NIS2 : 90 jours pour sécuriser sa PME en Île-de-France
Actualité du 14 août 2026
[CTA2]
Pourquoi parle-t-on de NIS2 et qui est concerné ?
La directive européenne NIS2 renforce les exigences de cybersécurité pour un large éventail d’organisations (énergie, santé, transport, services numériques, administrations, et leurs écosystèmes). Même si votre entreprise ne relève pas directement d’un secteur “essentiel” ou “important”, vous pouvez être indirectement concerné : de plus en plus de donneurs d’ordre demandent des garanties tangibles à leurs fournisseurs et sous‑traitants (gestion des accès, sauvegardes testées, réponse à incident, suivi des mises à jour). Le cœur de NIS2 est opérationnel : évaluer les risques, appliquer des mesures techniques et organisationnelles proportionnées, maîtriser la chaîne d’approvisionnement, journaliser les événements clés, et notifier rapidement les incidents majeurs (souvent 24 à 72 h selon les règles nationales). L’objectif est la progression continue et la traçabilité des actions, plus que la perfection immédiate.
Les bonnes questions à se poser avant d’agir
Quelles sont mes fonctions vitales et mes données critiques ?
Identifiez les activités qui, si elles s’arrêtent, paralysent l’entreprise (facturation, agenda, production, ventes). Associez à chaque activité les systèmes et jeux de données concernés (ERP, messagerie, CRM, dossiers patients, réservations, plans, secrets commerciaux) afin de prioriser les protections.
Où sont mes plus gros risques aujourd’hui ?
Cartographiez vos accès distants, votre Wi‑Fi, vos postes non à jour et l’absence de MFA sur les comptes sensibles. Les menaces les plus courantes restent le phishing, le rançongiciel et l’exploitation de failles non corrigées, souvent via des services exposés ou des plugins oubliés.
Que faut-il être capable de prouver en cas d’incident ?
Votre aptitude à détecter (journaux, alertes), répondre (procédures, rôles, contacts), et rétablir (sauvegardes restaurées à blanc) rapidement. NIS2 valorise ce qui est vérifiable : qui a accès à quoi, quels correctifs appliqués, quels tests et quand, avec quels résultats.
Feuille de route 90 jours, pragmatique et réaliste
Jours 0–30 : connaître son parc et réduire l’exposition
Première étape : obtenir une vue claire de l’existant et fermer les portes les plus exposées. L’idée est de diminuer vite la surface d’attaque sans perturber l’activité.
- Inventaire rapide : postes, serveurs, NAS, routeurs, logiciels, comptes administrateurs.
- Correctifs prioritaires : mettez à jour OS, navigateurs, VPN, routeurs/box.
- MFA sur messagerie et comptes d’administration (Microsoft 365, Google Workspace, VPN, outils métiers).
- Durcissement de base : désactiver comptes inactifs, limiter le bureau à distance exposé, séparer comptes admin/usagers.
Jours 31–60 : assurer la résilience et la détection
Deuxième étape : garantir qu’un incident n’entraîne pas l’arrêt prolongé de l’activité et que les signaux faibles deviennent visibles et exploitables.
- Sauvegardes 3‑2‑1‑1‑0 : 3 copies, 2 supports différents, 1 hors site, 1 immuable/isolée, 0 erreur vérifiée par test de restauration.
- Antivirus/EDR unifié et supervision des alertes critiques.
- Journalisation centralisée (connexions, accès admin, changements critiques) avec rétention minimale définie.
- Segmentation simple : séparer Wi‑Fi invités/production, limiter les accès d’un poste à l’autre.
Jours 61–90 : formaliser et s’entraîner
Troisième étape : documenter les réflexes et valider les temps de reprise. Un entraînement minimal vaut mieux qu’un plan parfait jamais testé.
- Procédure d’incident (qui fait quoi, qui prévenir, quels délais, modèle de journal d’événement).
- Test de restauration : restaurer un fichier/une VM témoin et consigner le RTO/RPO obtenus.
- Exercice phishing pédagogique et courte formation anti‑fraude (vigilance IBAN, pièces jointes).
- Gestion des fournisseurs : liste des prestataires clés, contacts d’urgence, exigences minimales (MFA, chiffrement, sauvegardes).
Checklist essentielle à imprimer
Servez-vous de cette liste comme d’un fil conducteur mensuel. Cochez, datez et gardez une trace : cette preuve d’effort continu compte lors d’un audit ou après incident.
- Inventaire du parc et des comptes à jour
- Mises à jour automatiques activées sur OS et navigateurs
- MFA activé pour messagerie, VPN, comptes admin
- Sauvegardes 3‑2‑1‑1‑0 testées et documentées
- Solution EDR/antivirus déployée et console surveillée
- Wi‑Fi invités séparé, mots de passe forts et renouvelés
- Journalisation activée sur serveurs, annuaires, VPN, M365
- Procédure d’incident, contacts, et exercice annuel planifié
Comparer ses options d’organisation
Internaliser totalement, externaliser à un prestataire local, ou combiner les deux : le bon choix dépend de votre taille, de vos risques et de vos contraintes budgétaires.
| OPTION | FORCES | POINTS DE VIGILANCE | COÛT RELATIF |
|---|---|---|---|
| Équipe interne | Maîtrise fine du contexte, réactivité locale | Besoins en veille/formation continue, charge variable | Moyen à élevé |
| Prestataire local | Compétences mutualisées, astreinte possible, retour d’expérience | Qualité de contrat (SLA, réversibilité), transparence des journaux | Variable |
| Modèle hybride | Équilibre coût/maîtrise, transfert de savoir‑faire | Bonne répartition des rôles, gouvernance claire | Optimisé |
Exemples concrets pour se situer
Chaque secteur a ses priorités. Voici des configurations typiques, utiles pour vous comparer et ajuster vos mesures sans sur‑ ou sous‑protéger.
- Cabinet de santé : priorité à la protection des données sensibles (MFA généralisé, chiffrement des postes, sauvegardes immuables, journalisation des accès dossiers), procédure de notification documentée.
- Hôtellerie/restauration : segmentation réseau (PMS/CB vs Wi‑Fi invités), durcissement des systèmes d’encaissement, supervision des accès distants des fournisseurs.
- Artisanat/PME locale : mise à jour des routeurs, MFA sur la messagerie et l’outil de devis/facturation, sauvegarde externalisée quotidienne, exercice “perte d’un poste” et restauration.
Indicateurs simples pour piloter la sécurité
Quelques métriques, suivies chaque mois, suffisent pour objectiver vos progrès et alimenter les décisions (priorités, budgets, arbitrages).
| INDICATEUR | CIBLE | UTILITÉ |
|---|---|---|
| Taux de correctifs critiques déployés sous 7 jours | > 95 % | Réduit le risque d’exploitation |
| Taux de sauvegardes réussies | 100 % avec tests mensuels | Assure la reprise |
| Couverture MFA des comptes sensibles | 100 % | Limite l’usurpation |
| Incidents détectés et consignés | Suivi mensuel | Alimente l’amélioration continue |
Tendances à suivre en 2026
Assureurs : exigences renforcées de MFA, sauvegardes immuables et plans de réponse pour maintenir les garanties. Posture “zero trust” : vérification continue des identités et des appareils plutôt que la seule défense périmétrique. Cloud/M365 : durcissement des configurations (MFA conditionnel, règles anti‑exfiltration, journaux unifiés). Authentification sans mot de passe : essor des passkeys pour réduire le phishing. Automatisation : patching centralisé et scripts de réponse pour gagner en rapidité et constance. Pour un panorama officiel de NIS2, voir la présentation de la Commission européenne et les bonnes pratiques nationales pour les PME françaises (Cybermalveillance.gouv.fr) : NIS2 sur digital‑strategy · Bonnes pratiques cybersécurité.
Ressources internes pour approfondir
Pour aller plus loin avec des contenus complémentaires, voici une sélection de guides et pages utiles déjà publiés sur le site ; ils prolongent cet article par des angles pratiques (sauvegarde, outillage, télémaintenance, cadrage NIS2).
- Conformité NIS2 pour TPE/PME en Île‑de‑France
- Sécurisation des données et sauvegarde
- Sauvegarde de serveur Val‑d’Oise 95 – PRA et sauvegarde 3‑2‑1
- Outils de maintenance informatique à distance
- Télémaintenance et sur site : le bon mix PME
FAQ express
Je n’ai pas de service IT dédié : par où commencer ?
Par un état des lieux (inventaire, MFA, mises à jour), puis par des sauvegardes testées. Le reste peut progresser par étapes, sans “big bang”.
Dois-je viser la conformité parfaite immédiatement ?
Non. NIS2 valorise la proportionnalité et la traçabilité. Une feuille de route claire, avec preuves d’avancement, est déjà un signal fort.
Combien de temps garder les journaux ?
Visez plusieurs mois glissants pour enquêter utilement, en respectant vos contraintes légales et votre taille. L’essentiel est de pouvoir reconstituer les événements critiques.
FAQ – 10 questions fréquentes sur NIS2
Pour structurer vos démarches et répondre aux interrogations les plus courantes, voici une liste de questions fréquemment posées par les dirigeants et responsables IT au démarrage.
- Suis-je concerné par NIS2 et selon quels critères (secteur, taille, dépendance à des clients régulés) ?
- Qu’est-ce qu’un incident “significatif” au sens de NIS2 et dans quels délais dois-je le notifier ?
- Quelles preuves conserver pour démontrer ma conformité (politiques, journaux, tests de restauration, comptes rendus) ?
- Comment prioriser MFA, sauvegardes et EDR avec un budget limité sans perdre en efficacité ?
- Combien de temps conserver les journaux et quelles sources tracer en priorité (VPN, annuaire, messagerie, cloud) ?
- Comment gérer les accès prestataires et les comptes partagés pour limiter les abus et l’ombre IT ?
- Quelles clauses de sécurité intégrer dans mes contrats fournisseurs pour adresser la chaîne d’approvisionnement ?
- Comment articuler NIS2 avec le RGPD, l’ISO 27001 et mon contrat d’assurance cyber ?
- Quels indicateurs suivre chaque mois pour piloter l’amélioration continue (patchs, sauvegardes, MFA, incidents) ?
- Quel planning 30/60/90 jours type adopter pour démarrer sans perturber l’activité ?
Un devis ?
Envie d’aller plus loin ? Découvrez d’autres contenus, posez vos questions et partagez vos retours d’expérience : la maturité cyber se construit pas à pas, ensemble.
