Un logiciel de préparation à NIS2 peut relier inventaire des services, appréciation des risques, mesures de sécurité, fournisseurs, décisions de direction et chronologie des incidents. Aucun produit n’est imposé par la directive (UE) 2022/2555. En France, le choix de l’outil doit aussi tenir compte d’un fait de calendrier : au 27 septembre 2026, l’ANSSI présente encore la transposition nationale comme à venir. Son référentiel ReCyF diffusé le 17 mars 2026 est un document de travail, non contraignant par défaut. L’examen parlementaire du projet de loi est programmé pour octobre ; une séance inscrite à l’ordre du jour n’est pas une promulgation.
Vous pouvez donc avancer sur les risques et les preuves sans acheter une prétendue « certification NIS2 France » ni inscrire dans le logiciel des obligations nationales définitives qui n’ont pas encore été fixées. Ce guide compare des approches d’outillage et propose un essai commun aux candidats, plutôt qu’un palmarès de fournisseurs ou des prix de marché non vérifiés.
Vérifier le périmètre avant d’acheter
La directive distingue entités essentielles et entités importantes à partir des secteurs de ses annexes, de règles de taille et de cas particuliers. Une même organisation peut exploiter plusieurs services, mais le nom de son secteur commercial ne suffit pas à décider seul du statut. Les cas de la santé, de l’énergie et des collectivités peuvent aider à formuler les questions de périmètre ; leur application en France doit toutefois être relue à la lumière de la loi finalement promulguée. Identifiez l’entité juridique, les services concernés, les établissements et les éventuelles exceptions. Notre guide de qualification NIS2 explique les étapes générales ; un outil doit conserver le raisonnement et les sources de chaque conclusion, y compris lorsqu’il reste provisoire au regard de la future loi française.
L’article 21 de la directive prévoit des mesures de gestion des risques de cybersécurité appropriées et proportionnées. Il ne se réduit pas à un tableau de dix cases : politiques d’analyse des risques, gestion des incidents, continuité, sécurité de la chaîne d’approvisionnement, acquisition et maintenance des systèmes, efficacité des mesures, hygiène et formation, cryptographie, contrôle d’accès et authentification doivent être examinés selon la situation de l’entité. L’article 20 traite de l’approbation et de la supervision par les organes de direction ainsi que de leur formation. L’article 23 organise la notification des incidents significatifs, non de chaque alerte technique. Le logiciel doit relier un service à ses risques, à une mesure, à un responsable et à une preuve datée.
Les mesures nationales et les modalités d’enregistrement peuvent évoluer lors de la transposition. Conservez donc dans la configuration le texte d’origine de chaque exigence et sa version. Un champ « satisfait NIS2 » ne prouve rien si son seuil provient d’une brochure commerciale. Les organisations déjà soumises au dispositif NIS antérieur, à une obligation sectorielle ou à DORA doivent analyser ces règles propres sans attendre qu’un outil les fusionne automatiquement. La transposition NIS2 en France est un sujet distinct de la comparaison des logiciels.
La situation française au 27 septembre 2026
L’ANSSI explique sur sa page NIS2 que la transposition en droit national est encore attendue et propose une préinscription pour préparer les futurs acteurs. Cette préinscription ne démontre ni que l’entité est définitivement qualifiée, ni qu’elle respecte déjà une loi future. L’ANSSI a présenté ReCyF le 17 mars 2026 comme un référentiel de mesures recommandées en version de travail ; l’agence précise qu’il est, à ce stade, non contraignant par défaut. Une fonctionnalité qui importe ReCyF peut aider à préparer un plan d’action, mais ne doit pas figer cette version comme règle française définitive.
L’ordre du jour de l’Assemblée nationale, consulté le 27 septembre 2026, inscrit le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité au 7 octobre 2026. Le relevé de la conférence des présidents du 22 septembre prévoit une poursuite le 9 octobre. Cet agenda peut changer ; il ne prouve ni adoption, ni publication, ni entrée en vigueur. Avant une décision d’achat fondée sur un délai national précis, vérifiez de nouveau les textes promulgués et leurs actes d’application. N’inventez pas un « délai ANSSI 2026 » à partir de la seule directive.
Le travail de cartographie des mesures ReCyF peut aider à relier une recommandation à une preuve déjà disponible, à condition de conserver la mention « version de travail » et de réexaminer la correspondance après la transposition. Dans un appel d’offres, demandez à l’éditeur d’afficher la source et la version de chaque contrôle importé, puis de montrer ce qui se passe si un contrôle change. Un tableau figé à la version de mars 2026 pourrait donner une impression de certitude injustifiée.
Ce calendrier n’empêche pas de corriger aujourd’hui une sauvegarde qui ne peut pas être restaurée ou une liste de fournisseurs obsolète. Il incite surtout à choisir un outil dont les référentiels sont versionnés, dont les champs peuvent être modifiés et qui sépare l’obligation en vigueur, le projet de texte et la bonne pratique. Le guide d’hygiène informatique de l’ANSSI offre des gestes de sécurité utiles indépendamment du statut législatif de NIS2.
Trois familles d’outils, trois problèmes différents
Une plateforme de gouvernance, risques et conformité peut centraliser services, mesures, responsables, revues et preuves. Elle est intéressante lorsque plusieurs directions et filiales interviennent, mais son coût d’intégration et sa charge d’administration doivent être comparés à la valeur réellement obtenue. L’outil ne collecte pas spontanément des preuves fiables : il faut définir qui les valide et ce qu’une capture d’écran ou un rapport technique démontre. La gestion d’une PSSI peut couvrir une partie du besoin, sans résumer tout l’article 21.
Un outil de gestion des incidents suit détection, qualification, décisions, messages et retour d’expérience. Il n’est utile pour NIS2 que s’il permet de distinguer un incident de sécurité ordinaire d’un incident significatif selon les critères applicables, d’enregistrer les heures de connaissance et de coordonner les personnes qui prennent la décision. Un outil qui ouvre automatiquement une « notification NIS2 » pour chaque ticket de support crée du bruit. À l’inverse, un tableau de bord joli mais sans permanence des contacts ni conservation des échanges peut échouer le jour d’un incident. Le guide sur la notification des incidents NIS2 développe la procédure ; ici on évalue l’instrument qui l’appuie.
Une plateforme multi-référentiels met en relation risques, fournisseurs et mesures déjà documentés sous plusieurs cadres. Elle peut éviter certaines doubles saisies, mais une preuve de sécurité commune ne suffit pas à déclarer satisfaites deux obligations juridiques différentes. Le comparatif des plateformes multi-référentiels aborde cette architecture. Testez si le produit permet de conserver, pour chaque obligation, sa source, sa version, son champ d’application et sa décision propre. Une exportation qui fusionne NIS2 et RGPD dans une colonne « conforme » perd précisément ce qui doit être démontré.
| Besoin principal | Première approche à essayer | Question décisive |
|---|---|---|
| Mesures et supervision de plusieurs services | Gouvernance des risques | Relie-t-elle décision, propriétaire et preuve vérifiable ? |
| Incident significatif et messages successifs | Gestion d’incident | Conserve-t-elle l’heure et les motifs de qualification ? |
| Plusieurs cadres applicables | Multi-référentiels | Distingue-t-elle les obligations, leurs versions et leurs autorités ? |
Il ne s’agit pas d’une grille de prix. Demandez aux fournisseurs un chiffrage daté avec périmètre, utilisateurs, connecteurs, formation, assistance et sortie. Un petit organisme peut commencer avec des outils existants et des responsabilités claires ; une grande entité peut avoir besoin de plusieurs systèmes intégrés. Dans les deux cas, le tableau de comparaison doit refléter la tâche et non le prestige de la catégorie commerciale.
Un essai commun avec un service et un fournisseur fictifs
Prenez un service numérique fictif qui dépend d’un prestataire d’hébergement et d’une application métier. Demandez à chaque candidat de montrer l’inventaire des actifs pertinents, la dépendance au fournisseur, une interruption de service, le risque associé et une mesure compensatoire. Faites modifier le fournisseur en cours d’essai : voyez si l’outil signale les risques et preuves à revoir, ou si une ancienne évaluation reste simplement verte. Le comparatif des outils de cartographie du SI peut aider à distinguer l’inventaire technique de l’analyse des dépendances.
Ensuite, demandez une décision de direction. Une personne propose d’accepter temporairement un risque résiduel, avec justification, échéance et mesure de surveillance. Le produit doit montrer qui a approuvé, sur quelle information, et quand la décision sera revue. L’article 20 de la directive concerne l’approbation et la supervision des mesures, pas la simple présence d’un bouton « validé ». Le logiciel doit pouvoir exporter un compte rendu intelligible à un dirigeant sans révéler inutilement les détails techniques sensibles à tous les utilisateurs.
Enfin, déclenchez un incident hypothétique. À 9 heures, une alerte signale une interruption ; à 13 heures, l’équipe acquiert des éléments permettant de qualifier un incident significatif. Le système doit conserver ces deux moments distincts, les faits disponibles, les messages préparés et les compléments ultérieurs. Les règles de l’article 23 de la directive prévoient, pour un incident significatif, une alerte précoce sans retard injustifié et en tout état de cause dans les 24 heures après en avoir eu connaissance, puis une notification sans retard injustifié et dans les 72 heures après cette prise de connaissance. Si l’incident significatif affecte la fourniture des services de confiance d’un prestataire de services de confiance, cette notification est due sans retard injustifié et dans les 24 heures après qu’il en a eu connaissance. Un rapport intermédiaire sur l’état de la situation est fourni si le CSIRT ou l’autorité compétente le demande. Le rapport final est dû au plus tard un mois après la notification ; si l’incident est encore en cours à cette échéance, un rapport d’avancement est fourni alors, puis le rapport final dans le mois suivant le traitement de l’incident. Ce sont les étapes de la directive à préparer, non la preuve que chaque obligation a déjà pris effet en droit français pour cette organisation. Un incident peut aussi relever d’autres régimes, notamment du RGPD s’il constitue une violation de données personnelles : les seuils et destinataires restent distincts.
Demandez également de masquer ou de compartimenter les pièces : analyse technique, données de salariés, informations sur les fournisseurs et décisions de direction n’ont pas les mêmes lecteurs. Vérifiez le journal des changements et l’export, puis effacez les données d’essai. N’utilisez pas une vraie faille de votre système ou des données de clients comme démonstration commerciale.
Contrat, fournisseurs et coût complet
La criticité des fournisseurs et de leurs accès peut aider à choisir quel prestataire tester d’abord dans l’outil : celui dont l’interruption bloque un service ou dont l’accès technique expose une dépendance majeure. La priorité doit venir de cette analyse concrète, pas d’un score importé sans explication.
La chaîne d’approvisionnement de l’article 21, paragraphe 2, point d), demande d’examiner les relations avec les fournisseurs et prestataires directs. Un logiciel peut maintenir la liste, suivre les attestations et fixer une revue ; il ne prouve pas que le fournisseur protège réellement un service critique. Demandez ce qui se passe quand un contrat change, quand une preuve expire ou quand le prestataire signale un incident. Le modèle de politique de sécurité des fournisseurs peut fournir des questions à adapter ; il ne prouve pas à lui seul la sécurité d’un prestataire.
Le coût complet comprend licence, configuration, cartographie initiale, intégrations, rôles, formation, mise à jour des référentiels et réversibilité. Exigez une proposition écrite pour une période comparable et une exportation test. Si le vendeur promet une mise à jour « dès publication de la loi », demandez qui surveille les textes, quel délai contractuel s’applique, comment les changements sont signalés et qui valide la nouvelle correspondance. Une promesse vague n’est pas un service de veille juridique garanti. Évaluez également les conditions de traitement des données dans l’outil, y compris accès du support et sous-traitants.
L’hébergement en Europe peut simplifier certaines questions, mais ne dispense ni d’examiner les accès distants ni de protéger les données. Le marché public ou les règles internes d’achat peuvent imposer des contraintes supplémentaires selon l’acheteur. La grille de sélection doit séparer les exigences de sécurité, les critères opérationnels et les critères juridiques applicables à l’entité. Un outil n’est pas « conforme NIS2 » parce qu’il porte ce sigle dans son nom.
Questions fréquentes
Un logiciel NIS2 est-il obligatoire en France ?
Non. La directive prescrit des mesures et une organisation, pas l’achat d’un produit. Au 27 septembre 2026, l’ANSSI décrit encore la transposition française comme à venir. Des obligations sectorielles existantes peuvent s’appliquer par ailleurs ; examinez-les séparément. Choisissez un outil si vos risques, services et preuves justifient son coût et ses contraintes.
ReCyF est-il une certification ou une liste d’obligations définitives ?
Non. L’ANSSI a publié ReCyF le 17 mars 2026 comme document de travail, non contraignant par défaut à ce stade. Il peut guider une préparation et être comparé à un référentiel déjà utilisé, mais un fournisseur ne peut pas garantir la conformité à une loi française future en cochant sa version actuelle.
Les dates des 7 et 9 octobre signifient-elles que la loi s’applique ?
Non. Elles correspondent à un examen parlementaire annoncé au 27 septembre, susceptible de changement. Adoption, promulgation, entrée en vigueur et mesures d’application sont des étapes distinctes. Vérifiez le texte officiel actualisé avant d’inscrire un délai national dans votre outil.
Faut-il une plateforme lourde pour une entité importante ?
Pas nécessairement. Une équipe qui dispose d’une cartographie, d’une PSSI, d’un processus d’incident et de responsables capables de tenir des preuves peut avoir besoin d’un outil plus léger. Une autre, avec plusieurs services et fournisseurs, peut tirer profit d’une plateforme GRC. L’importance de l’entité n’impose pas une marque ou une architecture logicielle.
Le bon essai montre un service, un fournisseur, un risque, une décision de direction et un incident sur le même jeu de faits. Il doit permettre de voir ce qui relève de la directive, ce qui est encore projet de droit français et ce qui n’est qu’une pratique recommandée. La comparaison devient alors contrôlable même si le calendrier de transposition évolue.