La directive (UE) 2022/2555 ne crée pas seulement de nouvelles exigences techniques. Ses articles 20, 21 et 23 imposent une chaîne complète de responsabilité, depuis l’approbation des mesures par l’organe de direction jusqu’à la notification séquencée des incidents significatifs.

L’enjeu consiste désormais à démontrer que le risque cyber est qualifié, traité, supervisé et documenté. Une politique de sécurité générale ne suffit plus.

La mise en conformité doit produire trois livrables.

1. Une note d’assujettissement :

L’analyse doit être menée entité juridique par entité juridique. Elle documente le secteur relevant des annexes I ou II, les seuils de taille, les exceptions applicables, la juridiction compétente et la qualification d’entité essentielle ou importante.

2. Une matrice de contrôles fondée sur l’article 21 :

Chaque exigence doit être reliée à un actif, un risque, un responsable, une mesure de maîtrise et une preuve d’exécution. La matrice couvre notamment la gestion des incidents, la continuité, les sauvegardes, la sécurité de la chaîne d’approvisionnement, la gestion des vulnérabilités, la cryptographie, le contrôle des accès et l’évaluation périodique de l’efficacité des mesures.
Pour les fournisseurs concernés, le règlement d’exécution (UE) 2024/2690 fournit un niveau supplémentaire de détail sur les politiques, procédures et contrôles attendus.

3. Un protocole de notification chronométré

Le dispositif doit permettre de transmettre une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le délai d’un mois prévu par l’article 23.

Il doit définir le point de départ de la « prise de connaissance », le circuit d’escalade, les responsabilités de qualification et l’articulation avec le RGPD, DORA et les obligations contractuelles ou sectorielles.

La gouvernance complète ce dispositif. L’organe de direction doit approuver les mesures, superviser leur mise en œuvre et conserver la trace de ses arbitrages, formations et acceptations de risques résiduels.

Le livrable central de NIS2 est un registre de conformité reliant chaque obligation à un contrôle, un responsable, une preuve, une fréquence de test et un plan de remédiation.

La conformité ne se mesure plus au nombre de politiques internes, mais à la capacité de démontrer que les contrôles fonctionnent et que l’organisation peut notifier un incident dans les délais imposés.