel ne l’attend. | configuration_scores.csv, configuration_checks.csv, et l’écart de conservation dans README.txt. |
La page conformité n’a pas d’onglet NIS2 : le pack de preuves contient les mêmes enregistrements quel que soit le référentiel. En savoir plus : détection, correctifs vérifiés, page conformité et pack de preuves, et dans la documentation : Conformité, Correctifs.
Ce que Schildmark ne couvre pas
NIS2 est surtout une obligation organisationnelle. Ces volets restent les vôtres, ceux de votre SMSI ou d’un consultant.
- Analyse des risques et politiques
- L’analyse des risques et les politiques de sécurité du point a), et le choix des mesures proportionnées.
- Continuité et sauvegarde
- Continuité d’activité, sauvegarde de vos systèmes, reprise après sinistre et gestion de crise. Schildmark sauvegarde sa propre instance, pas vos systèmes.
- Chaîne d’approvisionnement
- L’évaluation des fournisseurs et prestataires, et les clauses de sécurité de leurs contrats.
- Personnes et accès
- La formation, la sécurité des ressources humaines, le contrôle d’accès et la gestion des actifs, la cryptographie, l’authentification multifacteur de vos utilisateurs, et une politique de divulgation des vulnérabilités.
- Direction et autorités
- L’approbation, le suivi, la formation et la responsabilité de la direction, l’enregistrement auprès de l’autorité et le dépôt des notifications.
Comment se déroule le déploiement
En général quelques jours, pas des mois. Rien n’est installé sur vos pare-feu.
Choisir l’hébergement
Hébergé par nous, ou sur un ou deux de vos serveurs Linux. Dans les deux cas, une instance qui n’appartient qu’à vous.
Enrôler les machines
Une commande par machine sous Windows, macOS et Linux, ou un MSI pour Intune, Configuration Manager ou les stratégies de groupe.
--patchingajoute les correctifs.Connecter le reste
Journaux des pare-feu, Microsoft 365, AWS et Google Cloud, et les pare-feu sur lesquels bloquer, configurés dans la console.
Régler la conservation, puis rendre compte
Réglez la durée de conservation des journaux, puis exportez le pack de preuves pour la période de votre notification ou de votre audit.
Questions fréquentes
NIS2 impose-t-elle un SOC ?
Non. La directive ne cite ni SOC ni produit. Elle exige des mesures appropriées et proportionnées, dont la gestion des incidents, et la notification des incidents importants sous 24 heures. En pratique, il faut détecter vite un incident et pouvoir reconstituer ce qui s’est passé, avec votre équipe, un prestataire ou une plateforme comme Schildmark.
Un EDR suffit-il pour NIS2 ?
Aucun outil ne suffit seul. La détection sur les postes couvre une partie de la gestion des incidents. NIS2 attend aussi la gestion des vulnérabilités, l’évaluation de l’efficacité des mesures, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, la formation, la cryptographie, le contrôle d’accès et l’authentification multifacteur, sous la responsabilité de la direction. Schildmark couvre la détection, la réponse, les correctifs vérifiés et les preuves ; le reste relève de votre SMSI.
Dans quel délai faut-il notifier un incident selon NIS2 ?
Pour un incident important : une alerte précoce sans retard injustifié et au plus tard 24 heures après en avoir eu connaissance, une notification d’incident dans les 72 heures, puis un rapport final au plus tard un mois après la notification. Si l’incident est toujours en cours à cette date, un rapport intermédiaire est remis, et le rapport final suit une fois l’incident traité.
Mon entreprise est-elle concernée par NIS2 ?
Sont concernées les entités des secteurs des annexes I et II de la directive qui comptent au moins 50 salariés, ou dont le chiffre d’affaires annuel et le total du bilan dépassent chacun 10 millions d’euros, ainsi que certaines entités quelle que soit leur taille, comme les fournisseurs de services DNS, les registres de noms de domaine de premier niveau et les prestataires de services de confiance. La loi française de transposition fixera les détails.
Schildmark suffit-il pour la mise en conformité NIS2 ?
Aucun produit ne suffit. Schildmark met en œuvre et trace les mesures techniques de gestion des incidents, de gestion des vulnérabilités et d’évaluation de l’efficacité, et exporte les preuves d’une période. Le caractère approprié de vos mesures s’apprécie au regard de votre analyse de risques, par vous et par l’autorité de contrôle.
Vous préparez NIS2 ?
Indiquez-nous votre secteur, vos machines et vos pare-feu. Nous vous montrons quelles mesures Schildmark couvre chez vous et lesquelles restent du ressort de votre SMSI. Tarif par machine protégée.