La directive NIS2, entrée en vigueur en Europe et en cours de transposition complète en France, concerne désormais plusieurs milliers d'organisations françaises : les « entités essentielles » et « entités importantes », un périmètre qui inclut de nombreuses ETI industrielles, acteurs de la santé, de la distribution ou des collectivités. Beaucoup de nos clients découvrent qu'ils y sont soumis — directement ou via les exigences de leurs propres clients.
La gestion des vulnérabilités devient une obligation explicite
Parmi les mesures de gestion des risques prévues par la directive figure la gestion des vulnérabilités : identifier les failles qui affectent vos systèmes, les corriger dans des délais maîtrisés, et être capable de le démontrer. Concrètement, cela suppose trois choses : un inventaire exhaustif des actifs et des logiciels, un processus documenté d'application des correctifs, et des preuves — rapports, historiques, indicateurs.
La responsabilité monte d'un étage
NIS2 engage la responsabilité des organes de direction, qui doivent valider les mesures de gestion des risques et peuvent être tenus pour responsables en cas de manquement. En pratique, cela change la conversation budgétaire : la question n'est plus « peut-on se permettre un outil de gestion de parc ? » mais « comment démontrons-nous que nos postes sont maintenus à jour ? ». Un tableau de bord de conformité présentable en comité de direction devient un livrable attendu, au même titre que les comptes annuels.
La chaîne fournisseur entre dans le périmètre
La directive impose d'évaluer la sécurité des fournisseurs. Les grands donneurs d'ordre répercutent déjà ces exigences sur leurs sous-traitants : questionnaires de sécurité, demandes de preuves sur la politique de mise à jour. Pour une PME non soumise directement à NIS2, être capable de produire un rapport de couverture des correctifs devient un argument commercial.
Par où commencer ?
Sans attendre un éventuel contrôle : recenser le parc, définir des délais de correction par criticité, et mettre en place un reporting mensuel. Ces trois briques — qui sont aussi le cœur de Qualizeo Fleet — couvrent l'essentiel de ce qu'un auditeur demandera de voir sur le volet « gestion des vulnérabilités ».