# NIS2 et gestion des vulnérabilités Guides Ce que la directive NIS2 demande sur les vulnérabilités, ce que cela veut dire en pratique et où aide un service qui dit chaque jour lesquelles comptent. Dernière mise à jour : 25 octobre 2026 ## Qui est concerné La directive (UE) 2022/2555, dite NIS2, demande aux États membres d'imposer des mesures de cybersécurité aux entités « essentielles » et « importantes » de nombreux secteurs, dont l'énergie, les transports, les banques, la santé, l'eau, les infrastructures numériques, les services gérés, l'administration publique, les services postaux, les déchets, la chimie, l'alimentation, l'industrie manufacturière, les fournisseurs numériques et la recherche. Elle concerne en général les moyennes et grandes entreprises ; certaines entités y entrent quelle que soit leur taille. Les États membres devaient la transposer au plus tard le 17 octobre 2024 et l'appliquer à partir du 18 octobre 2024. Chacun le fait par sa propre loi, et c'est la loi nationale qui dit qui est concerné, comment s'enregistrer et dans quels délais : renseignez-vous auprès de votre autorité nationale. ## Ce qu'elle demande sur les vulnérabilités - **Mesures de gestion des risques** (article 21) : techniques, opérationnelles et organisationnelles, appropriées et proportionnées. Parmi les mesures minimales figure la sécurité de l'acquisition, du développement et de la maintenance des systèmes, « y compris le traitement et la divulgation des vulnérabilités », avec la sécurité de la chaîne d'approvisionnement et les pratiques de base en matière de cyberhygiène. - **Responsabilité de la direction** (article 20) : les organes de direction approuvent les mesures, supervisent leur mise en œuvre et suivent une formation. - **Notification des incidents importants** (article 23) : une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification d'incident dans les 72 heures et un rapport final au plus tard un mois après la notification. - **Base européenne de vulnérabilités** (article 12) : l'ENISA la gère, avec la description des vulnérabilités, les produits touchés, leur gravité et les correctifs disponibles. - **Amendes** (article 34) : des montants maximaux d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et d'au moins 7 millions d'euros ou 1,4 % pour les entités importantes ; le montant le plus élevé s'applique. Pour certaines entités du numérique (services d'informatique en nuage et centres de données, services gérés et services de sécurité gérés, DNS, registres de noms de domaine, réseaux de diffusion de contenu, places de marché en ligne, moteurs de recherche, réseaux sociaux, services de confiance), le règlement d'exécution (UE) 2024/2690 entre dans le détail, y compris sur la gestion des correctifs de sécurité et des vulnérabilités. ## Ce que cela veut dire en pratique La directive ne dit pas quels outils utiliser et ne fixe pas de délai pour chaque correction : elle demande des mesures proportionnées au risque, et de pouvoir les démontrer. En général, cela veut dire : - savoir quels systèmes et produits vous utilisez, et lesquels sont exposés sur internet ; - vous informer chaque jour, auprès de sources fiables, sur les vulnérabilités qui les touchent ; - avoir un critère de priorité (exploitation, exposition, gravité) et des délais d'intervention ; - garder la trace des décisions : corrigé, atténué autrement ou risque accepté ; - attribuer les responsabilités et impliquer la direction. ## Où DefenceLevel aide - **Chaque jour à 05:00 UTC**, seulement les vulnérabilités qui comptent, avec le niveau, les produits touchés, les versions corrigées et que faire ; une alerte immédiate à DEFCON 1 et 2. - **[My Defence](https://defencelevel.com/fr/#mydefence)** : vous dessinez votre infrastructure, zone par zone, avec les produits que vous utilisez, et recevez alertes et briefings seulement sur ceux-ci. - **Les archives des briefings**, dans le tableau de bord : ce qui était connu et quand, pour documenter les décisions. DefenceLevel ne rend pas une organisation conforme à NIS2 et ne remplace ni l'analyse des risques, ni les procédures internes, ni l'avis d'un consultant : c'est l'une des sources pour savoir, chaque jour, quelles vulnérabilités comptent. ## Questions fréquentes ### Mon entreprise est-elle concernée par NIS2 ? Cela dépend du secteur et de la taille, selon la loi de votre pays. Votre autorité nationale publie les critères et les instructions pour l'enregistrement. ### NIS2 oblige-t-elle à utiliser un service de threat intelligence ? Non. Elle demande de traiter les vulnérabilités par des mesures appropriées ; la provenance des informations est laissée au choix de l'organisation. ### Dans quel délai faut-il corriger une vulnérabilité ? La directive ne fixe pas de délai pour les corrections : elle demande des délais proportionnés au risque. Les vulnérabilités activement exploitées sur des systèmes exposés passent en premier ; le guide sur [CVSS, EPSS et KEV](https://defencelevel.com/fr/guides/cvss-epss-kev) explique comment établir un ordre. ### Une attaque réussie grâce à une vulnérabilité doit-elle être notifiée ? S'il s'agit d'un incident important, oui : alerte précoce dans les 24 heures, notification dans les 72 heures et rapport final dans le mois, à l'autorité nationale ou au CSIRT. --- Page web: https://defencelevel.com/fr/guides/nis2