NIS2 : ce qu’elle exige et comment prouver votre conformité
En bref
NIS2 est une directive de l’UE, applicable depuis le 18 octobre 2024 via le droit national, pour les entités essentielles et importantes de 18 secteurs. Elle exige des mesures de gestion des risques (article 21) et la notification des incidents significatifs dans des délais de 24 heures, 72 heures et un mois (article 23). ROOTKey fait correspondre ces exigences à votre infrastructure existante, avec des preuves cryptographiques vérifiables.
- Amende maximale
- 10 M€ou 2 % du chiffre d’affaires annuel mondial
- Délai d’alerte
- 24haprès la détection d’un incident significatif
- Secteurs concernés
- 18entités essentielles et importantes
- Applicable depuis
- 18 oct. 2024via le droit national de chaque État membre
Qui est concerné et quels sont les enjeux
NIS2 s’applique aux entités essentielles et importantes de 18 secteurs et est applicable depuis le 18 octobre 2024 via le droit national de chaque État membre. L’amende maximale dépend de celle des deux catégories dont relève l’entité.
| Entité | Amende maximale |
|---|---|
| Entités essentielles | Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu |
| Entités importantes | Jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu |
Vous ne savez pas où vous en êtes ? Le simulateur NIS2 évalue votre écart de conformité.
Texte officiel : directive (UE) 2022/2555 sur EUR-Lex.
NIS2 en cinq minutes
Une présentation en langage clair de la directive : qui elle couvre, ce qu'elle exige, les amendes et la place de l'intégrité des données.
NIS2, DORA et le RGPD sont expliqués dans le même format dans la playlist Compliance de notre chaîne YouTube.
Article 21 : mesures de gestion des risques
L’article 21 exige des mesures documentées d’analyse des risques, de gestion des incidents, de continuité d’activité, de sécurité de la chaîne d’approvisionnement et de contrôle d’accès. Voici comment chaque exigence correspond à ROOTKey.
| Article | Exigence | ROOTKey | Statut |
|---|---|---|---|
| 21 · 2(a)Politiques d’analyse des risques | Les entités doivent mettre en place des politiques d’analyse des risques pour les systèmes d’information et la sécurité, documentées et versionnées. | Registre immuable des politiques avec un hash cryptographique vérifiable et un historique ancré - toute altération rétroactive est détectable cryptographiquement. | Couvert |
| 21 · 2(b)Gestion des incidents | Procédures documentées de détection, d’analyse, de confinement et de réponse aux incidents de sécurité, avec chaîne de traçabilité. | Horodatages signés cryptographiquement pour chaque événement. Chaîne de traçabilité vérifiable, exportable vers les régulateurs en quelques secondes. Le rapport indique ce qui a changé, qui, quand et où. | Couvert |
| 21 · 2(c)Continuité d’activité | Plans de sauvegarde, de reprise après sinistre et de gestion de crise qui assurent une continuité opérationnelle vérifiable. | Points de récupération avec vérification cryptographique de l’intégrité - une vérification que les sauvegardes n’ont pas été compromises avant d’en avoir besoin. | Couvert |
| 21 · 2(e)Sécurité de la chaîne d’approvisionnement | Sécurité dans les relations avec les fournisseurs et les prestataires, y compris l’accès aux données et aux systèmes d’information critiques. | Vérification cryptographique des accès dès la conception : chaque accès est authentifié par une preuve cryptographique, sans confiance implicite envers aucune entité. | Couvert |
| 21 · 2(j)Authentification & contrôle d’accès | Authentification multifacteur et solutions de communication sécurisée comme mécanismes de protection de l’accès aux systèmes critiques. | MFA avec vérification cryptographique - une authentification forte sans exposer les identifiants, intégrée via API aux systèmes existants. | Partiel |
Article 23 : délais de notification des incidents
L’article 23 de NIS2 exige une notification à l’autorité nationale dans les 24 heures suivant un incident significatif, un rapport détaillé sous 72 heures et un rapport final dans un délai d’un mois. ROOTKey génère automatiquement la piste de preuves cryptographiques nécessaire aux trois étapes.
| Délai | Étape | Détail |
|---|---|---|
| T0 | Détection | Journaux à horodatage immuable - une preuve vérifiable du moment où l’incident a été détecté. |
| 24h | Alerte | Notification au CSIRT sous 24 h (alerte) après la détection d’un incident à impact significatif. |
| 72h | Rapport intermédiaire | Un rapport détaillé sous 72 heures. Export structuré, prêt en quelques minutes. |
| 1 mois | Rapport final | Un rapport final dans un délai d’un mois - avec la piste de preuves cryptographiques complète. |
Le rôle de ROOTKey : au-dessus de votre infrastructure, pas à sa place
ROOTKey ne remplace pas vos systèmes existants. Elle ajoute une couche de vérification cryptographique via API - sans migration, sans verrouillage fournisseur.
- Preuve cryptographique auditable
- Chaque action critique génère une preuve indépendante, vérifiable par des auditeurs externes sans accéder aux données d’origine.
- Points de récupération vérifiables
- Des sauvegardes dont l’intégrité est vérifiée cryptographiquement : date, contenu et intégrité, le tout vérifiable.
- Horodatages immuables
- Une chaîne de traçabilité pour chaque événement de sécurité, avec une preuve vérifiable du moment où il s’est produit.
Tout fichier, une même preuve
PDF, images, Word, Excel, PowerPoint, tables et bases de données : quel que soit le fichier, ROOTKey le compare à l’original scellé et ne montre que ce qui a été modifié.
- Déploiement
- SaaS · Cloud privé · Sur site
- Connecteurs
- SharePoint · OneDrive · Amazon S3 · Cloudflare R2 · tables et bases de données · REST API et webhooks
Intégration : opérationnel en quelques jours, pas en quelques mois
API REST documentée et webhooks, support Enterprise dédié. ROOTKey s’adapte à votre infrastructure - et non l’inverse.
Intégration via API
API REST documentée et webhooks. Opérationnel en quelques jours, sans remplacer l’infrastructure existante.
Preuves automatiques
Chaque événement critique génère une preuve cryptographique immuable et auditable, avec un effort opérationnel minimal.
Reporting instantané
Tableau de bord de conformité en temps réel et export des preuves vers les régulateurs en quelques secondes.
Questions fréquentes
Qu’exige NIS2 en matière de notification des incidents ?
L’article 23 de NIS2 exige une notification à l’autorité nationale dans les 24 heures suivant un incident significatif, un rapport détaillé sous 72 heures et un rapport final dans un délai d’un mois. ROOTKey génère automatiquement la piste de preuves cryptographiques nécessaire aux trois étapes.
Qu’est-ce qu’un incident significatif au sens de NIS2 ?
Les incidents significatifs comprennent ceux qui causent une perturbation opérationnelle grave, des pertes financières ou un impact sur d’autres entités - notamment les attaques par ransomware, les atteintes à l’intégrité des données et les compromissions de la chaîne d’approvisionnement.
Comment ROOTKey aide-t-elle à respecter l’article 21 de NIS2 ?
L’article 21 de NIS2 exige des politiques cryptographiques, un contrôle d’accès et une gestion des incidents. La vérification continue de l’intégrité de ROOTKey aide à répondre aux exigences de preuve cryptographique et fournit une piste d’audit immuable pour la documentation des incidents.
Quelle est l’amende en cas de non-respect de NIS2 ?
Les entités essentielles s’exposent à des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les entités importantes s’exposent à des amendes pouvant atteindre 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.