NIS2 et pare-feu : ce qu’une appliance couvre réellement
NIS2 est la directive européenne qui relève le niveau minimal de cybersécurité des entités essentielles et importantes dans 18 secteurs. Cette page explique ce qu’elle exige et assume d’en dire les limites : un pare-feu contribue à certaines des mesures requises, mais aucun produit ne rend une organisation conforme.
Qui est concerné
La directive couvre 18 secteurs et plus de 80 types d’entités publiques et privées, réparties entre entités essentielles et importantes selon le secteur et la taille. Les entreprises de plus de 50 salariés ou 10 millions d’euros de chiffre d’affaires peuvent être concernées, bien au-delà des seuls grands opérateurs. Les obligations sont proportionnées : on tient compte de l’exposition au risque, de la taille de l’entité et de la probabilité et de la gravité des incidents.
En France : où en est la transposition
La France n’a pas encore transposé la directive. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité — qui transpose NIS2 en même temps que la directive REC et le volet DORA — a été adopté par le Sénat le 12 mars 2025, puis examiné en commission spéciale à l’Assemblée nationale jusqu’en septembre 2025 ; l’examen en séance publique est attendu en septembre 2026, les décrets d’application ensuite. En juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France pour transposition incomplète. L’ANSSI sera l’autorité compétente, l’enregistrement se fera via MonEspaceNIS2 et environ 15 000 entités sont attendues ; le référentiel technique ReCyF a été publié le 17 mars 2026, ce qui permet de préparer les mesures sans attendre la loi.
Les dix mesures de l’article 21
L’article 21, paragraphe 2 fixe une liste minimale, selon une approche tous risques :
- politiques d’analyse des risques et de sécurité des systèmes d’information
- gestion des incidents
- continuité des activités, comme la gestion des sauvegardes et la reprise après sinistre, et gestion des crises
- sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs directs
- sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris le traitement et la divulgation des vulnérabilités
- politiques et procédures pour évaluer l’efficacité des mesures de gestion des risques
- pratiques de base en matière de cyberhygiène et formation à la cybersécurité
- politiques et procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement
- sécurité des ressources humaines, politiques de contrôle d’accès et gestion des actifs
- authentification à plusieurs facteurs ou continue, communications vocales, vidéo et textuelles sécurisées et systèmes de communication d’urgence sécurisés
Ce qu’une appliance Netgate couvre réellement
Une lecture honnête, mesure par mesure. « Partiel » signifie que l’appliance apporte une brique technique ou les preuves, pas l’exigence entière.
| Mesure de l’article 21 | Contribution | Ce que fait l’appliance |
|---|---|---|
| (i) sécurité des ressources humaines, politiques de contrôle d’accès et gestion des actifs | Direct | La segmentation du réseau, les règles par zone et les VLAN appliquent le contrôle d’accès entre systèmes. Le volet ressources humaines de la même mesure n’est pas couvert. |
| (h) politiques et procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement | Direct | IPsec, WireGuard et OpenVPN protègent les données en transit entre sites et utilisateurs distants. Le chiffrement des données au repos reste à vos systèmes. |
| (j) authentification à plusieurs facteurs ou continue, communications vocales, vidéo et textuelles sécurisées et systèmes de communication d’urgence sécurisés | Direct | Authentification à plusieurs facteurs sur l’accès distant et les comptes d’administration. |
| (b) gestion des incidents | Partiel | Journalisation, détection et export vers un SIEM fournissent les preuves et la chronologie. Le processus de traitement, les rôles et la notification restent les vôtres. |
| (c) continuité des activités, comme la gestion des sauvegardes et la reprise après sinistre, et gestion des crises | Partiel | Les paires en haute disponibilité et les sauvegardes de configuration maintiennent la connectivité. Elles ne constituent pas un plan de sauvegarde ou de reprise de vos données. |
| (e) sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris le traitement et la divulgation des vulnérabilités | Partiel | Versions pfSense Plus maintenues et mises à jour de sécurité, pour le seul équipement. |
| (d) sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs directs | Partiel | Du matériel authentique acheté par un canal traçable et avec support est un élément d’évaluation des fournisseurs, pas une politique de chaîne d’approvisionnement. |
| (a) politiques d’analyse des risques et de sécurité des systèmes d’information | Aucun | L’analyse des risques est un exercice organisationnel. Aucun produit ne la réalise à votre place. |
| (f) politiques et procédures pour évaluer l’efficacité des mesures de gestion des risques | Aucun | Évaluer l’efficacité des mesures suppose des audits, des tests et des indicateurs. |
| (g) pratiques de base en matière de cyberhygiène et formation à la cybersécurité | Aucun | La formation et la cyberhygiène concernent les personnes, pas les équipements. |
Ce qu’aucun pare-feu ne fera à votre place
Ces obligations pèsent sur l’organisation et sa direction, et ne s’achètent pas :
- S’enregistrer auprès de l’autorité nationale compétente dans les délais applicables.
- Notifier les incidents importants dans les délais légaux : alerte précoce sous 24 heures, notification sous 72 heures et rapport final sous un mois.
- Gouvernance : les organes de direction approuvent les mesures, en supervisent la mise en œuvre et peuvent voir leur responsabilité engagée.
- Analyse des risques, formation du personnel et évaluation périodique de l’efficacité des mesures.
Sanctions
En cas de manquement aux articles 21 ou 23, les entités essentielles encourent des amendes administratives d’un maximum d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu ; pour les entités importantes, le plafond est de 7 millions d’euros ou 1,4 %.
Comment FRAOS vous aide
Nous fournissons des appliances Netgate authentiques avec pfSense Plus et vous aidons à couvrir les mesures techniques ci-dessus : segmentation, connectivité chiffrée, authentification à plusieurs facteurs sur l’accès distant, journalisation exploitable et configurations en haute disponibilité. Indiquez-nous votre secteur, votre taille et votre situation actuelle : nous vous dirons honnêtement quelle part du problème le matériel résout, et laquelle il ne résout pas.
Demander un devis ou une évaluation technique