NIS 2 : les dix mesures de gestion des risques, lues pour une TPE

Mesures de gestion des risques : le principe avant la liste

La directive (UE) 2022/2555, lue sur EUR-Lex le 14 septembre 2026, demande des mesures « techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information » utilisés par l'entité, et « pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d'autres services ».

Le mot « proportionnées » n'est pas décoratif : la directive précise ce qui module l'exigence. Il faut tenir compte « de l'état des connaissances » et « du coût de mise en œuvre », et « du degré d'exposition de l'entité aux risques, de la taille de l'entité et de la probabilité de survenance d'incidents et de leur gravité ». Une TPE et un opérateur national ne sont pas tenus au même niveau d'effort pour la même famille de mesure.

L'approche est globale : les mesures « sont fondées sur une approche «tous risques» qui vise à protéger les réseaux et les systèmes d'information ainsi que leur environnement physique contre les incidents ». L'environnement physique compte donc autant que le pare-feu.

Les dix familles, telles que la directive les écrit

L'article 21, paragraphe 2, énumère ce que les mesures comprennent « au moins ». Chaque ligne du tableau est le texte même de la directive.

Pourquoi une TPE hors champ a intérêt à la lire

Le point d) est celui par lequel la directive atteint les entreprises qu'elle ne vise pas. Les entités assujetties doivent tenir compte « des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé ».

Traduit en pratique : le questionnaire de sécurité qu'un grand donneur d'ordre envoie à ses prestataires est construit sur cette liste. La connaître, c'est savoir ce qui sera demandé — et pouvoir répondre sans y passer une semaine. Le sujet du périmètre est traité sur notre page sur NIS 2 et la chaîne d'approvisionnement.

Sept des dix familles ont déjà leur page chez nous, parce qu'elles valent pour toute entreprise : les sauvegardes, les mots de passe, les mises à jour, l'antivirus, la conduite à tenir en cas de cyberattaque, l'hameçonnage et le socle du dirigeant.

Ce que la directive attend quand on n'est pas conforme

La directive ne s'arrête pas à l'obligation : elle règle le cas du manquement constaté par l'entité elle-même. « lorsqu'une entité constate qu'elle ne se conforme pas aux mesures prévues au paragraphe 2, elle prenne, sans retard injustifié, toutes les mesures correctives nécessaires appropriées et proportionnées. »

Autrement dit, l'autoévaluation n'est pas neutre : constater un écart déclenche une obligation d'agir. C'est aussi ce qui rend utile la famille f), les procédures « pour évaluer l'efficacité des mesures » — sans elle, on ne constate jamais rien.

Ce que cette page ne dit pas

Elle ne dit pas qui est assujetti — c'est l'objet d'une autre page — ni quelles exigences techniques les actes d'exécution de la Commission ont fixées pour les fournisseurs de services numériques. Elle ne traite ni les mesures de supervision, ni les amendes, ni la transposition française. Directive lue sur EUR-Lex le 14 septembre 2026, dans le texte publié au Journal officiel de l'Union européenne.