À retenir
Pour une PME ou une ETI travaillant essentiellement dans le cloud (concernée directement comme entité essentielle ou importante, ou indirectement via les exigences chaîne d’approvisionnement de ses grands clients), l’article 21 de NIS2 se traduit concrètement par la maîtrise du MFA, des revues d’accès SaaS, des applications OAuth tierces, des partages de fichiers, du Shadow AI et de la formation.
1. Comprendre comment NIS2 s’applique aux PME et ETI orientées cloud
La directive (UE) 2022/2555 (NIS2) étend les exigences européennes de cybersécurité aux moyennes et grandes organisations des secteurs listés dans ses annexes I et II, selon les modalités nationales précisées notamment par l’ANSSI en France (MonEspaceNIS2).
Même lorsqu’une PME n’est pas directement régulée en propre, l’article 21, paragraphe 2, point d), impose aux entités régulées d’évaluer la sécurité de leurs fournisseurs et prestataires directs. Les équipes IT et RSSI doivent donc pouvoir démontrer rapidement, preuves datées à l’appui, leur hygiène sur les comptes, le MFA, les intégrations SaaS, les données partagées et la sensibilisation.
Références : EUR-Lex - Directive (UE) 2022/2555 (Directive NIS2, articles 20 et 21) · ANSSI - Portail officiel MonEspaceNIS2 (accompagnement et périmètre)
2. Relier l’article 21(2) de NIS2 à vos contrôles SaaS, identités et IA
Plutôt que d’empiler des politiques théoriques, rattachez chaque mesure pertinente de l’article 21(2) aux contrôles opérationnels et aux exports datés que votre équipe maintient réellement.
| Mesure NIS2 - Article 21(2) | Contrôle opérationnel SaaS et poste de travail | Preuve datée à conserver |
|---|---|---|
| (a) Analyse des risques et politiques SI | Inventaire Shadow IT / Shadow AI, règles de partage cloud et charte IA | Registre daté des outils SaaS/IA, charte approuvée et suivi des dérogations |
| (b) Gestion des incidents | Bouton de signalement phishing, revue post-clic (OAuth, règles mail, liens) et alertes failles | Historique de tri, révocations OAuth vérifiées et actions correctives |
| (d) Sécurité de la chaîne d’approvisionnement | Audit des applications OAuth tierces, des extensions navigateur et suivi des failles fournisseurs | Décisions par application OAuth, portées révoquées et revues fournisseurs |
| (g) Cyberhygiène de base et formation | Parcours d’onboarding, micro-formations régulières et simulations de phishing | Exports de complétion, suivi des nouveaux arrivants et campagnes de phishing |
| (i) Sécurité RH et contrôle d’accès | Revues périodiques des habilitations, détection des anciens salariés et nettoyage des liens | Exports de revues d’accès signées et preuves de retrait dans les sources |
| (j) Authentification multifacteur (MFA) | Activation du MFA sur l’annuaire principal (Google Workspace, Entra ID, Okta) et les SaaS critiques | Relevés d’état MFA et suivi de correction des comptes sans second facteur |
Références : EUR-Lex - Directive (UE) 2022/2555 (Directive NIS2, articles 20 et 21) · ENISA - NIS2 Technical Implementation Guidance (anglais)
3. Traiter en priorité le MFA, les revues d’accès et les départs salariés
Les auditeurs comme les clients grands comptes examinent d’abord la gestion des identités, car un compte orphelin ou dépourvu de MFA reste le vecteur d’intrusion le plus direct. Vérifiez l’application du MFA sur votre annuaire principal (Google Workspace, Microsoft Entra ID ou Okta) et éliminez les comptes partagés non tracés.
Complétez ensuite le SSO par des revues d’habilitations régulières sur vos applications métiers : croisez les comptes avec vos effectifs actifs pour détecter immédiatement les anciens collaborateurs, et séparez toujours la décision métier de la preuve effective de suppression dans l’application source.
Références : EUR-Lex - Directive (UE) 2022/2555 (Directive NIS2, articles 20 et 21) · Documentation Elba - Identités et revues d’accès
4. Intégrer les accès OAuth, extensions navigateur et outils IA à la chaîne tiers
Dans un système d’information SaaS, la surface fournisseurs évolue chaque fois qu’un salarié autorise une application OAuth, installe une extension navigateur étendue ou colle des données dans un outil d’IA non validé. Le guide technique de l’ENISA sur NIS2 insiste sur l’inventaire des dépendances cloud et la limitation de leurs privilèges.
Passez en revue les consentements OAuth dans Google Workspace, Microsoft 365 et Dropbox ainsi que les extensions installées, révoquez les jetons dormants ou disproportionnés, et suivez les annonces de compromission ou de vulnérabilités critiques touchant vos éditeurs SaaS.
Références : EUR-Lex - Directive (UE) 2022/2555 (Directive NIS2, articles 20 et 21) · ENISA - NIS2 Technical Implementation Guidance (anglais)
5. Articuler cyberhygiène continue et formation des équipes et dirigeants
L’article 21(2)(g) associe explicitement pratiques de cyberhygiène de base et formation, tandis que l’article 20 engage la responsabilité et la formation des organes de direction. Mettez en place un socle simple et mesurable : parcours d’onboarding automatique à l’arrivée, modules courts réguliers (phishing, partages cloud, maîtrise de l’IA), simulations réalistes et bouton de signalement.
Conservez un relevé trimestriel lisible par la direction : comptes d’anciens collaborateurs clôturés, liens publics Drive ou SharePoint restreints, autorisations OAuth retirées et taux de suivi des formations.
Références : EUR-Lex - Directive (UE) 2022/2555 (Directive NIS2, articles 20 et 21) · ANSSI - Portail officiel MonEspaceNIS2 (accompagnement et périmètre) · Documentation Elba - Formation et prise de connaissance de documents
Comment Elba soutient votre mise en conformité opérationnelle NIS2
Elba ne fournit pas de qualification juridique NIS2, ne remplace pas votre enregistrement auprès de l’ANSSI et ne couvre pas les volets réseau ou sauvegarde hors SaaS. En revanche, Elba regroupe les contrôles opérationnels et les preuves exportables attendus sur les points (d), (g), (i) et (j) de l’article 21(2).
La plateforme réunit les revues d’habilitations (46 connecteurs avec synchronisation vérifiée des comptes, imports CSV ou captures d’écran validés, rapports de synthèse PDF datés et journaux CSV détaillés des décisions), le suivi MFA Google Workspace et la visibilité annuaire Okta en lecture seule, la gouvernance OAuth sur Google Workspace, Microsoft 365 et Dropbox, les Playbooks d’alerte sur les compromissions fournisseurs et CVE critiques/élevées, la protection des données sur 7 sources cloud, les contrôles Shadow AI sur Chrome, Edge, Firefox 128+ et Safari 26+, ainsi que la formation multilingue (avec exports CSV/XLSX pseudonymisés pour les auditeurs et validation de chartes PDF) et le signalement phishing dans Gmail et Outlook.
Références : Documentation Elba - Identités et revues d’accès · Documentation Elba - Formation et prise de connaissance de documents
Checklist NIS2 sécurité SaaS, identités et facteur humain
Vos cases cochées restent sur cette page et sont réinitialisées à son rechargement.
Questions fréquentes
Une PME de moins de 50 salariés est-elle concernée par NIS2 ?
Les petites entreprises sous les seuils de 50 salariés et 10 M€ de chiffre d’affaires sortent en principe du périmètre direct, sauf exceptions sectorielles prévues à l’article 2. Toutefois, de nombreuses PME SaaS et prestataires B2B doivent démontrer ces mêmes contrôles (MFA, revues d’accès, gouvernance OAuth, sensibilisation) dans les questionnaires de sécurité imposés par leurs clients soumis à l’article 21(2)(d).
Comment mutualiser nos travaux ISO 27001:2022 et NIS2 ?
Les mesures de l’article 21(2) de NIS2 recoupent directement les contrôles de l’Annexe A d’ISO/IEC 27001:2022 sur l’inventaire des actifs (5.9), les droits d’accès (5.15, 5.18), les fournisseurs et services cloud (5.19 à 5.23), les vulnérabilités (8.8) et la sensibilisation (6.3). Un même dossier de preuves SaaS, OAuth et revues d’accès datées sert aux deux référentiels.
Une vidéo annuelle de sensibilisation suffit-elle au titre de l’article 21(2)(g) ?
Non. L’article 21(2)(g) associe formation et pratiques concrètes de cyberhygiène, et l’article 20 implique directement les dirigeants. Associez un onboarding structuré et des modules courts réguliers à des contrôles vérifiables sur le MFA, les accès SaaS, les partages de fichiers et les outils d’IA.
Elba délivre-t-elle une certification NIS2 ?
Aucun outil logiciel ne certifie la conformité NIS2 ni ne couvre l’ensemble des obligations légales de notification ou d’infrastructure. Elba vous permet d’opérer et d’exporter des preuves vérifiables sur vos accès SaaS, votre posture MFA, vos intégrations OAuth, vos partages cloud, le Shadow AI et la formation des équipes.
Sources et documentation
Documentation de référence utilisée pour ce guide. Les paramètres et les éditions disponibles évoluent : consultez les sources avant de modifier vos réglages.
- EUR-Lex - Directive (UE) 2022/2555 (Directive NIS2, articles 20 et 21)
- ANSSI - Portail officiel MonEspaceNIS2 (accompagnement et périmètre)
- ENISA - NIS2 Technical Implementation Guidance (anglais)
- Documentation Elba - Identités et revues d’accès
- Documentation Elba - Formation et prise de connaissance de documents