Tous les plans de contrôle

Plan de contrôle NIS 2

Plan de contrôle NIS 2 (directive (UE) 2022/2555) : plan de préparation. 35 points de contrôle, chacun relié à l'article et à sa source officielle. Modèle Excel (plan de contrôle) et Word (rapport) gratuits. Vérifié le 2026-10-18.

Droit applicable

Au 18 octobre 2026, la directive (UE) 2022/2555, à transposer au plus tard le 17 octobre 2024 (art. 41), ne l'est pas en France : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025 et par la commission spéciale de l'Assemblée nationale le 10 septembre 2025, a été retiré de l'ordre du jour des 7 et 9 octobre 2026 et n'est pas réinscrit ; aucune loi ni aucun décret de transposition n'est publié. Ce plan est donc un plan de préparation fondé sur les articles de la directive.

Qui est soumis

Entités publiques ou privées d'un type visé aux annexes I ou II de la directive, qui sont au moins des entreprises moyennes au sens de la recommandation 2003/361/CE (effectif d'au moins 50 personnes, ou chiffre d'affaires annuel et total du bilan annuel supérieurs à 10 M€) et exercent dans l'Union, ainsi que, quelle que soit leur taille, les entités de l'art. 2 § 2 à 4 (communications électroniques, services de confiance, DNS, registres et enregistrement de noms de domaine, entités critiques, administration publique centrale…).

Textes de référence

Les 35 points de contrôle

Périmètre et enregistrement

  1. NIS2-01 (Critique) : Déterminer si l'entité relève de la directive : type d'entité visé à l'annexe I ou II, fourniture de services ou exercice d'activités dans l'Union, et taille au moins égale à celle d'une entreprise moyenne au sens de l'art. 2 de l'annexe de la recommandation 2003/361/CE. Directive (UE) 2022/2555, art. 2 § 1 ; recommandation 2003/361/CE, annexe, art. 2 à 6, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 2 : champ d'application. Applicabilité : Entreprises moyennes ou plus : au moins 50 personnes, ou CA annuel ET bilan annuel > 10 M€, partenaires et liées agrégées ; sous ce seuil, voir les cas sans condition de taille (NIS2-02)
  2. NIS2-02 (Élevée) : Vérifier si l'entité relève de la directive quelle que soit sa taille : entité d'un type visé à l'annexe I ou II fournissant des réseaux ou services de communications électroniques publics, des services de confiance, un registre de premier niveau ou des services DNS, identifiée par l'État membre (art. 2 § 2 b) à e)) ou relevant de l'administration publique (point f)) ; entité critique au sens de la directive (UE) 2022/2557 ; enregistrement de noms de domaine. Directive (UE) 2022/2555, art. 2 § 2 à 4, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 2 : champ d'application
  3. NIS2-03 (Critique) : Déterminer la catégorie de l'entité : essentielle (notamment entité de l'annexe I dépassant les plafonds des moyennes entreprises, prestataire de services de confiance qualifié, registre de premier niveau, fournisseur DNS, opérateur de communications électroniques de taille moyenne) ou, à défaut, importante. Directive (UE) 2022/2555, art. 3 § 1 et 2, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 3 : entités essentielles et importantes, liste nationale
  4. NIS2-04 (Élevée) : Communiquer aux autorités compétentes, pour l'établissement de la liste nationale, au moins : nom, adresse et coordonnées actualisées (adresses électroniques, plages d'IP, téléphones) et, le cas échéant, secteur et sous-secteur et États membres où les services sont fournis. En France, en attendant la loi, l'ANSSI ouvre un pré-enregistrement en ligne sur MesServicesCyber. Directive (UE) 2022/2555, art. 3 § 3 et 4, premier alinéa, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 3 : entités essentielles et importantes, liste nationale
  5. NIS2-05 (Moyenne) : Notifier sans tarder toute modification des informations communiquées pour la liste nationale et, en tout état de cause, dans un délai de deux semaines à compter de la date de la modification. Directive (UE) 2022/2555, art. 3 § 4, deuxième alinéa, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 3 : entités essentielles et importantes, liste nationale
  6. NIS2-06 (Élevée) : Soumettre à l'autorité compétente les informations du registre tenu par l'ENISA (nom, secteur et type d'entité, établissement principal et autres établissements, coordonnées, États membres desservis, plages d'IP) et notifier toute modification dans un délai de trois mois. Directive (UE) 2022/2555, art. 27 § 2 et 3, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 27 : registre des entités. Applicabilité : Art. 27 § 1 : DNS, registres de premier niveau, enregistrement de noms de domaine, nuage, centres de données, CDN, services (de sécurité) gérés, places de marché, moteurs de recherche, réseaux sociaux en ligne.
  7. NIS2-07 (Élevée) : Désigner un représentant établi dans l'un des États membres où les services sont fournis, lorsque l'entité n'est pas établie dans l'Union mais y offre des services. Directive (UE) 2022/2555, art. 26 § 3, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 26 : compétence et territorialité. Applicabilité : Entités de l'art. 26 § 1 b) (DNS, nuage, centres de données, services gérés, places de marché, moteurs de recherche, réseaux sociaux en ligne…) non établies dans l'Union mais y offrant des services.

Gouvernance

  1. NIS2-08 (Critique) : L'organe de direction approuve les mesures de gestion des risques en matière de cybersécurité prises pour se conformer à l'article 21 ; ses membres peuvent être tenus responsables de la violation de cet article par l'entité. Directive (UE) 2022/2555, art. 20 § 1, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 20 : gouvernance
  2. NIS2-09 (Élevée) : L'organe de direction supervise la mise en œuvre des mesures de gestion des risques en matière de cybersécurité. Directive (UE) 2022/2555, art. 20 § 1, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 20 : gouvernance
  3. NIS2-10 (Élevée) : Les membres de l'organe de direction suivent une formation leur permettant d'acquérir des connaissances et compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques cyber et leur impact sur les services fournis. Les entités sont en outre encouragées à offrir régulièrement une formation similaire aux membres de leur personnel. Directive (UE) 2022/2555, art. 20 § 2, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 20 : gouvernance
  4. NIS2-11 (Moyenne) : Toute personne physique responsable d'une entité essentielle ou agissant comme son représentant légal a le pouvoir de veiller au respect de la directive par l'entité et peut être tenue responsable des manquements à ce devoir. Directive (UE) 2022/2555, art. 32 § 6, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 32 : supervision et exécution, entités essentielles. Applicabilité : Entités essentielles (art. 3 § 1).

Gestion des risques

  1. NIS2-12 (Critique) : Prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et systèmes d'information et éliminer ou réduire les conséquences des incidents sur les destinataires des services, avec un niveau de sécurité adapté au risque, compte tenu de l'état des connaissances, s'il y a lieu des normes applicables, du coût, de l'exposition aux risques, de la taille et de la probabilité et gravité des incidents. Directive (UE) 2022/2555, art. 21 § 1, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité
  2. NIS2-13 (Critique) : Fonder les mesures sur une approche « tous risques » visant à protéger les réseaux, les systèmes d'information et leur environnement physique contre les incidents, et disposer au moins de politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information. Directive (UE) 2022/2555, art. 21 § 2, point a), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité
  3. NIS2-14 (Critique) : Mettre en place la gestion des incidents. Directive (UE) 2022/2555, art. 21 § 2, point b), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité
  4. NIS2-15 (Élevée) : Assurer la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises. Directive (UE) 2022/2555, art. 21 § 2, point c), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité
  5. NIS2-19 (Élevée) : Disposer de politiques et de procédures pour évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité. Directive (UE) 2022/2555, art. 21 § 2, point f), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité
  6. NIS2-24 (Élevée) : Lorsque l'entité constate qu'elle ne se conforme pas aux mesures de l'article 21 § 2, prendre sans retard injustifié toutes les mesures correctives nécessaires, appropriées et proportionnées. Directive (UE) 2022/2555, art. 21 § 4, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité
  7. NIS2-25 (Élevée) : Appliquer les exigences techniques et méthodologiques de l'annexe du règlement d'exécution (UE) 2024/2690 et documenter de manière compréhensible l'argumentation lorsqu'une exigence prévue « s'il est besoin », « s'il y a lieu » ou « dans la mesure du possible » n'est pas appliquée. Règlement d'exécution (UE) 2024/2690, art. 2, EUR-Lex : Règlement d'exécution (UE) 2024/2690, article 2 : exigences techniques et méthodologiques. Applicabilité : Entités du règl. 2024/2690 : DNS, registres de premier niveau, nuage, centres de données, CDN, services (de sécurité) gérés, places de marché, moteurs de recherche, réseaux sociaux en ligne, services de confiance.

Chaîne d'approvisionnement

  1. NIS2-16 (Élevée) : Assurer la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité des relations entre l'entité et ses fournisseurs ou prestataires de services directs. Directive (UE) 2022/2555, art. 21 § 2, point d), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité
  2. NIS2-17 (Élevée) : Pour choisir les mesures de sécurité de la chaîne d'approvisionnement, tenir compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale de leurs produits et pratiques de cybersécurité, y compris de leurs procédures de développement sécurisé, et prendre en compte les résultats des évaluations coordonnées des risques menées au niveau de l'Union (art. 22 § 1). Directive (UE) 2022/2555, art. 21 § 3, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité

Sécurité des systèmes

  1. NIS2-18 (Élevée) : Assurer la sécurité de l'acquisition, du développement et de la maintenance des réseaux et systèmes d'information, y compris le traitement et la divulgation des vulnérabilités. Directive (UE) 2022/2555, art. 21 § 2, point e), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité
  2. NIS2-20 (Élevée) : Mettre en œuvre les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité. Directive (UE) 2022/2555, art. 21 § 2, point g), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité
  3. NIS2-21 (Élevée) : Disposer de politiques et de procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement. Directive (UE) 2022/2555, art. 21 § 2, point h), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité
  4. NIS2-22 (Élevée) : Assurer la sécurité des ressources humaines, disposer de politiques de contrôle d'accès et gérer les actifs. Directive (UE) 2022/2555, art. 21 § 2, point i), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité
  5. NIS2-23 (Élevée) : Utiliser, selon les besoins, des solutions d'authentification à plusieurs facteurs ou d'authentification continue, des communications vocales, vidéo et textuelles sécurisées et des systèmes sécurisés de communication d'urgence au sein de l'entité. Directive (UE) 2022/2555, art. 21 § 2, point j), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 21 : mesures de gestion des risques en matière de cybersécurité

Notification des incidents

  1. NIS2-26 (Critique) : Qualifier comme important tout incident qui a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité, ou qui a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables. Directive (UE) 2022/2555, art. 23 § 3, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 23 : obligations d'information
  2. NIS2-27 (Critique) : Transmettre au CSIRT ou à l'autorité compétente, sans retard injustifié et au plus tard 24 heures après avoir eu connaissance de l'incident important, une alerte précoce indiquant, le cas échéant, si l'incident est suspecté d'être causé par des actes illicites ou malveillants ou s'il pourrait avoir un impact transfrontière. Directive (UE) 2022/2555, art. 23 § 4, point a), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 23 : obligations d'information
  3. NIS2-28 (Critique) : Transmettre, sans retard injustifié et au plus tard 72 heures après avoir eu connaissance de l'incident important, une notification d'incident mettant à jour, le cas échéant, l'alerte précoce et fournissant une évaluation initiale (gravité, impact) et les indicateurs de compromission disponibles. Directive (UE) 2022/2555, art. 23 § 4, point b), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 23 : obligations d'information
  4. NIS2-29 (Moyenne) : Remettre un rapport intermédiaire sur les mises à jour pertinentes de la situation à la demande du CSIRT ou de l'autorité compétente. Directive (UE) 2022/2555, art. 23 § 4, point c), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 23 : obligations d'information
  5. NIS2-30 (Élevée) : Remettre un rapport final au plus tard un mois après la notification d'incident (description détaillée, gravité et impact, type de menace ou cause profonde, mesures d'atténuation, impact transfrontière) ; si l'incident est toujours en cours, un rapport d'avancement puis un rapport final dans le mois suivant son traitement. Directive (UE) 2022/2555, art. 23 § 4, points d) et e), EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 23 : obligations d'information
  6. NIS2-31 (Critique) : Par dérogation au délai de 72 heures, notifier au CSIRT ou à l'autorité compétente les incidents importants ayant un impact sur la fourniture des services de confiance, sans retard injustifié et au plus tard 24 heures après en avoir eu connaissance. Directive (UE) 2022/2555, art. 23 § 4, deuxième alinéa, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 23 : obligations d'information. Applicabilité : Prestataires de services de confiance (art. 23 § 4, deuxième alinéa).
  7. NIS2-32 (Élevée) : Le cas échéant, notifier sans retard injustifié aux destinataires des services les incidents importants susceptibles de nuire à la fourniture de ces services. Directive (UE) 2022/2555, art. 23 § 1, premier alinéa, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 23 : obligations d'information
  8. NIS2-33 (Moyenne) : Le cas échéant, communiquer sans retard injustifié aux destinataires potentiellement affectés par une cybermenace importante les mesures ou corrections qu'ils peuvent appliquer et, le cas échéant, les informer de la menace elle-même. Directive (UE) 2022/2555, art. 23 § 2, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 23 : obligations d'information

Supervision

  1. NIS2-34 (Élevée) : L'entité essentielle peut être soumise, au minimum, à des inspections sur place et contrôles à distance, y compris aléatoires, à des audits de sécurité réguliers et ciblés, à des audits ad hoc, à des scans de sécurité et à des demandes d'informations (dont les politiques de cybersécurité écrites), d'accès aux données et documents et de preuves de mise en œuvre ; sauf décision motivée contraire, le coût d'un audit ciblé par un organisme indépendant est à sa charge. Directive (UE) 2022/2555, art. 32 § 2, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 32 : supervision et exécution, entités essentielles. Applicabilité : Entités essentielles (art. 3 § 1) : supervision a priori (art. 32).
  2. NIS2-35 (Moyenne) : Au vu d'éléments indiquant un manquement, notamment aux art. 21 et 23, l'entité importante peut être soumise à des mesures de contrôle ex post : inspections sur place et contrôles à distance, audits de sécurité ciblés, scans de sécurité, demandes d'informations (dont les politiques de cybersécurité écrites), d'accès aux données et documents et de preuves de mise en œuvre ; sauf décision motivée contraire, le coût d'un audit ciblé par un organisme indépendant est à sa charge. Directive (UE) 2022/2555, art. 33 § 1 et 2, EUR-Lex : Directive (UE) 2022/2555 (NIS 2), article 33 : supervision et exécution, entités importantes. Applicabilité : Entités importantes (art. 3 § 2) : supervision a posteriori (art. 33).

Ce que le plan ne couvre pas