Ce blog explique comment la Cyber Threat Intelligence soutient la conformité NIS2 en France, en abordant la gestion des risques, la notification des incidents, l’ANSSI, le ReCyF, les vulnérabilités, la chaîne d’approvisionnement, la gouvernance, la formation et la préparation opérationnelle en cybersécurité.
Les organisations ne peuvent pas gérer efficacement les risques cyber en se fondant uniquement sur les incidents passés ou sur des analyses de risques générales réalisées une fois par an. Les menaces évoluent trop rapidement, tandis que les attaquants adaptent en permanence leurs techniques, leurs cibles et leurs infrastructures.
Les organisations qui évaluent les cybermenaces en France doivent mettre en place un processus structuré pour collecter, analyser et exploiter le renseignement sur les menaces au niveau de leurs systèmes, de leurs fournisseurs et de leurs services essentiels. Une démarche efficace de Cyber Threat Intelligence peut permettre d’identifier les acteurs susceptibles de cibler l’organisation, les vulnérabilités activement exploitées, les techniques d’attaque en progression, les actifs les plus exposés et les risques supplémentaires introduits par les fournisseurs. Elle peut également mettre en évidence les mesures de sécurité nécessitant une amélioration urgente et aider l’organisation à déterminer si un incident doit faire l’objet d’une notification.
La directive NIS2 n’impose pas à chaque entité réglementée de créer un vaste service interne dédié au renseignement sur les cybermenaces. Elle exige toutefois la mise en œuvre de mesures proportionnées de gestion des risques de cybersécurité, de surveillance des menaces, de traitement des vulnérabilités, de sécurisation de la chaîne d’approvisionnement et de notification des incidents significatifs.
Ce guide présente le champ d’application de NIS2 en France, les méthodes de collecte et d’analyse du renseignement sur les menaces, la gestion des risques, la notification des incidents, la gouvernance, la formation des équipes et une feuille de route pratique pour la mise en conformité.
Le renseignement sur les cybermenaces, ou Cyber Threat Intelligence, désigne des informations analysées sur des menaces cyber existantes ou émergentes afin d’éclairer les décisions de sécurité, les choix opérationnels et les priorités métier. Il apporte davantage de valeur que des données brutes, car il permet de comprendre ce qu’une menace signifie concrètement pour l’organisation et quelles actions doivent être engagées.
Les données de sécurité brutes peuvent notamment prendre la forme d’une adresse IP, d’une empreinte de fichier malveillant, d’un domaine suspect ou d’une alerte de vulnérabilité. Ces données deviennent de l’information contextualisée lorsqu’elles sont reliées à une campagne connue, à un groupe d’attaquants ou à une technologie concernée. Elles deviennent un renseignement exploitable lorsque l’organisation comprend pourquoi elles sont importantes, quels systèmes sont exposés, quel est le niveau de fiabilité de la source, quelles peuvent être les conséquences, quelle réponse doit être apportée et qui est responsable de l’action.
Le renseignement stratégique aide les dirigeants, les conseils d’administration et les responsables des risques à comprendre les tendances de long terme, l’exposition de leur secteur, les évolutions géopolitiques, les impacts potentiels sur l’activité et les priorités d’investissement en cybersécurité.
Le renseignement opérationnel aide les équipes de réponse à incident à analyser les acteurs malveillants, les campagnes en cours, leurs motivations, leurs infrastructures d’attaque et leurs cibles probables.
Le renseignement tactique décrit les méthodes utilisées par les attaquants. Il peut notamment couvrir le phishing, le vol d’identifiants, les déplacements latéraux dans le système d’information, l’élévation de privilèges et l’exfiltration de données.
Le renseignement technique comprend des indicateurs qui évoluent rapidement, comme les domaines malveillants, les adresses IP, les empreintes de fichiers, les indicateurs de compromission et les vulnérabilités activement exploitées.
Un programme efficace de Cyber Threat Intelligence doit combiner ces quatre niveaux. La collecte d’indicateurs techniques sans contexte opérationnel ni compréhension des enjeux métier risque de multiplier les alertes sans améliorer la prise de décision, la priorisation des actions ou la résilience de l’organisation.
La directive (UE) 2022/2555, connue sous le nom de directive NIS2, établit un cadre commun de cybersécurité dans l’ensemble de l’Union européenne. Elle impose aux entités concernées de mettre en œuvre des mesures proportionnées de gestion des risques cyber et renforce les exigences relatives à la responsabilité des organes de direction, à la notification des incidents, à la sécurité de la chaîne d’approvisionnement, à la continuité d’activité, au traitement des vulnérabilités, à la formation en cybersécurité, à la supervision réglementaire et au partage volontaire d’informations.
La France poursuit la mise en place de son cadre national de transposition de NIS2. En juillet 2026, la Commission européenne indiquait que la France n’avait pas encore notifié une transposition complète et avait saisi la Cour de justice de l’Union européenne.
Les organisations doivent donc distinguer les obligations prévues par la directive, les règles françaises déjà adoptées et les documents préparatoires qui ne constituent pas encore des exigences juridiques définitives.
Les entreprises doivent suivre les informations de la Commission européenne sur la transposition de NIS2 et vérifier notamment :
La législation française définitive
Les décrets et arrêtés d’application
Les exigences de sécurité de l’ANSSI
Les procédures d’enregistrement des entités
Les modalités de notification des incidents
Les échéances de mise en conformité
Les instructions propres à chaque secteur
L’ANSSI devrait jouer un rôle central dans la mise en œuvre de NIS2 en France, notamment à travers la publication de recommandations réglementaires, l’enregistrement des entités, l’accompagnement en cybersécurité, les services de notification des incidents et la supervision nationale.
Son portail NIS2 propose déjà des outils d’évaluation du champ d’application, des services de pré-enregistrement, des ressources de préparation et un accès aux canaux de signalement des incidents. Le CERT-FR contribue également à la coordination nationale, au partage d’informations sur les menaces et à la réponse aux incidents.
Les organisations doivent utiliser le portail officiel de l’ANSSI consacré à NIS2 pour évaluer si elles peuvent entrer dans le champ d’application de la directive et commencer leurs travaux de préparation, sans considérer que chaque mesure encore à l’état de projet est déjà contraignante.
Note de publication : Les modalités françaises de transposition doivent être vérifiées à nouveau juste avant la publication, car le cadre juridique national continue d’évoluer.
Le champ d’application de NIS2 ne dépend pas uniquement du secteur d’activité d’une organisation. Les entreprises doivent évaluer le type de service qu’elles fournissent, leur taille, l’importance de ce service, leur lieu d’établissement ainsi que les éventuelles règles spécifiques d’inclusion ou de désignation. La directive s’applique généralement aux moyennes et grandes entités opérant dans les secteurs énumérés aux annexes I et II, sous réserve des définitions juridiques et des exceptions applicables.
Les secteurs généralement associés aux entités essentielles comprennent :
Énergie
Transports
Secteur bancaire
Infrastructures des marchés financiers
Santé
Eau potable et eaux usées
Infrastructures numériques
Gestion des services TIC
Espace
Administration publique
La classification dépend également de la taille de l’entité et de la nature précise du service qu’elle fournit.
D’autres secteurs peuvent inclure les services postaux et de messagerie, la gestion des déchets, l’industrie chimique, la production et la distribution de denrées alimentaires, la fabrication de certains produits critiques, les places de marché en ligne, les moteurs de recherche, les plateformes de réseaux sociaux et les organismes de recherche.
Les entités relevant de l’annexe I ou II qui ne sont pas qualifiées d’entités essentielles peuvent généralement être considérées comme des entités importantes.
Les moyennes et grandes organisations actives dans les secteurs énumérés entrent généralement dans le champ d’application. Toutefois, certaines entités peuvent être concernées quelle que soit leur taille parce qu’elles fournissent un service particulièrement critique, occupent une position monopolistique, pourraient provoquer une perturbation systémique, sont classées dans le cadre d’un autre dispositif applicable aux entités critiques ou sont spécifiquement désignées par une autorité compétente.
Une organisation qui n’entre pas directement dans le champ d’application de NIS2 peut néanmoins être soumise à des exigences contractuelles de cybersécurité imposées par des clients réglementés. Cela peut concerner les prestataires de services managés, les fournisseurs de services cloud, les éditeurs de logiciels, les entreprises de logistique, les prestataires de sécurité, les sous-traitants de données et les prestataires de maintenance.
Les entreprises doivent réaliser une évaluation documentée de leur champ d’application couvrant le secteur, les services, la taille, le lieu d’établissement, le niveau de criticité et les obligations imposées par les clients, plutôt que de se fier uniquement à une classification générale de leur secteur.
NIS2 impose aux organisations concernées d’adopter une approche de la cybersécurité fondée sur les risques et couvrant l’ensemble des menaces. Le renseignement sur les cybermenaces soutient cette démarche en aidant les organisations à comprendre quelles menaces sont pertinentes pour leurs services, leurs systèmes et leurs fournisseurs à un moment donné.
Une capacité structurée de renseignement peut aider une organisation à :
Identifier les acteurs malveillants et les campagnes pertinentes
Prioriser les actifs exposés ou critiques pour l’activité
Détecter les vulnérabilités activement exploitées
Améliorer les alertes et la détection des incidents
Vérifier si les mesures de sécurité restent efficaces
Évaluer les risques liés aux fournisseurs et aux dépendances logicielles
Mettre à jour les plans de continuité d’activité et les scénarios de crise
Informer les organes de direction de l’exposition actuelle
Appuyer les décisions d’escalade et de notification des incidents
Démontrer que les contrôles tiennent compte des menaces actuelles
L’achat de flux de renseignement ou la réception d’alertes ne suffit pas, à lui seul, à établir la conformité. Le renseignement doit conduire à des actions documentées.
Cela peut notamment inclure la correction d’une vulnérabilité exposée, le blocage d’une infrastructure malveillante, la réinitialisation d’identifiants compromis, le renforcement de la surveillance, l’examen d’un fournisseur, l’isolement d’un système, la mise à jour de la formation au phishing, l’escalade d’un incident suspecté ou la révision du registre des risques cyber.
Le modèle opérationnel doit être adapté à la taille de l’organisation, aux services qu’elle fournit et à son niveau d’exposition. Une entité réglementée de plus petite taille peut s’appuyer sur les alertes de l’ANSSI, les informations du CERT-FR, les rapports de l’ENISA, les avis des fournisseurs, les prestataires de sécurité managés et les communautés sectorielles de partage d’informations.
Une organisation plus importante peut disposer d’analystes dédiés, d’outils de gestion des informations et des événements de sécurité, de plateformes de renseignement sur les menaces, de capacités d’ingénierie de détection, d’analyse de logiciels malveillants et de partenariats sectoriels formalisés.
L’exigence essentielle ne porte pas sur la taille de l’organisation. Elle réside dans sa capacité à transformer des informations pertinentes sur les menaces en décisions de sécurité rapides, proportionnées et documentées.
Un programme de renseignement sur les cybermenaces doit fonctionner comme un cycle reproductible, et non comme une succession d’alertes isolées. Chaque étape doit aboutir à une décision claire, une action concrète ou une amélioration.
Commencez par des questions précises liées à l’activité et à la sécurité :
Quelles menaces pourraient interrompre les services essentiels ?
Quelles vulnérabilités sont activement exploitées ?
Quels fournisseurs créent un risque de concentration ?
Les attaquants ciblent-ils notre secteur ?
Quels systèmes ou quelles données sont les plus attractifs ?
Quels signaux d’alerte nécessitent une escalade immédiate ?
Quels incidents pourraient déclencher une notification au titre de NIS2 ?
Les sources pertinentes peuvent inclure l’ANSSI, le CERT-FR, l’ENISA, les fournisseurs, les prestataires cloud, les ISAC sectoriels, les centres opérationnels de sécurité, les prestataires de sécurité managés, les bases de données de vulnérabilités, les journaux internes, les rapports d’incident, les signalements de fraude et les remontées des salariés.
Collectez uniquement les informations qui répondent aux besoins définis. Normalisez les formats, supprimez les doublons et filtrez les alertes à faible valeur afin d’éviter que les équipes ne soient submergées par des flux non structurés.
Évaluez la fiabilité de la source, la pertinence, le niveau de confiance, la gravité, l’impact potentiel, les systèmes concernés et le délai de réponse requis. Distinguez clairement les éléments confirmés des hypothèses.
Adaptez les résultats au public concerné. Les dirigeants ont besoin de comprendre les conséquences pour l’activité. Les équipes de sécurité ont besoin d’indicateurs et de règles de détection. Les équipes informatiques ont besoin de priorités de remédiation. Les achats ont besoin d’informations sur les risques fournisseurs. Les salariés ont besoin d’alertes pratiques. Les équipes conformité ont besoin de connaître les conséquences réglementaires.
Transformez le renseignement en actions attribuées à des responsables identifiés, avec des échéances et des seuils d’escalade. Les mesures peuvent inclure l’application de correctifs, le blocage d’indicateurs, le renforcement de la surveillance, la réévaluation de fournisseurs ou l’activation de la réponse à incident.
Mesurez si le renseignement a permis d’améliorer la vitesse de détection, l’application des correctifs, la priorisation, la réduction de l’exposition, la gestion des incidents et la précision de l’évaluation des risques. Ajustez les sources et les processus lorsque les informations collectées ne débouchent pas régulièrement sur des actions utiles.
L’article 21 de la directive NIS2 impose aux entités concernées de mettre en œuvre des mesures techniques, opérationnelles et organisationnelles de cybersécurité appropriées et proportionnées. Ces mesures doivent suivre une approche couvrant l’ensemble des menaces et tenir compte de l’exposition de l’organisation, de sa taille, des coûts de mise en œuvre et de l’impact potentiel des incidents. Le renseignement sur les cybermenaces permet de maintenir ces mesures en phase avec l’activité actuelle des attaquants, plutôt qu’avec des hypothèses dépassées.
Utilisez les renseignements pertinents pour mettre à jour les registres de risques, les politiques de sécurité, la classification des systèmes et les scénarios d’attaque. Ils doivent également influencer les priorités de contrôle et les décisions relatives au risque résiduel. Par exemple, la preuve que des attaquants exploitent une vulnérabilité dans le secteur de l’organisation peut justifier une remédiation accélérée ou des restrictions temporaires.
Le renseignement sur les cybermenaces peut aider les équipes à reconnaître les comportements connus des attaquants, à prioriser les alertes, à préserver les éléments de preuve pertinents et à contenir les attaques. Il peut également révéler d’autres systèmes, comptes ou fournisseurs devant faire l’objet d’une enquête et appuyer l’évaluation visant à déterminer si un incident peut être considéré comme significatif au titre de NIS2.
Transformez les scénarios de menace crédibles en exercices portant sur les rançongiciels, les interruptions de services cloud, la compromission de la chaîne d’approvisionnement, les logiciels malveillants destructeurs, le vol d’identifiants, l’exfiltration de données et les attaques par déni de service distribué. Les exercices doivent tester la prise de décision, les communications, le rétablissement des services et l’escalade réglementaire.
Évaluez les accès des fournisseurs, les vulnérabilités connues, les incidents antérieurs, les dépendances logicielles, les sous-traitants, le risque de concentration et les performances en matière d’application des correctifs. Le renseignement sur les cybermenaces doit également éclairer la planification de la résiliation et de la transition lorsqu’une dépendance envers un fournisseur critique crée une exposition inacceptable.
Utilisez le renseignement pour distinguer les faiblesses théoriques, les vulnérabilités rendues publiques, les exploits de démonstration disponibles, les cas d’exploitation active confirmée et les faiblesses affectant des actifs critiques. Cela permet d’adapter les délais de remédiation à l’exposition réelle plutôt qu’aux seuls scores de gravité.
Les tendances actuelles des menaces doivent orienter les exercices de phishing, les règles relatives aux mots de passe, l’authentification multifacteur, la gestion des accès privilégiés, l’administration sécurisée et les consignes de signalement destinées aux salariés.
La valeur de conformité réside dans la preuve que le renseignement a effectivement modifié une décision. Les organisations doivent conserver l’alerte, l’évaluation, l’action attribuée, le responsable, l’échéance et le résultat afin de démontrer que les menaces actuelles alimentent concrètement la gestion des risques NIS2.
Développez vos compétences pour mettre en œuvre NIS2
Maîtrisez les fondamentaux de NIS2, de la gouvernance cyber à l’analyse des risques, en passant par la gestion des incidents, la sécurité des fournisseurs et la résilience opérationnelle. Développez une approche pratique de la mise en conformité et obtenez un certificat PDF gratuit à l’issue de la formation.
Découvrir la formation NIS2 →L’ANSSI a publié la version de travail du Référentiel Cyber France, appelé ReCyF, le 17 mars 2026. Ce cadre vise à aider les futures entités essentielles à se préparer aux objectifs de cybersécurité attendus dans le cadre de la mise en œuvre de NIS2 en France. L’ANSSI le présente comme un ensemble structuré de mesures recommandées destiné à soutenir la préparation et à promouvoir un niveau de sécurité proportionné.
Le Référentiel Cyber France, ReCyF version 2.5 couvre notamment les domaines suivants :
Les inventaires des systèmes d’information
Les évaluations de conformité et de maturité
La gouvernance et l’analyse des risques
Les contrôles relatifs aux fournisseurs et à l’écosystème
La sécurité des ressources humaines
La gestion des vulnérabilités
La détection des incidents et la conservation des preuves
La continuité d’activité et la gestion de crise
La supervision de la sécurité
Les audits et la planification des mesures correctives
ReCyF peut ainsi fournir une structure pratique pour organiser la préparation à NIS2, attribuer les responsabilités et identifier les éléments de preuve manquants.
Précision importante : La version 2.5 de ReCyF est expressément présentée comme un document de travail. Les organisations peuvent l’utiliser pour préparer leur mise en conformité et réaliser une analyse des écarts, mais elles doivent vérifier la législation française définitive, les mesures d’application et les exigences de l’ANSSI avant de considérer chaque contrôle comme juridiquement définitif.
Créez un tableau de suivi des contrôles comprenant :
Objectif de sécurité
Contrôle existant
Preuves disponibles
Écart identifié
Niveau de risque
Action corrective
Responsable désigné
Date cible
Statut d’avancement
Cette approche transforme ReCyF en plan d’amélioration opérationnel plutôt qu’en simple checklist statique et aide la direction à suivre la résolution des faiblesses identifiées.
La gestion des vulnérabilités doit tenir compte à la fois de leur gravité technique et de l’activité réelle des menaces. Un score de gravité élevé ne signifie pas toujours qu’une vulnérabilité présente le risque immédiat le plus important. À l’inverse, une faiblesse moins bien notée peut nécessiter une action urgente si elle est activement exploitée par des attaquants contre des systèmes exposés.
Les organisations doivent suivre les vulnérabilités affectant les actifs exposés à Internet, les systèmes d’accès à distance, les infrastructures d’identité, les plateformes cloud et, lorsque cela est pertinent, les technologies opérationnelles. La surveillance doit également couvrir les avis des fournisseurs, les logiciels qui ne sont plus pris en charge et les faiblesses affectant des produits tiers critiques.
Les décisions de remédiation doivent prendre en compte :
La disponibilité d’un exploit
Les preuves d’une exploitation active
La criticité de l’actif
L’exposition externe
Le niveau de privilège requis
Les mesures compensatoires existantes
Le risque d’interruption de service
L’impact sur les données personnelles
Les dépendances vis-à-vis des fournisseurs
Cette approche aide les équipes à hiérarchiser les vulnérabilités en fonction du risque opérationnel réel, plutôt que sur la seule base des scores de gravité.
Définissez des critères clairs pour l’application de correctifs en urgence, les délais standards de remédiation, les mesures compensatoires temporaires et l’approbation des exceptions. Les exceptions à haut risque doivent faire l’objet d’une justification documentée, être attribuées à un responsable et être portées à la connaissance de la direction.
Après la remédiation, vérifiez que le correctif ou la mesure de contrôle a été appliqué avec succès et qu’il n’a pas créé de nouveaux problèmes opérationnels.
Conservez les alertes de vulnérabilité, les évaluations des risques, les décisions de correction, les exceptions approuvées, les échanges avec les fournisseurs, les dossiers de remédiation et les résultats de vérification.
Ces documents permettent de démontrer que l’organisation a identifié les menaces pertinentes, évalué son niveau d’exposition et pris des mesures proportionnées. Ils soutiennent également les enquêtes sur les incidents, le reporting à la direction et les futurs contrôles d’assurance liés à NIS2.
NIS2 encourage les organisations à participer volontairement à des dispositifs fiables de partage d’informations en cybersécurité. L’article 29 permet aux entités concernées, ainsi qu’à d’autres organisations lorsque cela est pertinent, d’échanger des informations sur les cybermenaces, les vulnérabilités, les quasi-incidents, les techniques d’attaque, les indicateurs de compromission, les tactiques adverses, les alertes de sécurité et les configurations défensives recommandées.
Les informations partagées peuvent inclure :
Des indicateurs de menace et de compromission
Des vulnérabilités nouvellement identifiées
Des techniques d’attaque et des tactiques adverses
Des alertes de sécurité
Des méthodes de détection
Des configurations recommandées
Des enseignements tirés d’incidents
Des mesures défensives pertinentes
Un partage efficace peut permettre d’être alerté plus tôt de menaces actives, d’améliorer la visibilité à l’échelle d’un secteur et d’accélérer la détection. Il peut également soutenir une défense coordonnée, une réponse plus rapide aux incidents, un meilleur partage d’expérience et une plus grande résilience de la chaîne d’approvisionnement.
Les centres de partage et d’analyse de l’information, appelés ISAC, offrent un cadre structuré permettant aux organisations d’échanger des informations, des retours d’expérience et des analyses sur les menaces propres à leur secteur. L’ENISA soutient le développement et la coopération des ISAC européens afin de renforcer la collaboration en matière de cybersécurité. Consultez les orientations officielles de l’ENISA sur les centres de partage et d’analyse de l’information.
Avant tout partage, les organisations doivent prendre en compte la confidentialité, les secrets d’affaires, les données personnelles, le secret professionnel, les restrictions contractuelles, le niveau de classification de l’information, les marquages du Traffic Light Protocol, la fiabilité des destinataires ainsi que l’exactitude et le niveau de confiance associés aux informations.
Les dispositifs de partage doivent préciser qui peut recevoir les informations, dans quelles conditions elles peuvent être redistribuées et comment les erreurs doivent être corrigées. Ils ne doivent pas conduire à la divulgation inutile de données personnelles, d’informations opérationnelles sensibles ou d’éléments susceptibles d’accroître le risque de sécurité.
NIS2 instaure un processus de notification par étapes pour les incidents qui affectent de manière significative la fourniture des services concernés. Les organisations doivent mettre en place des procédures permettant une escalade rapide, car le délai de notification commence à courir dès que l’entité a connaissance d’un incident significatif, et non lorsque l’enquête est terminée. La séquence applicable est définie à l’article 23 de la directive NIS2.
Une alerte précoce doit généralement être transmise dans les 24 heures suivant la prise de connaissance de l’incident significatif. Lorsque cela est applicable, elle doit préciser si une activité illicite ou malveillante est suspectée et si l’incident est susceptible d’avoir un impact transfrontalier.
Cette alerte vise à informer rapidement l’autorité compétente. Elle ne nécessite pas de disposer de conclusions forensiques complètes.
Une notification plus détaillée doit généralement être transmise dans les 72 heures suivant la prise de connaissance de l’incident. Elle doit compléter l’alerte précoce et fournir les informations disponibles concernant :
L’évaluation initiale
La gravité et l’impact de l’incident
Les indicateurs de compromission
Les éléments techniques pertinents
L’autorité compétente ou le CSIRT peut demander des rapports intermédiaires ou des points d’avancement pendant que les opérations de confinement, d’enquête et de rétablissement se poursuivent.
Un rapport final doit généralement être transmis dans un délai d’un mois après la notification de l’incident. Sous réserve des règles applicables aux incidents toujours en cours, il peut décrire la cause profonde, le type de menace, les mesures d’atténuation, l’impact transfrontalier ainsi que les actions correctives achevées ou prévues.
La capacité à notifier correctement dépend d’une détection fiable, de seuils d’escalade clairement définis, de preuves horodatées et de décideurs expressément désignés. Les équipes juridiques, conformité et cybersécurité doivent conserver à jour les coordonnées des autorités compétentes et disposer de modèles de notification préalablement validés.
Les organisations ne doivent pas attendre de disposer d’une certitude forensique complète avant d’engager l’escalade. Le renseignement sur les cybermenaces peut aider à relier les indicateurs, à évaluer l’impact probable, à identifier les services concernés et à déterminer si l’incident est susceptible d’atteindre le seuil de significativité prévu par NIS2.
Un même incident cyber peut déclencher plusieurs régimes de notification. Cela peut notamment concerner un rançongiciel affectant des données personnelles, un accès non autorisé à des dossiers clients, un vol de données de salariés, une compromission d’identifiants, une divulgation accidentelle ou encore la destruction, la perte ou l’indisponibilité d’informations personnelles.
Au titre du RGPD, une violation de données personnelles doit généralement être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures suivant sa découverte lorsqu’elle est susceptible d’engendrer un risque pour les droits et libertés des personnes. Les orientations officielles de la CNIL sur la notification des violations de données personnelles expliquent la procédure de notification ainsi que les informations que les organisations doivent fournir.
NIS2 et le RGPD reposent sur des critères juridiques différents. Une notification effectuée au titre de l’un de ces textes ne satisfait pas automatiquement aux exigences de l’autre, et les autorités concernées peuvent demander des informations techniques, opérationnelles et relatives aux données personnelles différentes. Les organisations doivent coordonner les délais, les éléments de preuve et la prise de décision, tout en maintenant des analyses distinctes pour chaque régime.
Un formulaire unique d’évaluation des incidents doit comporter des questions séparées sur :
Le caractère significatif de l’incident au titre de NIS2 et l’obligation de notification
Le niveau de risque de la violation au titre du RGPD
Les notifications propres au secteur
Les obligations contractuelles
Les notifications à l’assureur cyber
Une éventuelle implication des forces de l’ordre
Cette structure réduit le risque de manquer une échéance et permet de garantir la cohérence des preuves, des analyses d’impact et des décisions de notification dans le cadre d’obligations parallèles.
Le règlement d’exécution (UE) 2024/2690 de la Commission établit des exigences techniques et méthodologiques détaillées pour certaines entités numériques couvertes par NIS2. Il précise également les conditions dans lesquelles les incidents affectant ces entités doivent être considérés comme significatifs.
Le règlement s’applique à certains :
Fournisseurs de services DNS
Registres de noms de domaine de premier niveau
Fournisseurs de services d’informatique en nuage
Fournisseurs de services de centres de données
Fournisseurs de réseaux de diffusion de contenu
Prestataires de services managés
Prestataires de services de sécurité managés
Places de marché en ligne
Moteurs de recherche en ligne
Plateformes de réseaux sociaux
Prestataires de services de confiance
Son annexe définit des exigences plus détaillées en matière d’évaluation des risques de cybersécurité, de gestion des incidents, de continuité d’activité, de sécurité de la chaîne d’approvisionnement, de tests de sécurité, de cryptographie, de contrôle des accès, de gestion des actifs, de formation du personnel et de surveillance des menaces. Ces mesures doivent être appliquées de manière proportionnée, en tenant compte notamment de la taille, de la structure, du niveau de criticité, de l’exposition aux risques de l’entité et de la gravité potentielle des incidents.
Les organisations doivent vérifier si elles relèvent de l’une des catégories énumérées avant d’appliquer ce règlement. Celui-ci ne doit pas être considéré comme un référentiel technique universel pour toutes les entités entrant dans le champ d’application de NIS2. Les autres organisations concernées peuvent relever des mesures nationales de transposition, d’exigences sectorielles spécifiques et des obligations plus générales prévues par la directive NIS2.
NIS2 place la supervision de la cybersécurité au niveau des organes de direction. Les dirigeants ne peuvent pas considérer le risque cyber comme un sujet relevant uniquement des équipes informatiques ou de sécurité. Ils doivent être en mesure d’approuver les mesures de gestion des risques de cybersécurité, d’en superviser la mise en œuvre et de comprendre les principales expositions de l’organisation.
Les organes de direction doivent également examiner les incidents significatifs, remettre en question les retards de remédiation, allouer des ressources appropriées, suivre une formation pertinente en cybersécurité et superviser le respect des obligations légales et réglementaires.
Le reporting destiné aux dirigeants doit transformer les constats techniques en décisions métier, plutôt que présenter des alertes, des indicateurs ou des listes de vulnérabilités non filtrés.
Un rapport de direction utile peut inclure :
Les principales menaces pesant sur les services essentiels
Les vulnérabilités critiques et les actifs exposés
Les risques affectant les fournisseurs clés
Les incidents significatifs et les quasi-incidents
L’avancement des mesures correctives et les actions en retard
Les performances de détection et de réponse
Le niveau de préparation à la continuité d’activité
Le statut des notifications réglementaires
Les décisions nécessitant une approbation ou une acceptation du risque
Les rapports doivent expliquer les impacts opérationnels, financiers et réglementaires potentiels afin d’aider les dirigeants à hiérarchiser les actions.
Les organisations doivent conserver des éléments démontrant que la direction a effectivement supervisé les mesures de cybersécurité. Les documents pertinents peuvent inclure :
Les procès-verbaux de réunions
Les politiques approuvées
Les décisions d’acceptation du risque
Les registres de formation
Les décisions budgétaires et d’allocation des ressources
Les comptes rendus d’incident
Les plans de remédiation
Les actions de suivi
La supervision exercée par la direction doit pouvoir être démontrée, et non simplement déduite des intitulés de poste ou des organigrammes. Les régulateurs et les auditeurs doivent pouvoir identifier les informations reçues par les dirigeants, les décisions prises et le suivi des mesures correctives jusqu’à leur achèvement.
Toutes les entités soumises à NIS2 n’ont pas besoin de disposer d’une équipe interne dédiée au renseignement sur les cybermenaces. Le modèle opérationnel doit tenir compte de la taille de l’organisation, de ses services critiques, de son environnement technique, de son exposition aux fournisseurs et des compétences disponibles. L’essentiel est que les informations pertinentes parviennent aux bonnes personnes et donnent lieu à des actions rapides.
Les responsabilités peuvent être réparties entre :
Un sponsor au niveau de la direction
Le responsable de la cybersécurité
Un responsable du renseignement sur les menaces
L’équipe des opérations de sécurité
Le responsable de la réponse aux incidents
Le responsable de la gestion des vulnérabilités
Un conseiller conformité ou juridique
Le délégué à la protection des données
Un représentant des achats
Les responsables métiers des services concernés
Dans une organisation de plus petite taille, une même personne peut cumuler plusieurs fonctions, mais les responsabilités en matière d’analyse, d’escalade et de prise de décision doivent rester clairement définies.
Le renseignement courant doit être surveillé, consigné et examiné dans le cadre des opérations habituelles.
Le renseignement renforcé peut nécessiter une surveillance accrue, des vérifications d’exposition, l’information des responsables des systèmes concernés et une remédiation accélérée.
Le renseignement critique doit déclencher les procédures de réponse à incident, l’isolement des systèmes concernés lorsque cela est nécessaire, la prise de contact avec les fournisseurs, l’information de la direction et l’évaluation des obligations de notification réglementaire.
Les modèles possibles comprennent :
Un modèle entièrement internalisé
Le recours à un prestataire de sécurité managé
Un modèle hybride interne et externe
Un service mutualisé au niveau sectoriel
Une fonction de renseignement centralisée au niveau du groupe
L’externalisation de la collecte ou de l’analyse ne transfère pas la responsabilité. L’entité réglementée doit toujours prendre les décisions relatives aux risques, à l’escalade et aux notifications.
Conservez des documents relatifs aux éléments suivants :
Les besoins en renseignement
Les sources approuvées
Les critères d’évaluation des sources
Les résultats des analyses
Les listes de diffusion
Les décisions d’action
Les dossiers d’escalade
Les dates de réexamen
Les indicateurs de performance
Cette documentation doit montrer comment les informations sur les menaces ont été évaluées, à qui elles ont été transmises et quelles actions ont été engagées.
NIS2 accorde une attention particulière à la sécurité de la chaîne d’approvisionnement, car les organisations réglementées dépendent souvent de prestataires externes pour les logiciels, les infrastructures, le traitement des données, la maintenance et le support opérationnel. Le renseignement sur les menaces doit donc couvrir non seulement l’environnement propre de l’organisation, mais aussi les risques introduits par les fournisseurs critiques et les sous-traitants.
Les informations pertinentes peuvent notamment concerner les compromissions de fournisseurs, les produits vulnérables, les dépendances logicielles, les interruptions de services cloud, le vol d’identifiants, les mises à jour logicielles malveillantes, l’exposition des accès à distance, les risques de concentration, les faiblesses des sous-traitants et les technologies arrivées en fin de support.
Les organisations doivent demander :
À quels systèmes, réseaux ou données le fournisseur peut-il accéder ?
Le fournisseur a-t-il déjà subi des incidents de sécurité significatifs ?
Comment surveille-t-il les cybermenaces émergentes ?
Dans quels délais communique-t-il les vulnérabilités ?
Fournit-il, lorsque cela est pertinent, une nomenclature des composants logiciels ?
Comment les sous-traitants sont-ils évalués et contrôlés ?
Quels journaux et quelles preuves d’audit sont disponibles ?
Quels délais de notification des incidents s’appliquent ?
Les accès du fournisseur peuvent-ils être révoqués rapidement ?
Comment les données et les services seront-ils restaurés après une interruption ?
Les réponses doivent être examinées au regard du rôle réel du fournisseur et de son niveau de criticité.
Les contrats doivent encadrer la notification des incidents, la divulgation des vulnérabilités, les mises à jour de sécurité, les droits d’audit, la fourniture de preuves, le contrôle des sous-traitants, la coopération avec les autorités, la continuité d’activité et l’assistance en cas de résiliation.
Le renseignement sur les menaces doit également déclencher une réévaluation des contrats et des fournisseurs lorsque de nouvelles vulnérabilités, de nouveaux incidents ou de nouveaux risques de concentration apparaissent. L’objectif n’est pas simplement de collecter des informations sur les fournisseurs, mais d’identifier les situations dans lesquelles l’exposition à un tiers pourrait interrompre des services essentiels et de vérifier que des contrôles proportionnés, des voies d’escalade et des mesures de reprise sont en place.
NIS2 impose aux organisations concernées de mettre en œuvre des pratiques d’hygiène cyber et de dispenser des formations en cybersécurité. La formation doit être fondée sur les risques, adaptée aux fonctions et reliée à l’environnement de menace actuel de l’organisation, plutôt que traitée comme un exercice annuel générique.
La direction doit comprendre :
Les responsabilités et obligations de supervision prévues par NIS2
Les principales cybermenaces auxquelles l’organisation est exposée
Les décisions d’acceptation du risque
L’escalade des incidents
Les délais de notification
Les exigences en matière de continuité d’activité
L’exposition liée à la chaîne d’approvisionnement
La formation doit aider les dirigeants à remettre en question les retards de remédiation, à allouer les ressources nécessaires et à prendre des décisions éclairées lors d’incidents significatifs.
Les salariés doivent comprendre les risques courants tels que le phishing, le vol d’identifiants, l’ingénierie sociale et les pièces jointes malveillantes. Ils doivent également savoir utiliser l’authentification multifacteur, signaler une activité suspecte, travailler de manière sécurisée en dehors des locaux, traiter les données de façon appropriée et utiliser uniquement les systèmes et outils autorisés.
Prévoyez une formation adaptée aux analystes de sécurité, aux équipes de réponse à incident, aux administrateurs informatiques, aux équipes achats, aux fonctions juridiques et conformité, aux équipes de communication et aux cadres dirigeants. Chaque groupe doit comprendre les décisions, les éléments de preuve et les obligations d’escalade qui relèvent de son rôle.
Mettez à jour les exemples à partir de campagnes de phishing récentes, de techniques d’attaque actives, de menaces propres au secteur, de compromissions de fournisseurs et des enseignements tirés d’incidents internes. Cela rend la formation plus pertinente et aide les salariés à reconnaître des signaux d’alerte réalistes.
Les informations confidentielles sur les menaces ne doivent pas être intégrées aux formations destinées à l’ensemble des salariés. Les détails opérationnels sensibles doivent être réservés aux personnes qui en ont besoin pour la détection, la réponse ou la gestion des risques.
Les normes ISO peuvent aider les organisations à structurer leur gouvernance de la cybersécurité et leurs activités de contrôle, mais elles ne remplacent pas l’analyse juridique requise au titre de NIS2. Les obligations réglementaires doivent être évaluées au regard de la directive, des mesures françaises de transposition et des exigences applicables de l’ANSSI.
La norme ISO/IEC 27001:2022 définit les exigences relatives à l’établissement, à la mise en œuvre, au maintien et à l’amélioration continue d’un système de management de la sécurité de l’information.
Son approche fondée sur un système de management peut soutenir :
La gouvernance et la responsabilité
L’évaluation des risques liés à la sécurité de l’information
Les audits internes
Les actions correctives
La gestion des documents et des preuves
L’amélioration continue
Ces processus peuvent aider une organisation à structurer sa préparation à NIS2 et à démontrer que ses mesures de cybersécurité font l’objet d’un examen systématique.
La norme ISO/IEC 27002 fournit des recommandations complémentaires sur les mesures de sécurité de l’information, notamment sur la collecte et l’analyse d’informations relatives aux cybermenaces existantes et émergentes. Les organisations peuvent s’appuyer sur ces principes pour définir leurs besoins en renseignement, évaluer les sources, diffuser les résultats et transformer les informations pertinentes en actions.
Toutefois, NIS2 n’impose pas de manière générale une certification ISO. La certification ne démontre pas automatiquement une conformité complète, et une organisation non certifiée peut néanmoins appliquer efficacement les principes ISO.
Lorsqu’un contrôle ISO diffère d’une exigence réglementaire contraignante, l’obligation légale prévaut. Les organisations doivent donc faire correspondre directement leur système de management et les preuves disponibles aux exigences NIS2 et françaises applicables.
Les indicateurs de performance du renseignement sur les cybermenaces doivent mesurer dans quelle mesure les informations recueillies améliorent les décisions de sécurité et réduisent l’exposition de l’organisation. Le simple fait de compter les alertes, les indicateurs ou les rapports peut démontrer un certain niveau d’activité, mais ne prouve pas l’efficacité du programme.
Les indicateurs utiles peuvent inclure :
Le délai entre la publication d’une menace et son évaluation en interne
Le pourcentage d’actifs critiques couverts par une surveillance pertinente
Le délai de remédiation des vulnérabilités activement exploitées
Le pourcentage d’alertes importantes ayant entraîné une action
Le nombre de règles de détection mises à jour à partir des analyses de renseignement
Le nombre d’alertes fournisseurs examinées et remontées
Le nombre d’incidents détectés grâce au renseignement sur les menaces
Le taux de faux positifs
Le délai entre l’évaluation et l’escalade
Le nombre d’actions décidées par la direction et menées à bien
Le nombre de mises à jour de formation liées aux menaces actuelles
Les indicateurs doivent être adaptés à leur destinataire. Les équipes de sécurité peuvent avoir besoin de mesures opérationnelles, comme la vitesse de détection et le délai de remédiation, tandis que la direction a besoin de preuves concernant la réduction de l’exposition, l’achèvement des actions et les risques non résolus.
Évitez les indicateurs qui valorisent le volume sans démontrer la valeur créée, comme le nombre de flux achetés, d’indicateurs collectés ou de rapports diffusés. Un programme plus restreint qui permet de prendre des décisions pertinentes et rapides est plus efficace qu’un dispositif important générant des informations que personne n’utilise.
Erreur 1 : acheter des flux de renseignement sans définir les besoins
Correction : Commencez par les services essentiels de l’organisation, ses actifs critiques, ses fournisseurs, ses risques et les décisions que le renseignement doit permettre d’éclairer.
Erreur 2 : considérer toutes les menaces comme également importantes
Correction : Priorisez les informations selon leur pertinence, le niveau de confiance accordé à la source, l’exposition de l’organisation et l’impact potentiel sur l’activité.
Erreur 3 : limiter le renseignement aux seuls indicateurs techniques
Correction : Associez les données techniques au renseignement stratégique, opérationnel et relatif à la chaîne d’approvisionnement.
Erreur 4 : ne pas attribuer les actions
Correction : Chaque constat important doit être associé à un responsable désigné, une échéance, un niveau d’escalade et un résultat documenté.
Erreur 5 : conserver le renseignement uniquement au sein de l’équipe sécurité
Correction : Adaptez le reporting à la direction, aux équipes informatiques, aux achats, aux fonctions juridiques et conformité ainsi qu’aux responsables métiers concernés.
Erreur 6 : ignorer les fournisseurs
Correction : Surveillez les menaces affectant les tiers critiques, les plateformes cloud, les dépendances logicielles et les sous-traitants.
Erreur 7 : attendre une certitude complète avant d’escalader
Correction : Utilisez des seuils définis de confiance, de gravité et d’impact afin de permettre une escalade rapide et une évaluation efficace des incidents.
Erreur 8 : considérer la certification ISO comme une preuve automatique de conformité à NIS2
Correction : Faites correspondre les obligations juridiques réelles de l’organisation à ses contrôles opérationnels, ses registres et ses éléments de preuve. La certification peut soutenir la gouvernance, mais elle ne remplace pas l’analyse réglementaire.
Une feuille de route progressive aide les organisations à développer leurs capacités de renseignement sur les cybermenaces sans mettre en place un programme inutilement complexe.
Déterminez si l’organisation est susceptible d’être qualifiée d’entité essentielle ou d’entité importante. Identifiez les services critiques et les systèmes qui les soutiennent, attribuez les responsabilités au niveau de la direction et des opérations, examinez l’état actuel de la mise en œuvre en France et établissez un processus de suivi des évolutions juridiques, réglementaires et des mises à jour de l’ANSSI.
Créez un inventaire précis des actifs et identifiez les systèmes, les données et les fournisseurs qui soutiennent les services essentiels. Définissez des besoins clairs en renseignement, approuvez des sources d’information fiables, cartographiez les tiers critiques et consignez les principaux scénarios de menace susceptibles de perturber les opérations.
Intégrez le renseignement à la gestion des vulnérabilités, à la surveillance de la sécurité et à la réponse aux incidents. Définissez des seuils d’escalade, mettez à jour les règles de détection, établissez des procédures de gestion des incidents, créez un reporting destiné à la direction et mettez en place des revues régulières du renseignement relatif aux fournisseurs.
Définissez les critères permettant d’identifier un incident significatif. Mettez en place des procédures d’alerte précoce sous 24 heures et de notification sous 72 heures, préparez des modèles de déclaration et coordonnez les évaluations NIS2 et RGPD. Tenez à jour les coordonnées de l’ANSSI et du CERT-FR et réalisez un exercice pratique de notification.
Réalisez une analyse des écarts à partir du ReCyF, testez les procédures de réponse aux incidents et examinez les contrôles de conservation des preuves. Formez les organes de direction, auditez les principales mesures et suivez les actions correctives jusqu’à leur achèvement.
Le programme doit également être réévalué après un incident, un changement important de fournisseur, l’apparition de nouvelles menaces, une modification des systèmes ou une évolution des exigences françaises liées à NIS2. Cela permet de garantir que le renseignement sur les cybermenaces reste aligné sur les risques actuels, les attentes réglementaires et les décisions opérationnelles.
Utilisez cette checklist pour évaluer si le renseignement sur les cybermenaces est bien intégré à votre préparation à NIS2 et à votre programme de gestion des risques de cybersécurité.
Avons-nous évalué si NIS2 s’applique à l’organisation ?
Avons-nous identifié les services essentiels et les systèmes qui les soutiennent ?
Suivons-nous les évolutions de la transposition française et les mises à jour de l’ANSSI ?
Les entités, actifs et systèmes concernés ont-ils été inventoriés ?
La direction a-t-elle approuvé les mesures de gestion des risques de cybersécurité ?
Les responsabilités au niveau de la direction et des opérations sont-elles documentées ?
La direction reçoit-elle un reporting utile sur les menaces, fondé sur les risques ?
Les décisions d’acceptation du risque et de remédiation sont-elles consignées ?
Les besoins en renseignement ont-ils été définis ?
Les sources sont-elles évaluées en fonction de leur fiabilité et du niveau de confiance ?
Le renseignement est-il pertinent pour notre secteur, nos services et nos actifs ?
Les constats importants sont-ils transformés en actions attribuées ?
Les décisions d’analyse et d’escalade sont-elles documentées ?
Le renseignement sur les cybermenaces est-il intégré aux évaluations des risques ?
Les vulnérabilités activement exploitées sont-elles prioritaires ?
Les fournisseurs critiques et les dépendances font-ils l’objet d’une surveillance ?
Les scénarios de continuité d’activité tiennent-ils compte des menaces ?
Les mesures de sécurité sont-elles testées au regard des menaces actuelles ?
Les incidents significatifs peuvent-ils être identifiés rapidement ?
Les procédures de notification sous 24 heures et 72 heures sont-elles définies ?
Les évaluations NIS2 et RGPD sont-elles coordonnées ?
Les journaux, les preuves et les décisions sont-ils conservés ?
Des exercices de notification sont-ils réalisés ?
La direction a-t-elle reçu une formation en cybersécurité ?
Les salariés sont-ils formés aux menaces actuelles ?
Les spécialistes reçoivent-ils une formation adaptée à leurs fonctions ?
Les registres de formation sont-ils conservés ?
Une analyse des écarts fondée sur le ReCyF a-t-elle été réalisée ?
Des audits sont-ils planifiés ?
Les actions de remédiation sont-elles suivies ?
Le programme est-il réévalué après les incidents et les changements importants ?
La conformité à NIS2 ne se limite pas à la collecte d’alertes de sécurité ou à l’achat de nouvelles technologies. Les organisations doivent mettre en place une gouvernance claire, des évaluations structurées des risques, des procédures de notification des incidents, des contrôles de la chaîne d’approvisionnement, des formations adaptées aux fonctions et des preuves démontrant que les mesures de cybersécurité fonctionnent efficacement.
La formation NIS2 Lead Implementer du French Compliance Institute est conçue pour aider les professionnels à comprendre la directive et à développer une approche pratique de sa mise en œuvre, de la gouvernance, de la gestion des risques et de l’amélioration continue.
Cette formation peut soutenir une démarche plus large de préparation à NIS2, mais elle doit s’inscrire dans un programme de conformité propre à l’organisation, fondé sur les exigences juridiques applicables, ses systèmes, ses services et ses risques.
NIS2 impose aux organisations réglementées de mettre en œuvre des mesures techniques, opérationnelles et organisationnelles de cybersécurité proportionnées. Le renseignement sur les cybermenaces soutient cette démarche en aidant les équipes à comprendre les menaces actuelles, à prioriser les systèmes exposés et à transformer les signaux d’alerte en actions concrètes.
Le renseignement doit alimenter les évaluations des risques, la gestion des vulnérabilités, la sécurité de la chaîne d’approvisionnement, la gestion des incidents, la continuité d’activité et la supervision exercée par la direction. Les organisations françaises doivent également suivre l’évolution du cadre national de transposition et utiliser le ReCyF de l’ANSSI pour soutenir leur préparation et leurs analyses d’écarts.
Les obligations de notification prévues par NIS2 et le RGPD pouvant s’appliquer à un même incident, les organisations doivent coordonner l’escalade, la conservation des preuves et la prise de décision. La formation doit couvrir à la fois la responsabilité de la direction et la réponse opérationnelle.
Les organisations qui transforment les informations pertinentes sur les menaces en décisions de sécurité documentées seront mieux préparées à répondre aux exigences de NIS2 et à faire face efficacement aux cybermenaces en France.
Conformité de la sécurité cloud : guide RGPD et NIS2 Le transfert des systèmes, des applications et des données vers le cloud modifie l’environnement technique,...
Apprenez la sécurité incendie sur les chantiers, notamment les risques d’incendie, l’évaluation des risques, la prévention, la préparation aux situations d’urgence, les travaux par points...
Découvrez comment créer un plan HACCP étape par étape : analyse des dangers, CCP, limites critiques, surveillance, actions correctives et vérification.