Guide Kerndyne · Mise en conformité NIS2

Checklist NIS2 : 25 points pour PME et ETI françaises

Auto-évaluez votre conformité NIS2 en 10 minutes. Les 25 actions concrètes à mener avant la promulgation de la loi Résilience.

Publié le 14 septembre 2026 · Lecture 8 minutes

Cette checklist NIS2 vous permet de mesurer rapidement votre niveau de conformité avant la transposition française. Pour chaque item : ✅ fait, ⚠️ partiel, ❌ non fait.

Pilier 1 — Gouvernance (5 points)

  1. Un RSSI est désigné (interne ou externalisé)
  2. Une politique de sécurité écrite existe, validée par la direction
  3. Un comité cyber se réunit au moins trimestriellement
  4. La direction est formée aux risques cyber (au moins annuellement)
  5. Les rôles et responsabilités cyber sont documentés pour chaque employé clé

Pilier 2 — Gestion des risques (4 points)

  1. Une cartographie des actifs informationnels est tenue à jour
  2. Une évaluation des risques est réalisée annuellement (EBIOS RM ou ISO 27005)
  3. Un plan de traitement des risques existe avec priorisation
  4. Un audit de sécurité externe est réalisé annuellement minimum

Pilier 3 — Sécurité des systèmes (8 points)

  1. MFA généralisée sur tous les comptes (admin et user)
  2. Chiffrement des données au repos ET en transit
  3. Mises à jour automatiques (OS, applications, firmwares)
  4. EDR ou antivirus NG sur tous les postes
  5. Segmentation réseau (VLAN, isolation des actifs critiques)
  6. Politique de mots de passe robuste (longueur ≥ 14, gestionnaire de mots de passe)
  7. Sauvegardes 3-2-1 (3 copies, 2 supports, 1 externalisée)
  8. Politique de moindre privilège (accès justifié + revue annuelle)

Pilier 4 — Gestion des incidents (4 points)

  1. Un processus de détection 24/7 (SOC interne ou managé)
  2. Un runbook de réponse aux incidents existe et est testé
  3. Une procédure de notification ANSSI sous 24h est définie
  4. Une communication externe (clients, médias) est préparée

Pilier 5 — Continuité d'activité (4 points)

  1. Un PCA (Plan de Continuité d'Activité) existe
  2. Un PRA (Plan de Reprise d'Activité) existe
  3. Les PCA/PRA sont testés annuellement
  4. Le RTO (Recovery Time Objective) est défini et documenté

Score : interprétation

Score Niveau Action
0-8 / 25🔴 CritiqueAudit urgent + Quick wins
9-15 / 25🟠 InsuffisantProgramme 6 mois
16-20 / 25🟡 AcceptableFinaliser + surveiller
21-25 / 25🟢 ConformeMaintenir + auditer annuellement

Plan d'action type selon score

Score 0-8 (critique)

  1. Audit de sécurité externe sous 30 jours (3-8k€)
  2. Désigner un RSSI externalisé sous 60 jours (5-15k€/an)
  3. Implémenter les Quick wins (MFA, sauvegardes) sous 90 jours
  4. Rédiger la politique sécurité sous 90 jours
  5. Évaluation complète NIS2 sous 6 mois

Score 9-15 (insuffisant)

  1. Audit annuel de maintien (3-5k€)
  2. Combler les gaps Pilier 3 (EDR, segmentation)
  3. Processus de gestion d'incidents formalisé
  4. PCA/PRA documentés (même minimal)

Score 16-20 (acceptable)

  1. Audit annuel de maintien
  2. Surveillance continue (SOC ou service managé)
  3. Tests réguliers (phishing, PCA)
  4. Veille réglementaire

Score 21-25 (conforme)

  1. Maintenir le niveau (audits annuels)
  2. Amélioration continue
  3. Préparation à NIS3 (prochain cycle UE)

Outils gratuits pour avancer

Conclusion

Cette checklist NIS2 est votre point de départ. Pour les PME qui découvrent NIS2, commencer par ces 25 points couvre 80% des obligations. Pour aller plus loin, un audit de sécurité externe est indispensable.

Score < 16/25 ? Audit NIS2-ready recommandé

Demander un audit →