Article 21 de NIS2 : les dix mesures
L'article 21 de la directive NIS2 oblige chaque entreprise concernée à gérer les risques qui pèsent sur son informatique. Il fixe dix mesures minimales, de l'analyse des risques à la double authentification.
Elles valent pour les entités essentielles comme pour les importantes. Pour savoir si la vôtre en fait partie, faites le test, ou lisez qui est concerné par NIS2.
Test d'éligibilité NIS2
Question 1 sur 5
Dans quel secteur travaille votre entreprise ?
Si elle en exerce plusieurs, choisissez celle qui figure dans la liste, même si ce n'est pas la principale.
Les dix mesures, une par une
Voici ce que chaque mesure demande concrètement à une PME, et les fiches du guide qui la préparent.
-
a) Analyse des risques et politique de sécurité
Lister ce qui ferait le plus de mal à l'entreprise si ça s'arrêtait ou fuyait, puis écrire sur une page les règles de sécurité qu'elle se donne.
Dans le guide
- Ce qui revient au dirigeant
-
b) Gestion des incidents
Savoir repérer une attaque, qui prévenir et quoi faire dans la première heure. Un incident important se déclare ensuite à l'ANSSI.
Dans le guide
- 05Protéger chaque ordinateur avec un antivirus actif
- 12Préparer le plan d'incident sur une page
-
c) Continuité d'activité, sauvegardes et gestion de crise
Des sauvegardes testées, dont une copie reste hors d'atteinte, et un plan pour continuer à travailler si l'informatique s'arrête.
Dans le guide
- 07Sauvegarder, avec une copie hors d'atteinte
- 12Préparer le plan d'incident sur une page
-
d) Sécurité des fournisseurs et prestataires informatiques
Savoir quels prestataires ont accès à vos systèmes et à vos données, et leur demander les garanties qui vont avec. C'est la mesure qui touche aussi les sous-traitants des entreprises concernées.
Dans le guide
- 11Fermer les accès à chaque départ
-
e) Sécurité des systèmes et correction des failles
Installer les mises à jour sans tarder, ne laisser ouvert sur internet que le nécessaire, et regarder la sécurité dès l'achat d'un logiciel ou d'un service.
Dans le guide
- 04Activer les mises à jour automatiques
- 05Protéger chaque ordinateur avec un antivirus actif
- 08Fermer ce qui est ouvert sur internet
-
f) Évaluation de l'efficacité des mesures
Vérifier à intervalles réguliers que les mesures sont en place et qu'elles marchent, et le noter.
Dans le guide
- Ce qui revient au dirigeant
-
g) Hygiène informatique et formation
Les règles de base appliquées partout, mises à jour et mots de passe compris, et des salariés qui savent reconnaître un faux message.
Dans le guide
- 02Équiper l'équipe d'un gestionnaire de mots de passe
- 09Bloquer les faux virements et l'arnaque au président
- 10Apprendre à reconnaître un hameçonnage
-
h) Cryptographie et chiffrement
Chiffrer ce qui doit l'être, les ordinateurs portables en premier, pour qu'un appareil perdu ne livre rien.
Dans le guide
- 06Chiffrer les ordinateurs portables, et pouvoir effacer un téléphone perdu
-
i) Sécurité des ressources humaines, contrôle d'accès et gestion des actifs
Savoir qui a accès à quoi, retirer les accès à chaque départ, réserver les droits d'administrateur et tenir la liste du matériel.
Dans le guide
- 01Activer la double authentification partout
- 02Équiper l'équipe d'un gestionnaire de mots de passe
- 03Réserver les droits d'administrateur
- 06Chiffrer les ordinateurs portables, et pouvoir effacer un téléphone perdu
- 11Fermer les accès à chaque départ
-
j) Authentification multifacteur et communications sécurisées
La double authentification sur les comptes qui comptent, la messagerie d'abord, et des échanges sensibles qui passent par des moyens sûrs.
Dans le guide
- 01Activer la double authentification partout
Ce qui va avec l'article 21
Des mesures proportionnées
La directive ne fixe pas un niveau unique. Les mesures tiennent compte de l'exposition de l'entreprise aux risques, de sa taille, et de la probabilité et de la gravité des incidents.
La direction en répond
L'article 20 demande aux dirigeants d'approuver ces mesures, d'en suivre l'application et de se former. Ils peuvent être tenus pour responsables d'un manquement.
Les incidents se déclarent
L'article 23 fixe trois temps pour un incident important : une alerte précoce à l'ANSSI sous 24 heures, une notification sous 72 heures, un rapport final un mois après.
Le détail des mesures
L'ANSSI a publié en mars 2026 son référentiel de mesures, le ReCyF, qui dira jusqu'où aller. Pour certaines entités du numérique, comme l'hébergement, l'infogérance ou les DNS, un règlement d'exécution européen, le 2024/2690, détaille déjà ces mesures.
Une première réponse à chaque mesure
Le guide de sécurité des PME met ces mesures dans l'ordre où une PME doit les appliquer, en douze fiches. Chaque fiche porte la lettre de l'article 21 qu'elle prépare, et un chapitre dit ce qui revient au dirigeant, l'analyse des risques et le point régulier compris.
190 € HTPrix de lancement jusqu'au vote de la loi, puis 290 € HT
PDF et version web, à télécharger dès le paiement
Commander
Choisissez ce qu'il vous faut, le guide, les clés, ou les deux.
- Vous choisissez le guide, les clés, ou les deux.
- Vous payez par carte sur la page sécurisée de Stripe. La facture arrive par e-mail.
- Le guide se télécharge aussitôt. Les clés sont expédiées sous dix jours ouvrés.
Une question avant de commander ?
Écrivez à clement@cthiriet.com.
Questions fréquentes
Que dit l'article 21 de NIS2 ?
Il oblige les entités concernées à prendre des mesures techniques, opérationnelles et organisationnelles pour gérer les risques qui pèsent sur leurs systèmes d'information. Ces mesures sont proportionnées à l'exposition de l'entité, à sa taille, et à la probabilité et à la gravité des incidents. Son paragraphe 2 en fixe dix au minimum, de a) à j).
Une PME concernée doit-elle appliquer les dix mesures ?
Oui, les dix, mais à sa mesure, puisque la directive demande des mesures proportionnées. Le niveau attendu en France sera précisé par l'ANSSI et les textes d'application de la loi Résilience. Une PME non concernée n'y est pas tenue, mais ce sont aussi les mesures qui la protègent le mieux.
Qui est responsable de ces mesures dans l'entreprise ?
La direction. L'article 20 demande aux dirigeants d'approuver les mesures, d'en suivre l'application et de se former. Ils peuvent être tenus pour responsables d'un manquement.
Faut-il être certifié ISO 27001 pour respecter l'article 21 ?
Non, la directive n'impose aucune certification à l'entreprise. Une démarche ISO 27001 couvre une bonne partie des dix mesures, mais elle n'est pas exigée.
Dans quels délais faut-il déclarer un incident ?
Un incident important se déclare à l'ANSSI en trois temps. Une alerte précoce sous 24 heures, une notification sous 72 heures, puis un rapport final un mois après la notification. C'est l'article 23, qui accompagne l'article 21.