Pouvoir expliquer le traitement, plusieurs semaines plus tard
Pourquoi cette alerte a-t-elle été exclue ? Qui a accepté le report ? Quels systèmes restent concernés ? Si chaque revue oblige à rappeler l'analyste et à retrouver les échanges, le suivi repose trop sur la mémoire des personnes. Les décisions ont été prises, mais leur justification reste difficile à reprendre.
Un dossier exploitable rassemble les systèmes concernés, les sources, l'analyse, la décision, le responsable de l'action et la preuve attendue. Il permet de poursuivre le travail après un changement d'interlocuteur et de préparer les revues à partir d'informations déjà organisées.
Distinguer directive, droit national et référentiel de travail
La directive NIS2 prévoit des mesures de gestion des risques portant notamment sur la chaîne d'approvisionnement, la maintenance, le traitement des vulnérabilités et l'évaluation des mesures. Son applicabilité dépend de l'activité, de la taille et des exceptions prévues. Les fournisseurs peuvent aussi recevoir des demandes contractuelles de leurs clients, sans être directement assujettis au même titre qu'eux.
Au 30 octobre 2026, l'ANSSI indique que la transposition française est en cours et présente ReCyF comme une version de travail susceptible d'ajustements. Le dossier parlementaire retrace le projet de loi Résilience. Pour préparer votre dispositif, distinguez les dispositions applicables des recommandations et travaux en cours ; la version de travail de ReCyF ne constitue pas une norme finale universelle.
Sources : Directive (UE) 2022/2555, articles 2, 4 et 21 et annexes, ANSSI, NIS2 : périmètre, transposition française et statut de ReCyF, Assemblée nationale, dossier du projet de loi Résilience
Définir une chaîne courte entre constat et preuve
Identifiez d'abord les services, systèmes, versions et interlocuteurs. Rattachez chaque signalement à ses occurrences, puis justifiez son statut : applicable, non applicable ou à investiguer. Établissez ensuite la priorité en tenant compte de l'exposition, des enjeux du service, des éléments d'exploitation et des contraintes de correction.
La décision précise ce qui doit être fait et qui arbitre. Chaque action comporte un responsable, une échéance et une preuve attendue. En cas de report, l'exception conserve le motif, son propriétaire, les mesures temporaires et la condition de réexamen. Ces informations rendent la prochaine revue utile : elle porte sur les évolutions et les décisions attendues.
Cas fictif : un composant commun à plusieurs services
Dans cet exemple fictif, le groupement Vallée exploite un portail et une application interne utilisant la même bibliothèque. L'analyse de DEMO-NIS2-01 établit une condition d'applicabilité commune. Les traitements diffèrent ensuite : le portail est exposé et l'application interne suit une chaîne de validation distincte. Un dossier technique peut être partagé, avec deux occurrences et deux actions suivies.
Le responsable du portail prépare un correctif ; le propriétaire de l'application interne demande une validation fournisseur. La correction du portail ne ferme pas l'occurrence interne. De même, un système absent d'une nouvelle collecte reste à vérifier. Le comité dispose des deux trajectoires et peut arbitrer les blocages sans perdre la couverture des systèmes.
| Élément | Preuve conservée dans l'exemple |
|---|---|
| Qualification mutualisée | Source, condition examinée et hypothèses identiques |
| Occurrence portail | Version, responsable et validation du déploiement |
| Occurrence interne | Question fournisseur, décision et réexamen |
| Synthèse de revue | Actions terminées, blocages et arbitrages distincts |
Mesurer l'effort utile et clarifier le partage des rôles
Mesurez les dossiers sans propriétaire, les décisions en attente et le temps nécessaire pour retrouver les preuves d'un échantillon. Suivez aussi les réanalyses provoquées par un manque de contexte. Conservez les mêmes unités d'une période à l'autre : une consolidation de lignes change le volume du registre, pas nécessairement le nombre de vulnérabilités.
CyberLifeCycle prend en charge la veille, la qualification et le suivi de vos dossiers, avec des alertes et des rapports pour les équipes et la direction. Vous retrouvez les priorités, les retards et les preuves à examiner dans vos revues. L'organisation arbitre et ses équipes habilitées exécutent les corrections. Ces livrables contribuent aux démarches NIS2 ; ils ne couvrent pas à eux seuls l'ensemble des exigences applicables.
Sources consultées
- Directive (UE) 2022/2555, articles 2, 4 et 21 et annexesConsulté le 30 octobre 2026.
- ANSSI, NIS2 : périmètre, transposition française et statut de ReCyFConsulté le 30 octobre 2026.
- Assemblée nationale, dossier du projet de loi RésilienceConsulté le 30 octobre 2026.