Checklist NIS2 pour les PME — Guide de conformité complet

Recensement des systèmes d'information

Identifier et cartographier l'ensemble des systèmes d'information de votre organisation, y compris les interconnexions et les flux de données critiques.

Mise en œuvre d'un cadre de gouvernance de la sécurité numérique

Définir une politique de sécurité formelle, approuvée par la direction, avec des rôles et responsabilités clairement attribués.

Maîtrise de l'écosystème

Évaluer et sécuriser les relations avec vos prestataires, fournisseurs et partenaires. Intégrer des clauses de sécurité dans les contrats.

Intégration de la sécurité numérique dans la gestion des ressources humaines

Former et sensibiliser les collaborateurs à la cybersécurité. Gérer les arrivées, départs et changements de poste du point de vue des accès.

Maîtrise des systèmes d'information

Maintenir un inventaire à jour des actifs (matériel, logiciel, données) et assurer leur gestion tout au long de leur cycle de vie.

Mise en œuvre d'une approche par les risques

Conduire une analyse de risques formelle et la maintenir à jour. Prioriser les mesures de sécurité en fonction des risques identifiés.

Audit de la sécurité des systèmes d'information

Planifier et réaliser des audits de sécurité réguliers (tests d'intrusion, revues de configuration, audits organisationnels).

Maîtrise des accès physiques aux locaux

Contrôler les accès physiques aux locaux hébergeant des systèmes d'information critiques (serveurs, baies réseau, etc.).

Sécurisation de l'architecture des systèmes d'information

Segmenter les réseaux, cloisonner les environnements et appliquer les bonnes pratiques d'architecture de sécurité.

Sécurisation des accès distants aux systèmes d'information

Sécuriser les connexions à distance (VPN, télétravail, accès prestataires) avec des mécanismes de chiffrement et d'authentification renforcée.

Protection contre les codes malveillants

Déployer des solutions antimalware, maintenir les systèmes à jour et sensibiliser les utilisateurs aux menaces (phishing, ransomware).

Gestion des identités et des accès utilisateurs

Mettre en place une gestion centralisée des identités, appliquer le principe du moindre privilège et l'authentification multifacteur (MFA).

Maîtrise de l'administration des systèmes d'information

Sécuriser les comptes d'administration, tracer les actions d'administration et utiliser des postes dédiés si possible.

Sécurisation de la configuration des ressources

Durcir les configurations des serveurs, postes, équipements réseau. Appliquer des référentiels de sécurisation (CIS, guides ANSSI).

Administration depuis des ressources dédiées

Utiliser des postes et réseaux d'administration dédiés, séparés de l'environnement bureautique standard.

Identification et réaction aux incidents de sécurité

Mettre en place un processus de détection, qualification et traitement des incidents. Respecter les délais de notification (24h alerte initiale, 72h rapport).

Supervision de la sécurité des systèmes d'information

Mettre en place une supervision active (journaux, alertes, corrélation) pour détecter les comportements anormaux et les tentatives d'attaque.

Continuité et reprise d'activité

Élaborer des plans de continuité (PCA) et de reprise (PRA), incluant les sauvegardes, les procédures dégradées et les objectifs de reprise.

Réaction aux crises d'origine cyber

Définir une organisation de gestion de crise cyber avec des rôles, des procédures d'escalade et des canaux de communication dédiés.

Exercices, tests et entraînements

Réaliser régulièrement des exercices de crise, des tests de restauration et des simulations pour valider l'efficacité de vos dispositifs.