Comment Factorial IT aide-t-il à se conformer à la NIS2 ?

La directive NIS2 soulève la même interrogation chez toutes les personnes qui doivent en répondre, qu’elles relèvent de l’IT, de la conformité ou de la direction. Que faut-il faire exactement, et par où commencer.

La réponse qui dérange, c’est qu’aucun outil ne suffit à lui seul. La conformité repose sur des décisions de direction, des processus, une infrastructure et des données, et aucune plateforme ne couvre ces quatre dimensions en même temps. Ce qu’un outil résout, en revanche, c’est la partie qui dépend des données. Quels appareils vous possédez, dans quel état ils se trouvent, qui accède à quoi et depuis quand.

Cet article détaille quelles parties de ces mesures peuvent être couvertes avec Factorial IT, avec quelles preuves, et comment traiter le reste.

La conformité à NIS2 ne repose pas sur un seul outil

La directive NIS2 impose des obligations de nature très différente, qui ne se traitent ni au même endroit ni avec le même type de prestataire. La conformité s’appuie sur quatre couches.

• Les décisions de direction que quelqu’un doit signer.
• Les processus à définir et à exécuter.
• L’infrastructure, avec ses serveurs et son réseau.
• Les données sur les appareils que vous possédez, leur état et qui accède à quoi.

Aucune plateforme n’est capable de couvrir ces quatre couches à la fois. Un outil de gestion des appareils ne peut pas approuver un document de direction, et un cabinet de conseil ne peut pas vous remonter en temps réel le pourcentage d’appareils chiffrés. C’est pourquoi, lorsqu’un prestataire vous présente un tableau avec les dix mesures de l’article 21.2 cochées en vert, il remplit des cases.

Parmi ces quatre couches, celle des données est la moins compatible avec le papier. Les trois autres se démontrent avec un document, une procédure ou une facture. Les données, elles, se démontrent par l’état réel du parc d’appareils à une date précise, et cet état change tous les jours. C’est aussi la couche qui prend le plus de temps, car presque aucune organisation n’a la donnée sous la main. C’est précisément la partie que résout Factorial IT.

Qu’exige l’article 21.2 de la directive NIS2 ?

L’article 21.2 est le cœur technique de la directive. Il énumère les mesures de gestion des risques que toute entité concernée doit appliquer. Si vous vous demandez encore ce qu’est la directive NIS2 et qui elle concerne, notre article dédié le développe en détail.

Entités essentielles et entités importantes

La directive NIS2 s’applique aux moyennes et grandes entreprises d’une liste de secteurs, qu’elle répartit en deux groupes. D’un côté, les entités essentielles, dans des secteurs très critiques comme l’énergie, les transports, la banque ou la santé. De l’autre, les entités importantes, dans des secteurs également sensibles mais soumis à un régime un peu moins strict. Pour connaître les différences entre entités essentielles et entités importantes, vous pouvez consulter notre article dédié.

La différence entre les deux ne tient pas aux mesures de sécurité, qui sont identiques, mais au contrôle. Les entités essentielles peuvent être contrôlées à tout moment, alors que les entités importantes ne le sont qu’en présence d’indices de manquement. Les sanctions sont elles aussi plus élevées pour les premières.

Il existe un troisième groupe que la directive ne vise pas directement, mais qui finit par être concerné tout autant. Si vous vendez à une entreprise soumise à NIS2, elle vous imposera très probablement ces mêmes exigences par contrat. Ici, ce n’est pas la loi qui fixe le délai, c’est votre client.

Les dix catégories de mesures et celles qui se démontrent par les données

L’article 21.2 de la directive NIS2 énumère dix catégories de mesures.

• a) Analyse des risques et politique de sécurité : la base sur laquelle repose tout le reste. Il faut identifier les actifs critiques, évaluer ce qui peut leur arriver et approuver une politique signée par un responsable.
• b) Gestion des incidents : détection, réponse et notification dans les délais. La directive NIS2 fixe 24 heures pour l’alerte initiale et 72 heures pour l’évaluation de l’impact, si bien que ce qui est audité, c’est la capacité à réagir vite.
• c) Continuité des activités : sauvegardes, reprise et gestion de crise. Il s’agit de savoir quels services sont critiques, combien de temps vous pouvez fonctionner sans eux et qui fait quoi pendant ce temps.
• d) Sécurité de la chaîne d’approvisionnement : maîtrise des fournisseurs et des services qu’ils vous rendent. Cela inclut les logiciels tiers que vous utilisez, et pas seulement le prestataire d’un service managé.
• e) Acquisition et maintenance des systèmes : y compris la gestion des vulnérabilités. On y trouve le patching, le retrait des systèmes hors support et la sécurité du développement si vous produisez vos propres logiciels.
• f) Évaluation de l’efficacité des mesures : vérifier que ce qui a été mis en place fonctionne réellement. Une politique que personne ne révise ne compte pas comme une mesure appliquée.
• g) Cyberhygiène et formation : pratiques de sécurité de base et sensibilisation des collaborateurs. Cela va de la protection antimalware à la formation régulière, avec un relevé des personnes qui l’ont suivie.
• h) Cryptographie et chiffrement : politiques de chiffrement appliquées et vérifiées. La question n’est pas de savoir si vous avez la politique, mais sur quel pourcentage du parc le chiffrement est actif.
• i) Sécurité des ressources humaines, contrôle d’accès et gestion des actifs : le cycle de vie des personnes, des comptes et des appareils. C’est la catégorie la plus large des dix et celle qui génère le plus de travail opérationnel.
• j) Authentification multifacteur : MFA et communications sécurisées là où c’est requis. C’est votre fournisseur d’identité qui l’apporte, mais vous devez pouvoir prouver sur quels comptes elle est active.

Sur ces dix mesures, six se démontrent avant tout par de la documentation et des processus. Vous rédigez la politique, vous définissez la procédure, vous conservez le procès-verbal. Les quatre autres, ainsi que certaines parties de deux des précédentes, ne se démontrent pas avec un document, mais par l’état réel de vos appareils et de vos accès à une date précise.

Et cette seconde partie, celle qui se démontre par les données, est justement celle que Factorial IT génère en continu. Voyons cela en détail.

Quelles mesures de NIS2 Factorial IT couvre-t-il ?

Un outil de ce type ne remplace ni un consultant ni un auditeur. Ce qu’il fait, en revanche, c’est produire de lui-même la moitié du dossier que vous devrez présenter, la partie qui se démontre par les données. Voici les six mesures couvertes et la preuve qui découle de chacune.

i) Gestion des actifs

Presque tout le monde dispose d’une liste d’appareils. Presque personne ne la relie aux personnes, et sans ce lien il devient impossible de démontrer la révocation des accès ou le périmètre d’un incident.

Il existe un second écueil courant. L’inventaire s’arrête souvent aux ordinateurs portables, alors que la directive inclut aussi les services souscrits auprès de prestataires externes. Dans Factorial IT, l’inventaire recense le matériel, les logiciels installés et leurs versions depuis une seule console, sur un parc mixte macOS, Windows, Linux, iOS et Android, et chaque appareil est relié à une personne, une équipe et un service grâce à la connexion avec le système RH. Il intègre également les applications SaaS réellement utilisées, y compris celles souscrites en dehors de l’IT.

La preuve générée par Factorial IT : inventaire téléchargeable, daté, avec un responsable par actif et le pourcentage de couverture du relevé.

i) Contrôle d’accès

Le principe du moindre privilège est facile à énoncer et difficile à prouver. Ce qu’un audit demande, ce n’est pas la politique de droits, mais la liste de qui a accès à quoi aujourd’hui, et depuis quand. Dans la plupart des organisations, cette liste n’existe pas telle quelle et il faut la reconstituer en entrant application par application.

Factorial IT tient à jour cet inventaire des accès par personne et automatise le provisionnement selon le rôle, avec des règles qui attribuent groupes, droits et licences à partir des données du logiciel RH. Les applications où l’automatisation n’est pas possible sont couvertes par un flux de tickets qui laisse la même trace auditable.

La preuve générée par Factorial IT : un journal daté des créations, modifications et révocations, ainsi que la cartographie des accès par personne à tout instant.

i) Sécurité des ressources humaines

La procédure d’offboarding est écrite dans presque toutes les entreprises. Ce qui manque, c’est la preuve de son exécution.

Presque aucune organisation ne sait dire combien d’heures se sont écoulées, sur les douze derniers départs, entre le dernier jour du collaborateur et la coupure de son dernier accès. C’est exactement ce qui est audité.

L’arrivée et le départ se déclenchent depuis le logiciel RH de Factorial lui-même, et non depuis un ticket. Lorsqu’une nouvelle personne rejoint l’équipe, on provisionne les comptes et les accès selon son rôle. Lorsque ce collaborateur quitte l’entreprise, on révoque les accès, on verrouille l’appareil et on libère les licences. Les AI Agents identifient l’ensemble des accès, appareils et applications attribués à une personne et exécutent le départ complet, de sorte que la révocation et son enregistrement se produisent au même moment.

La preuve générée par Factorial IT : la traçabilité complète de chaque départ, avec l’heure de révocation de chaque accès et le temps écoulé depuis le dernier jour du collaborateur.

h) Cryptographie et chiffrement

La question de l’auditeur n’est jamais de savoir si vous avez le chiffrement de disque. Elle porte sur le pourcentage du parc où il est actif et sur la date à laquelle cela a été vérifié. La politique qui impose le chiffrement existe dans presque toutes les entreprises, mais la donnée sur les appareils qui la respectent aujourd’hui, non.

Factorial IT applique et vérifie FileVault et BitLocker sur l’ensemble du parc, et permet de définir des politiques de configuration par rôle, système d’exploitation ou état de sécurité. On y trouve le pare-feu, le verrouillage de session, la politique de mots de passe et les restrictions sur les périphériques. Les écarts sont détectés et corrigés automatiquement.

La preuve générée par Factorial IT : le pourcentage de conformité par règle à une date précise, la liste nominative des appareils non conformes et la traçabilité des remédiations. C’est cette liste nominative qui compte, car c’est elle qui transforme un chiffre en une preuve exploitable.

e) Acquisition et maintenance des systèmes

Cette catégorie couvre la sécurité tout au long de la vie d’un système, de son achat à son retrait, et inclut la gestion des vulnérabilités. Sur le poste de travail, cela se traduit par deux choses, maintenir les logiciels à jour et ne pas garder en production des systèmes qui ne reçoivent plus de correctifs.

La première se fait dans presque toutes les entreprises, mais se prouve dans très peu d’entre elles. On applique les correctifs, et pourtant il n’existe aucun moyen de répondre au temps moyen entre la publication d’une mise à jour critique et son application sur l’ensemble du parc, qui est justement la métrique demandée. La seconde pèse encore plus lourd, car un appareil doté d’un système d’exploitation hors support constitue un manquement explicite, et non une simple recommandation, et ces appareils ont tendance à surgir précisément pendant l’audit.

Ce que Factorial IT tient à jour.

• Le suivi des versions du système d’exploitation et des applications sur tout le parc.
• Les politiques de mise à jour, avec leur niveau d’application par appareil.
• Les vulnérabilités connues détectées sur chaque appareil, avec leur état de remédiation.
• Les logiciels hors support, signalés directement dans l’inventaire.

La preuve générée par Factorial IT : le niveau de patch par appareil, le délai moyen d’application et la liste des systèmes sans support.

g) Cyberhygiène

La cyberhygiène regroupe les pratiques de sécurité de base que l’on tient pour acquises mais qu’il faut pouvoir prouver, et l’une d’elles est la protection contre les codes malveillants sur tous les appareils. Ce qui est audité, ce n’est pas d’avoir un antivirus sous contrat, mais qu’il soit installé et actif sur chaque appareil.

Et là, mieux vaut être précis. Factorial IT n’est pas l’antivirus, c’est la couche qui prouve qu’il est présent et qu’il fonctionne.

Ce que l’on présente en audit, c’est souvent la facture de l’antivirus. Ce que l’on vérifie, c’est le déploiement effectif, et il y a presque toujours entre 3 % et 8 % d’appareils sans agent ou avec un agent à l’arrêt, généralement à cause d’une réinstallation, d’un appareil neuf que personne n’a enrôlé ou d’un utilisateur disposant de droits d’administrateur local. Factorial IT vérifie l’état de l’agent de protection sur chaque appareil et signale ceux qui en sont dépourvus.

La preuve générée par Factorial IT : la couverture effective de l’antimalware, appareil par appareil, avec date.

b) Gestion des incidents

La directive NIS2 impose de notifier les incidents importants dans un délai très court, avec une alerte initiale sous 24 heures et une évaluation de l’impact sous 72 heures. Tenir ce calendrier dépend de la capacité à répondre vite à une question précise, celle de savoir jusqu’où l’incident est allé.

Le problème ne réside pas dans la détection, mais dans la délimitation. Ce qui bloque la notification, c’est de savoir quelles données, quels accès et quels systèmes étaient à la portée de l’appareil compromis, et y répondre à la main prend des jours.

Lorsqu’un incident touche un appareil, la console renvoie instantanément l’utilisateur, ses accès, ses applications et l’historique des actions menées sur l’appareil. Elle inclut le verrouillage et l’effacement à distance, avec la traçabilité de chaque action.

La preuve générée par Factorial IT : le périmètre de l’incident et la traçabilité de la réponse, horodatés.

Là où Factorial IT fait le gros du travail

En plus des six mesures précédentes, il en existe quatre autres où Factorial IT résout la partie qui dépend des données, la plus coûteuse à réunir, comme on l’a déjà vu. Le reste de ces mesures se complète avec d’autres outils ou avec un processus interne. Ce n’est pas la même chose que les mesures que Factorial IT ne couvre pas du tout, que nous verrons plus loin. Sur ces quatre points, l’outil apporte quelque chose de concret, l’inventaire, la traçabilité ou la visibilité qu’il faut d’ordinaire des semaines pour reconstituer à la main.

b) Gestion des incidents

Un incident de sécurité comporte deux temps. Le détecter et, une fois détecté, déterminer jusqu’où il est allé. Ce sont deux tâches distinctes, prises en charge par des outils distincts.

La détection, c’est-à-dire se rendre compte que quelque chose de grave est en train de se produire, relève d’un SIEM ou d’un SOC. Un SIEM est un système qui collecte et corrèle les journaux de toute l’infrastructure pour déclencher une alerte lorsqu’il détecte une anomalie. Un SOC est l’équipe de personnes qui surveille ces alertes. Factorial IT n’est ni l’un ni l’autre, et ne prétend pas l’être.

Ce qu’il fait, en revanche, une fois l’incident détecté, c’est le délimiter. Lorsque l’appareil concerné est géré par Factorial IT, la console renvoie instantanément qui l’utilisait, à quoi cette personne avait accès et quelles actions avaient été menées sur l’appareil. C’est exactement ce dont vous avez besoin pour notifier dans les délais, mais l’alerte qui déclenche tout le processus vient d’ailleurs.

j) Authentification multifacteur

L’authentification multifacteur (MFA) est fournie par votre fournisseur d’identité (Google Workspace, Microsoft Entra ID ou autre), là où vos collaborateurs se connectent. Factorial IT ne remplace pas ce fournisseur et n’active pas la MFA de lui-même.

Là où Factorial IT aide, c’est sur le volet contrôle. La directive n’exige pas seulement d’avoir la MFA, elle exige de pouvoir prouver sur quels comptes elle est réellement active, et cette photographie est souvent éparpillée entre plusieurs outils. L’intégration avec le fournisseur d’identité permet de réunir cette information au même endroit.

i) Revue des accès

Revoir les accès, c’est vérifier de temps à autre que chaque personne ne conserve que les droits dont elle a besoin, ni plus ni moins. Cela a deux facettes. La première consiste à disposer de la liste de qui accède à quoi. La seconde est le processus formel qui consiste à faire asseoir un responsable pour examiner cette liste et signer son approbation, ce que l’on appelle la recertification.

Factorial IT résout la première facette. Il tient l’inventaire des accès par personne toujours à jour et exécute la révocation le moment venu. Ce qu’il n’apporte pas, c’est le circuit d’approbation, autrement dit le flux dans lequel chaque responsable de service revoit périodiquement les accès de son équipe et atteste qu’il les a validés.

d) Chaîne d’approvisionnement

Cette mesure vise à maîtriser le risque qui entre par vos fournisseurs, surtout ceux de logiciels et de services numériques. Elle comporte elle aussi deux parties. Savoir quels fournisseurs et services vous utilisez réellement, puis évaluer et contractualiser ces fournisseurs avec les garanties nécessaires.

C’est sur la première que Factorial IT apporte de la valeur. Il découvre les applications SaaS réellement utilisées dans l’organisation, y compris celles souscrites en dehors du département IT, ce que l’on appelle le shadow IT. Cet inventaire réel est le point de départ de la mesure, car on ne peut pas maîtriser le risque d’un fournisseur dont on ignorait même l’usage. Ce qui reste en dehors, c’est la seconde partie, l’évaluation et la contractualisation de chaque fournisseur, qui relève d’un processus métier et non d’une donnée.

Ce que Factorial IT ne couvre pas, et comment le traiter

Ces quatre domaines restent en dehors de Factorial IT, car aucun outil de cette catégorie ne couvre les dix mesures de l’article 21.2. Pour autant, savoir comment les traiter et dans quel ordre, c’est ce qui sépare un projet de six semaines d’un projet de six mois.

a) Gouvernance, politique et analyse des risques

Ce n’est pas un logiciel, car il s’agit de décisions de direction. Un document que personne n’approuve ne vaut pas comme preuve, et aucun outil ne peut signer à votre place la politique de sécurité ni l’analyse des risques.

La bonne approche passe par un cabinet de conseil, mais en cadrant la mission. Pour une entreprise de moins de 300 personnes, c’est un projet de quatre à six semaines, qui devrait vous livrer quatre éléments concrets.

• La politique de sécurité.
• L’attribution des rôles, avec noms et prénoms.
• L’analyse des risques sur les actifs critiques.
• Le procès-verbal d’approbation de l’organe de direction.

Demandez un devis forfaitaire par livrable, et non à l’heure. Vous partez d’ailleurs avec une longueur d’avance, car l’analyse des risques commence toujours par l’inventaire des actifs, qui représente souvent le premier mois de travail du cabinet. Si vous l’apportez déjà fait et relié aux personnes, vous économisez ce mois et entrez directement dans l’analyse.

g) Formation et sensibilisation

Le point g) de l’article 21.2 comporte deux moitiés. La première est la cyberhygiène technique, qui inclut l’antimalware et que Factorial IT couvre bien. La seconde est la formation des collaborateurs à la sécurité, et celle-ci reste en dehors, car la dispenser suppose une plateforme dédiée qui enregistre qui a terminé chaque cours.

C’est la mesure la moins chère de toutes et, en même temps, celle qui prend le plus souvent du retard. Une plateforme de simulation de phishing et de micro-formation coûte peu par collaborateur et par an, et la seule chose auditée est l’existence du relevé indiquant qui a suivi la formation. Elle se souscrit une fois et ne demande presque aucun suivi.

Son seul véritable entretien consiste à tenir à jour la liste des collaborateurs qui l’alimente, classée par service. Et cette liste est précisément celle que Factorial IT tient déjà à jour, au lieu de la gérer à la main dans une feuille séparée.

c) Sauvegardes, continuité et infrastructure

C’est la plus hétérogène des quatre. Sous le même intitulé se rangent la sauvegarde et la reprise, le plan de continuité et de reprise après sinistre, la sécurité réseau et le pare-feu périmétrique, les serveurs et les charges dans le cloud, ainsi que le contrôle des accès physiques. Rien de tout cela n’est du ressort de Factorial IT.

La première chose est de séparer deux éléments qui vont souvent de pair sans se confondre. D’un côté, l’outil de sauvegarde, qui est un achat et se règle avec votre intégrateur habituel. De l’autre, le plan de continuité, qui ne s’achète pas mais se rédige et se teste, et cela demande du temps en interne. Il s’agit de définir quels services sont critiques, combien de temps vous pouvez fonctionner sans eux et qui fait quoi pendant ce temps. Mieux vaut commencer par les quelques services sans lesquels l’entreprise s’arrête net, plutôt que par la liste complète des systèmes.

Ici encore, l’inventaire est le point de départ, car on ne peut pas bâtir un plan de continuité sur des systèmes qui ne sont même pas identifiés.

f) Supervision, audit et test d’intrusion

Cette mesure regroupe les trois manières de vérifier que ce que vous avez mis en place fonctionne réellement. La supervision consiste à surveiller les systèmes en continu pour détecter une activité anormale. L’audit est la revue, interne ou externe, qui vérifie que les mesures sont en place et respectées. Et le test d’intrusion, ou pentest, consiste à mandater quelqu’un pour tenter d’entrer dans vos systèmes comme le ferait un attaquant, afin de trouver les failles avant lui.

Factorial IT ne fait rien de tout cela, et pour des raisons différentes à chaque fois. La supervision continue relève d’un SOC, autrement dit une équipe qui surveille les alertes à toute heure, dont il a déjà été question dans la section sur les incidents. L’audit, par définition, doit être réalisé par un tiers indépendant qui n’est pas votre prestataire. Et le pentest est mené par une entreprise spécialisée en sécurité offensive. Ce sont trois prestataires externes, pas une fonction logicielle.

Ce qui peut vous guider, en revanche, c’est l’ordre, car il y a ici un conseil qui fait économiser de l’argent. La supervision avancée de type SOC n’est exigée que des entités essentielles, donc si vous êtes une entité importante, ne la souscrivez pas avant d’avoir bouclé les mesures de base, car c’est la dépense la plus élevée du projet et la moins urgente. L’audit et le pentest viennent en dernier, quand il y a déjà quelque chose à auditer, et se confient à un tiers accrédité.

Comment se conformer à NIS2 de bout en bout ?

Tout au long de cet article, les dix mesures de l’article 21.2 ont été réparties en trois groupes. Les six que Factorial IT couvre avec des données, celles qu’il couvre en partie, et celles qui restent en dehors parce qu’elles relèvent de décisions, de documents ou de prestataires externes. Le problème de ce découpage, c’est qu’il faut ensuite que quelqu’un rassemble toutes les pièces.

La réponse, c’est que ce n’est pas à vous de les rassembler. Factorial IT résout la couche technique, celle qui se démontre par l’état réel de vos appareils et de vos accès, tandis qu’une équipe d’experts et de partenaires spécialisés en conformité prend en charge la politique, l’analyse des risques, la continuité et l’audit. Et ils ne travaillent pas de leur côté, ils s’appuient sur les données que Factorial IT génère déjà, si bien que la preuve produite par l’outil est celle-là même qu’ils utilisent pour bâtir le dossier complet. Ce qui serait un projet avec cinq interlocuteurs différents devient un service de bout en bout.

➡️ METTEZ-VOUS EN CONFORMITÉ NIS2 EN QUELQUES SEMAINES. Factorial IT combine MDM, gestion des accès et un consultant conformité dédié pour vous mener de zéro à la conformité NIS2. ⬅️

Ce n’est pas une décision à repousser. Le non-respect de la directive NIS2 expose à des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, ainsi qu’à la responsabilité directe des organes de direction. Arriver en retard et à la dernière minute est la manière la plus coûteuse de se mettre en conformité. Commencer par la partie qui se règle avec des données, et s’appuyer sur un partenaire pour le reste, est la plus prévisible.