Check-list · NIS2
Check-list NIS2 : votre exposition externe en sept points
NIS2 ne prescrit pas d’outil. Elle exige des mesures « appropriées et proportionnées » et des preuves. Cette check-list traduit ses articles 20, 21 et 23 en sept vérifications. NIS2 ne prescrit pas d’outil. Elle exige des mesures « appropriées et proportionnées » et des preuves. Cette check-list traduit ses articles 20, 21 et 23 en sept vérifications sur ce que votre organisation expose à l’extérieur.
- Guide
- Check-list
- Étapes
- 7 ·8 min de lecture
- Publié le
- Dernière mise à jour
En une phrase
La directive NIS2 attend des entités essentielles et importantes qu’elles gèrent leurs risques, y compris ceux de leur chaîne d’approvisionnement, et qu’elles notifient leurs incidents importants sous 24 puis 72 heures : la surveillance de l’exposition externe est l’un des moyens les plus directs d’y répondre.
La directive (UE) 2022/2555, dite NIS2, élargit fortement le nombre d’organisations soumises à des obligations de cybersécurité et rend la direction responsable de leur mise en œuvre. Sa transposition en France est portée par la loi « résilience » et par les référentiels de l’ANSSI ; vérifiez l’état des textes d’application sur cyber.gouv.fr avant de figer votre programme.
Les mesures attendues (article 21) incluent l’analyse des risques, la gestion des incidents, la sécurité de la chaîne d’approvisionnement, l’hygiène informatique et l’authentification multifacteur. Aucune ne se limite à l’intérieur du système d’information : ce que vos salariés, vos fournisseurs et vos domaines exposent dehors en fait partie.
Étapes
Les sept vérifications
- 01
Déterminer si vous êtes concerné
Les annexes I et II listent les secteurs (énergie, transport, banque, santé, numérique, industrie manufacturière de certains produits, services postaux, gestion des déchets, agroalimentaire…). Le seuil général est celui des moyennes entreprises ; certaines entités sont concernées quelle que soit leur taille. Qualifiez-vous « essentielle » ou « importante » et notez la date de vos obligations.
- 02
Inventorier la surface externe
Domaines et sous-domaines, adresses IP et plages, services exposés, certificats, applications SaaS utilisées avec des comptes professionnels, identités des personnes clés. L’inventaire doit être vu depuis l’extérieur, car c’est ainsi qu’un attaquant le voit ; ce que l’inventaire interne ignore reste exposé.
- 03
Surveiller identifiants et appareils compromis
L’usage d’identifiants valides reste une voie d’entrée privilégiée. Surveillez en continu les fuites et journaux de logiciels voleurs rattachés à vos domaines, et traitez chaque cas selon une procédure écrite (voir notre guide sur les identifiants compromis). Documentez le délai entre détection et révocation.
- 04
Surveiller la chaîne d’approvisionnement
NIS2 demande d’évaluer la sécurité de vos fournisseurs directs. Au minimum : liste des fournisseurs critiques, clauses contractuelles de notification, et surveillance de leur apparition sur les sites de fuite des groupes de rançongiciel, afin de déclencher vos propres mesures sans attendre leur notification.
- 05
Organiser la notification d’incident
L’article 23 prévoit une alerte précoce sous 24 heures après la prise de connaissance d’un incident important, une notification sous 72 heures et un rapport final sous un mois. Désignez qui déclare, à qui (l’ANSSI en France), avec quel modèle, et testez la chaîne au moins une fois par an.
- 06
Formaliser la gouvernance
L’article 20 rend les organes de direction responsables de l’approbation et du suivi des mesures, et prévoit qu’ils suivent une formation. Inscrivez la surveillance de l’exposition externe à l’ordre du jour d’un comité, avec un indicateur suivi dans le temps.
- 07
Constituer les preuves
Un contrôle demandera ce que vous surveillez, depuis quand, ce que vous avez trouvé et ce que vous en avez fait. Conservez les rapports datés, les décisions et les délais de traitement. Un rapport mensuel de posture répond à cette demande sans travail supplémentaire.
Ce que NIS2 attend concrètement sur l’exposition externe
Le texte ne parle ni de « dark web » ni de « surveillance externe ». Il parle de gestion des risques, de sécurité de la chaîne d’approvisionnement, de gestion des incidents et d’hygiène de base. Ce sont les auditeurs et les référentiels nationaux qui traduisent ces exigences en contrôles ; la surveillance de ce qui circule dehors est un contrôle simple à démontrer, avec des preuves datées.
Elle répond en particulier à trois questions que tout contrôle pose : savez-vous ce que vous exposez, saviez-vous que vos identifiants circulaient, et depuis quand.
Et DORA, pour le secteur financier ?
Le règlement (UE) 2022/2554, DORA, s’applique aux entités financières depuis janvier 2025 et prévaut sur NIS2 pour elles. Il exige la gestion des risques liés aux TIC, la notification des incidents majeurs, des tests de résilience et la surveillance des prestataires tiers de TIC. Les sept vérifications ci-dessus s’y appliquent, avec un accent supplémentaire sur les prestataires.
Questions fréquentes
NIS2 impose-t-elle une surveillance du dark web ?
Non, pas en ces termes. Elle impose une gestion des risques proportionnée et des preuves. La surveillance externe est un moyen courant et démontrable de couvrir les risques liés aux identifiants, aux fournisseurs et à la surface exposée.
Sommes-nous concernés en tant que sous-traitant d’une entité essentielle ?
Pas directement par la directive, sauf si votre propre secteur et votre taille vous y placent. En revanche, vos clients soumis à NIS2 doivent évaluer votre sécurité et vous imposeront des exigences contractuelles.
Par où commencer avec un budget limité ?
Par l’inventaire externe et la surveillance des identifiants rattachés à vos domaines : ce sont les deux contrôles au meilleur rapport entre effort et risque couvert, et les premiers que l’on vous demandera.
Des preuves datées, sans travail supplémentaire
Une évaluation d’exposition établit votre inventaire externe et l’état de vos identifiants en circulation, le point de départ d’un programme NIS2 documenté.
Offre sur mesure : un prix par service, aucun prix public, aucun pack.