NIS2 en pratique : ce que les petites structures doivent vraiment préparer

NIS2 est souvent présentée comme une nouvelle liste d’obligations pour « toutes les entreprises ». Cette formulation est trop large. En Belgique, la loi vise principalement des entités d’une certaine taille qui fournissent des services dans des secteurs déterminés, avec plusieurs exceptions.

Une petite ASBL, une commune, un prestataire informatique ou une PME peut néanmoins être concerné de trois manières différentes : directement par la loi, comme fournisseur d’une entité concernée, ou simplement parce que les mesures demandées constituent de bonnes pratiques utiles.

Commencer par le champ d’application, pas par un questionnaire

La loi belge du 26 avril 2024 transpose la directive européenne NIS2. Pour savoir si une organisation est directement concernée, il faut examiner au moins :

• la nature exacte du service fourni ;
• le secteur repris dans les annexes ;
• la taille de l’entité ;
• les entreprises liées ou partenaires ;
• les exceptions applicables ;
• le lieu d’établissement et les règles particulières à certains services.

Le seuil de cinquante personnes ou de dix millions d’euros est souvent cité. Il ne doit pas être utilisé seul. La définition européenne des PME tient compte des effectifs, du chiffre d’affaires, du bilan et parfois des données d’entreprises liées. Certains types d’entités peuvent également être concernés indépendamment de leur taille.

En cas de doute, utilisez les informations et outils du CCB, puis demandez un avis adapté à la structure. Un article général ne remplace pas une analyse juridique.

Une petite structure peut être concernée sans être une entité NIS2

Une organisation soumise à NIS2 doit gérer les risques provenant de sa chaîne d’approvisionnement. Elle demandera donc à ses fournisseurs des garanties sur les accès, les incidents, les sauvegardes, les sous-traitants et la continuité.

Le petit prestataire web d’un hôpital, l’hébergeur d’une commune ou le fournisseur informatique d’un acteur énergétique ne devient pas automatiquement une entité NIS2. Il peut toutefois recevoir des exigences contractuelles plus précises.

Cette distinction est importante. Elle permet de répondre honnêtement :

• « nous sommes directement soumis à NIS2 » ;
• « nous ne sommes pas directement soumis, mais nous appliquons ces contrôles » ;
• « nous devons encore vérifier notre situation ».

Se déclarer conforme sans avoir déterminé son statut crée plus de risque qu’une réponse prudente et documentée.

Le premier livrable est une carte des services

Avant d’acheter un outil, décrivez les services qui doivent continuer :

• messagerie ;
• site et portail client ;
• facturation ;
• dossiers partagés ;
• accès à distance ;
• sauvegardes ;
• fournisseurs cloud ;
• noms de domaine et DNS.

Pour chaque service, indiquez un responsable, un fournisseur, les données traitées, les comptes administrateurs, une durée d’interruption acceptable et la méthode de récupération.

Cette carte répond à une question simple : si ce service disparaît demain, qui sait quoi faire ?

Gouvernance ne signifie pas multiplier les réunions

NIS2 place la responsabilité de la cybersécurité au niveau de la direction. Dans une petite organisation, cela peut prendre une forme très concrète :

• un point trimestriel sur les principaux risques ;
• une validation des priorités et du budget ;
• un responsable nommé ;
• une preuve des décisions prises ;
• une formation adaptée aux personnes qui décident.

La direction n’a pas besoin de configurer un pare-feu. Elle doit comprendre les conséquences d’un risque accepté, vérifier que les actions sont suivies et savoir qui coordonne un incident.

Dix mesures à préparer avant le prochain questionnaire client

Une petite structure peut constituer un dossier utile avec :

1. la liste de ses services et actifs essentiels ;
2. des comptes nominatifs et des droits revus ;
3. une authentification forte pour les accès sensibles ;
4. une procédure d’arrivée et de départ ;
5. des sauvegardes isolées et une restauration testée ;
6. une gestion documentée des mises à jour ;
7. un contact d’urgence chez chaque fournisseur critique ;
8. une procédure de signalement interne ;
9. une page de réponse à incident ;
10. une politique simple pour informer les partenaires concernés.

Ces éléments sont plus convaincants qu’une déclaration générale de conformité. Ils peuvent être montrés, datés et testés.

Les fournisseurs doivent être évalués selon leur rôle

Un service de réservation de salles et un hébergeur qui conserve toutes les données personnelles ne présentent pas le même risque. Adaptez l’évaluation :

• quelles données le fournisseur reçoit-il ;
• peut-il accéder aux systèmes ;
• dépend-il lui-même d’un sous-traitant essentiel ;
• comment annonce-t-il un incident ;
• comment récupérez-vous les données ;
• que se passe-t-il à la fin du contrat ?

Un long questionnaire identique pour tous produit souvent des réponses superficielles. Quelques questions liées au service réel sont plus utiles.

La notification d’incident doit être préparée avant l’incident

Les entités directement soumises à NIS2 doivent notifier certains incidents significatifs selon le processus du CCB. Les délais et informations évoluent au fil de l’incident.

Pour pouvoir notifier correctement, l’organisation doit savoir :

• qui décide qu’un événement est significatif ;
• qui accède au portail ou contacte le CCB ;
• quelles informations peuvent être communiquées ;
• comment préserver la confidentialité ;
• qui informe les clients et partenaires.

Attendre l’incident pour chercher ces réponses fait perdre un temps précieux.

Utiliser CyberFundamentals comme langue commune

Le cadre CyberFundamentals du CCB propose des niveaux de mesures adaptés au risque. Il peut servir à structurer un plan, dialoguer avec un fournisseur et éviter que chaque client invente sa propre définition de la sécurité.

L’objectif n’est pas d’accumuler des documents. Il est de relier chaque mesure à un service, un responsable et une preuve.

Une feuille de route réaliste sur trois mois

Au premier mois, clarifiez le champ d’application, les services essentiels, les responsables et les accès administrateurs.

Au deuxième mois, testez une restauration, corrigez les comptes partagés, activez l’authentification forte et contactez les fournisseurs critiques.

Au troisième mois, organisez un exercice court : perte de messagerie, compte compromis ou indisponibilité de l’hébergeur. Notez ce qui manque et faites valider les priorités par la direction.

Cette progression ne garantit pas à elle seule une conformité légale. Elle construit cependant une base vérifiable et utile, même pour une organisation qui n’entre pas directement dans le champ de NIS2.

Sources officielles

• CCB - La loi NIS2 en Belgique
• CCB - La directive NIS2 : pour qui et pourquoi
• Safeonweb at Work - Informations NIS2
• CCB - CyberFundamentals Framework