NIS2 en pratique : de l'obligation de notification à la preuve solide

Depuis le 6 décembre 2025, NIS2 a force de loi en Allemagne. La loi de transposition de NIS2 et de renforcement de la cybersécurité (NIS2UmsuCG) a été adoptée par le Bundestag le 13 novembre 2025, confirmée par le Bundesrat le 20 novembre, et est entrée en vigueur sans période de transition. Environ 29 500 entreprises, réparties sur 18 secteurs, sont concernées. La date limite d’enregistrement auprès du BSI, le 6 mars 2026, est passée ; un enregistrement tardif reste possible et demeure recommandé.

Beaucoup d’organisations ont abordé la mise en œuvre comme une tâche d’enregistrement et de documentation. La partie la plus difficile commence ensuite : pouvoir prouver, le moment venu, ce qui s’est réellement passé.

L’horloge tourne en heures, pas en semaines

Les obligations de notification (article 32) sont échelonnées et étroitement minutées. Pour un incident significatif : une alerte précoce dans les 24 heures, une notification dans les 72 heures, un rapport final dans un délai d’un mois. Ces délais ne peuvent être tenus que si un incident est détecté rapidement et reconstitué de façon traçable. Quiconque ne s’aperçoit qu’au moment de rédiger la notification que les données nécessaires manquent a, de fait, déjà manqué le délai.

Ce que l’autorité veut voir

L’article 30 exige des mesures de gestion des risques : surveillance, journalisation, traitement des incidents, continuité d’activité et sécurité de la chaîne d’approvisionnement. La différence décisive se joue entre « nous exploitons une surveillance » et « nous pouvons prouver ce qui s’est passé, et quand ». Une autorité de contrôle n’accepte pas une déclaration d’intention, elle veut des preuves.

Une preuve est solide lorsqu’elle réunit trois propriétés :

• Sans lacune : détection, escalade et réaction sont horodatées en continu, sans zones d’ombre dans le déroulé.
• Inaltérable : journaux et historiques d’incidents existent en append-only, non corrigibles discrètement après coup.
• Reconstituable : à partir de la piste d’audit, la chronologie de l’incident peut être dérivée de manière à correspondre aux délais de 24 heures, 72 heures et un mois.

C’est précisément là que de nombreux dispositifs échouent : la surveillance existe, mais les données sont éparpillées, réinscriptibles, ou ne peuvent être assemblées en une chronologie probante.

La responsabilité ne se délègue pas

L’article 38 met la direction en première ligne : elle doit approuver les mesures et superviser leur mise en œuvre. Cette responsabilité ne peut être transférée à l’informatique. L’article 65 fixe le cadre, avec des amendes pouvant atteindre 10 millions d’euros. Cela fait passer NIS2 d’une tâche technique à une tâche de direction.

Ce qui est pertinent dès maintenant

Trois mesures portent leurs fruits immédiatement : cartographier proprement ses propres obligations au regard des articles 30 et 32 ; organiser la détection de sorte que l’alerte précoce des 24 heures soit réellement atteignable ; et faire basculer la journalisation vers des pistes inaltérables et conservées suffisamment longtemps. Un déroulé de notification répété une seule fois révèle vite où la chronologie se rompt.

Dans notre module Datargo Monitor, la surveillance, la posture de sécurité et une piste d’audit append-only sont reliées de sorte que la preuve NIS2 puisse être produite à la demande. L’essentiel, cependant, ne dépend pas de l’outil : il s’agit de mener la détection et la journalisation de façon à ce qu’il reste, au bout du compte, une chronologie probante et non un amas de lignes de journal éparses.

NIS2 ne demande pas si vous exploitez une surveillance. Elle demande si vous pouvez le prouver.