Conseil · Audit · Cybersécurité
Accompagnement NIS2 – loi Résilience
Faites de votre préparation NIS2 un projet concret pour protéger votre activité. PROGEDYS vous accompagne pour comprendre votre situation, auditer votre système d’information, définir les priorités et mettre en œuvre une démarche de cybersécurité suivie dans la durée.
Une démarche utile à votre entreprise, au-delà du texte
Une interruption informatique peut immobiliser les équipes, perturber les livraisons ou les soins, bloquer l’accès aux dossiers et fragiliser la relation avec vos clients. Se préparer à NIS2, c’est aussi mieux connaître ses dépendances et organiser la continuité de son activité.
Voir clair dans votre situation
Identifier les activités et les systèmes concernés, les protections existantes, les dépendances et les responsabilités.
Décider avec des priorités
Disposer d’une feuille de route expliquée, avec des responsables, des étapes et des arbitrages adaptés à votre organisation.
Agir et suivre les résultats
Mettre en place les mesures retenues, les tester et conserver une documentation utile pour leur suivi et leur réévaluation.
Notre objectif : vous aider à passer des interrogations réglementaires à un programme de travail réaliste, porté par votre direction et compris par les personnes qui le font vivre.
NIS2 et loi Résilience : comprendre le cadre français
NIS2 est la directive européenne qui élargit le périmètre des organisations concernées par la cybersécurité et renforce la gestion des risques, la gouvernance et le traitement des incidents. Le projet de loi français dit « Résilience » porte notamment sa transposition. Il traite également de la résilience des entités critiques et d’un volet financier lié à DORA : ces dispositifs ont des périmètres distincts.
Point de situation au 9 novembre 2026 : l’Assemblée nationale inscrit l’examen du projet de loi à partir du 9 novembre 2026. Le cadre français doit encore être précisé par les textes adoptés et leurs mesures d’application. Il est déjà possible d’engager l’état des lieux et les travaux de sécurisation.
Nous nous appuyons sur les références européennes et les recommandations de l’ANSSI, notamment le Référentiel Cyber France (ReCyF), diffusé à cette date comme document de travail. La démarche est ajustée aux exigences applicables et à leur évolution.
Votre entreprise peut-elle être concernée par NIS2 ?
Établissements et structures de soins, industrie, distribution alimentaire en gros, services numériques, énergie ou transports : NIS2 couvre de nombreux secteurs. L’analyse doit croiser l’activité réellement exercée, l’entité juridique et les critères de taille. Les entreprises liées ou partenaires et l’appartenance à un groupe peuvent modifier les données à retenir.
Les catégories d’entité importante (EI) et d’entité essentielle (EE) ne se déduisent donc pas du seul nom de votre métier ou de votre nombre de postes informatiques. Certains cas particuliers doivent aussi être examinés. Consultez notre actualité NIS2 : seuils EI et EE, santé et exemples d’entreprises pour comprendre les premières distinctions.
Ce simulateur officiel de l’ANSSI constitue un premier repérage. PROGEDYS vous aide ensuite à réunir les informations utiles et à identifier les points à approfondir selon votre organisation.
Vous êtes sous-traitant ou fournisseur d’une entreprise concernée ? Des exigences de sécurité peuvent vous être demandées contractuellement, même si votre propre activité ne relève pas directement de NIS2. Nous distinguons ces engagements de votre éventuel classement réglementaire.
L’enregistrement auprès de l’ANSSI : une démarche à préparer
Les entités importantes et essentielles concernées en France devront s’enregistrer auprès de l’ANSSI, selon les modalités et délais fixés par les textes français. Cette identification porte notamment sur l’entité, ses coordonnées, son activité et ses plages d’adresses IP exposées sur Internet, selon sa situation. Consultez les précisions officielles de l’ANSSI sur l’enregistrement.
Cette démarche est distincte de la notification d’un incident et ne remplace pas les mesures de cybersécurité. Elle ne vaut pas validation de la conformité de l’entreprise.
PROGEDYS peut vous aider à analyser votre situation, réunir les informations utiles et préparer l’enregistrement avec les responsables de votre entreprise. Nous pouvons notamment recenser les données techniques nécessaires et organiser leur suivi dans le cadre de l’accompagnement convenu.
Pourquoi la préparation nécessite un véritable travail
Un système d’information s’est souvent construit par étapes : logiciels métier, serveurs, services cloud, équipements de plusieurs générations, accès distants et prestataires successifs. Les documents ne reflètent pas toujours l’existant. Les droits anciens peuvent subsister et certaines responsabilités rester implicites.
La préparation mobilise donc les équipes métier, la direction et les intervenants informatiques. Il faut collecter les informations, comprendre les impacts d’une interruption, choisir les mesures adaptées, planifier les changements et vérifier qu’ils fonctionnent. Un équipement ou un logiciel peut répondre à un besoin précis ; l’ensemble de la démarche repose aussi sur l’organisation, les pratiques et les preuves de réalisation.
Commencer tôt permet d’identifier les dépendances, de traiter les urgences et de répartir les investissements. Notre accompagnement tient compte de l’exploitation quotidienne : les actions doivent être préparées, coordonnées et validées avec votre entreprise.
Notre méthode d’accompagnement NIS2, en six étapes
Cadrer le périmètre et les interlocuteurs
Nous examinons les activités, les sites, les liens de groupe, les services indispensables et l’organisation actuelle. Nous identifions les décideurs, les responsables métier et les prestataires à associer. Résultat : un périmètre de mission et les questions d’assujettissement à approfondir.
Auditer et cartographier l’existant
L’audit informatique recense les équipements, les applications, les données, les accès et les dépendances, y compris les services externalisés. Résultat : un état des lieux compréhensible et une cartographie utiles à la décision.
Analyser les risques et les écarts
Nous rapprochons les protections en place des besoins de l’activité et des références retenues. Nous distinguons les vulnérabilités techniques, les fragilités organisationnelles et les dépendances critiques. Résultat : une analyse des écarts et des priorités expliquées à la direction.
Construire une feuille de route
Les actions sont organisées selon leur urgence, leurs prérequis et les moyens disponibles. Nous précisons les responsables, les contributions attendues, les échéances de travail et les arbitrages budgétaires. Résultat : un plan d’action pilotable, adapté à votre contexte.
Mettre en œuvre et accompagner les équipes
Nous réalisons les travaux confiés à PROGEDYS et coordonnons ceux qui impliquent vos autres intervenants. Les procédures et la sensibilisation accompagnent les évolutions techniques. Résultat : des mesures déployées et un fonctionnement préparé avec les personnes concernées.
Tester, documenter et suivre
Restauration d’une sauvegarde, revue des accès, exercice de gestion d’incident ou suivi des mises à jour : nous vérifions les actions prévues dans la mission. Résultat : des comptes rendus, des éléments de preuve et un suivi des écarts restants.
Le périmètre, les livrables, les rôles et les modalités de suivi sont définis dans la proposition d’accompagnement. La mission peut commencer par un diagnostic ciblé, puis s’étendre aux chantiers prioritaires.
Les chantiers à examiner ensemble
Les mesures sont choisies selon vos risques, vos usages et les exigences à prendre en compte. Notre travail peut notamment couvrir :
Identités et accès
Comptes utilisateurs et administrateurs, authentification multifacteur, droits nécessaires aux missions, accès distants et suppression des accès devenus inutiles.
Systèmes et applications
Inventaire, suivi des vulnérabilités, mises à jour des systèmes d’exploitation et des applications, versions obsolètes et organisation de la maintenance.
Réseau et services hébergés
Séparation des usages, protection des flux, exposition à Internet, configuration des services cloud et dépendances avec les logiciels métier.
Sauvegardes et reprise
Données à protéger, séparation et protection des sauvegardes, tests de restauration et conditions concrètes de redémarrage de l’activité.
Surveillance et incidents
Journaux utiles, détection des activités suspectes, réception des alertes, contacts de crise et procédure de traitement des incidents.
Organisation et fournisseurs
Politique de sécurité, pratiques des équipes, sensibilisation, exigences envers les prestataires, documentation et vérification régulière des mesures.
Ces chantiers peuvent mobiliser nos prestations de cybersécurité d’entreprise et de maintenance informatique. La sélection des solutions repose sur leur utilité, leur intégration dans votre environnement et leur coût global.
Plans de continuité et de reprise d’activité : articuler PCA, PRA, PCI et PRI
L’article 21, paragraphe 2, point c), de NIS2 prévoit des mesures de continuité, de sauvegarde, de reprise et de gestion de crise pour les entités concernées. Leur préparation doit relier les activités prioritaires aux systèmes informatiques qui les soutiennent.
Le plan de continuité d’activité (PCA) organise le maintien des activités essentielles ; le plan de reprise d’activité (PRA) prépare leur rétablissement. Le plan de continuité informatique (PCI) et le plan de reprise informatique (PRI) en déclinent les moyens techniques : services de secours, accès, restauration et ordre de redémarrage.
Les travaux portent sur les dépendances, les responsabilités, les objectifs de délai et de récupération des données, les moyens retenus et les tests. Un nom de document ou un équipement ne suffit pas à établir une conformité. Les mesures et les obligations sont appréciées selon la situation de l’entité et les textes applicables.
Approfondir le plan de continuité d’activité et son volet informatique et le plan de reprise d’activité et son volet informatique.
La direction participe aux décisions et au pilotage
NIS2 prévoit que les organes de direction approuvent les mesures de gestion des risques et supervisent leur mise en œuvre. Leurs membres doivent également suivre une formation adaptée. La direction doit donc disposer d’une vision compréhensible des risques, des décisions à prendre et des moyens à mobiliser.
Externaliser l’informatique ne supprime pas ce rôle. PROGEDYS prépare les analyses, explique les options et réalise les missions confiées. Votre entreprise conserve les arbitrages et le pilotage qui lui reviennent. Nous aidons à organiser les points de suivi, les responsables et les remontées d’information, en lien avec vos équipes et vos autres conseils.
Un accompagnement en DSI externalisée peut compléter la démarche lorsque vous avez besoin d’un pilotage informatique régulier.
Les contrats et les responsabilités font partie de l’état des lieux
Une protection peut sembler prévue sans que son exploitation le soit réellement. Qui met à jour le logiciel métier ? Qui reçoit les alertes de sauvegarde ? Qui intervient sur un compte compromis ? Quels accès possède chaque prestataire et comment les récupérer ?
Nous recensons les intervenants, les services souscrits, les périmètres de maintenance, les engagements de délai, les dépendances et les conditions de réversibilité. Les écarts entre le fonctionnement réel et les engagements identifiés sont signalés pour être clarifiés avec les parties concernées et, si nécessaire, vos conseils juridiques.
Le résultat attendu : une répartition plus lisible des tâches, des contacts identifiés et des décisions tracées, notamment pour les mises à jour, les incidents, les sauvegardes et les services externalisés.
Préparer la réaction à un incident et conserver les preuves
Un plan doit rester utilisable lorsque les outils habituels sont indisponibles. Nous vous aidons à préparer les contacts, les circuits d’alerte, les décisions d’isolement, les accès de secours et les étapes de reprise, puis à tester les procédures retenues.
NIS2 prévoit des notifications pour les incidents importants. Les critères de déclenchement et les échéances applicables doivent être intégrés à l’organisation de crise. Il faut savoir qui qualifie l’incident, qui rassemble les informations et qui effectue les démarches attendues.
Cartographie, plan d’action, revues des accès, comptes rendus de tests, procédures et suivi des formations : les livrables doivent servir au fonctionnement de l’entreprise et documenter les actions réalisées. NIS2 prévoit aussi des contrôles et des sanctions ; l’enjeu est de pouvoir expliquer et démontrer la démarche engagée.
Pourquoi confier votre préparation NIS2 à PROGEDYS ?
Notre équipe d’ingénieurs diplômés s’appuie sur plus de 20 ans d’expérience, une connaissance suivie de ses clients et une veille technologique continue. Les organisations que nous accompagnons sont de tailles et de secteurs variés : cette diversité nous permet de rapprocher les besoins métier, les contraintes techniques et les réalités de terrain.
Notre force est d’analyser finement vos besoins, de connaître le marché informatique et de proposer des solutions présentant le meilleur rapport qualité/coût. Nous cherchons à préserver les protections efficaces, à corriger les faiblesses prioritaires et à planifier les évolutions justifiées.
Notre accompagnement relie le conseil à la mise en œuvre et au suivi. Vous disposez d’un interlocuteur capable de rendre les sujets techniques compréhensibles, de dialoguer avec vos prestataires et d’accompagner les décisions de votre direction.
Nos deux bureaux, à Cenon sur la rive droite et Bordeaux sur la rive gauche, favorisent notre réactivité dans Bordeaux Métropole et ses environs. Nous accompagnons également des clients en Gironde, en Nouvelle-Aquitaine, en France et à l’international, selon des modalités adaptées à chaque mission. Découvrez nos zones d’intervention et modalités d’accompagnement.
Questions fréquentes sur l’accompagnement NIS2
Notre entreprise dispose déjà d’un prestataire informatique. Que reste-t-il à faire ?
La présence d’un prestataire est un point d’appui. Il faut néanmoins vérifier le périmètre réellement couvert, les responsabilités, la documentation, les tests et l’implication de la direction. PROGEDYS peut intervenir sur un diagnostic ciblé ou coordonner des chantiers avec les intervenants déjà en place.
Accompagnez-vous les structures de santé ?
Oui. Nous prenons en compte les outils métier, la disponibilité des dossiers, les droits d’accès, les services hébergés et la continuité des soins. L’analyse porte sur l’entité qui fournit les soins, ses activités et sa taille calculée. Le nombre de praticiens partageant une adresse ne suffit pas à déterminer son classement.
Sommes-nous concernés si nous restons sous les seuils généraux ?
Une structure sous les seuils n’est pas automatiquement concernée par le régime général, mais des cas particuliers ou les règles de calcul liées à un groupe doivent être étudiés. Des exigences contractuelles peuvent aussi venir de vos clients. Le simulateur ANSSI et l’analyse de votre organisation permettent de préparer ce premier examen.
Le RGPD ou une démarche ISO 27001 couvrent-ils déjà NIS2 ?
Des travaux existants peuvent être réutilisés : analyse des risques, procédures, inventaire ou gouvernance. Les périmètres et les obligations ne sont toutefois pas identiques. Nous identifions les acquis et les écarts afin d’éviter de refaire inutilement ce qui est déjà pertinent. Notre accompagnement RGPD et protection des données peut être articulé avec ces travaux.
Faut-il remplacer l’ensemble de notre informatique ?
Le diagnostic sert justement à distinguer les éléments satisfaisants, ceux qui nécessitent un réglage et ceux dont l’évolution devient nécessaire. Le plan tient compte des risques, des dépendances métier, du support des logiciels et des contraintes budgétaires. Les remplacements sont étudiés et justifiés.
Combien de temps dure l’accompagnement et comment définir son budget ?
La charge dépend du périmètre, du nombre de sites, de la documentation disponible, des prestataires et du niveau de protection existant. La disponibilité des équipes et les périodes d’intervention comptent aussi. Un cadrage permet de préciser les livrables, le calendrier et le budget, puis de planifier les étapes.
Quels éléments préparer pour un premier échange ?
Décrivez votre activité, vos sites, votre organisation et les applications indispensables. Réunissez, si vous les avez, l’inventaire, les schémas réseau, les procédures de sauvegarde, les contrats et les coordonnées des prestataires. Il n’est pas nécessaire de disposer d’un dossier complet : l’identification des informations manquantes fait partie de l’état des lieux.
Peut-on commencer avant la finalisation du cadre français ?
Oui. L’ANSSI invite les futures entités à engager une démarche de sécurisation. Inventorier les systèmes, revoir les accès, tester les sauvegardes et clarifier les responsabilités constituent des travaux utiles dès maintenant. Le plan est ensuite ajusté aux textes applicables et à leurs évolutions.
Parlons de votre préparation NIS2
Vous cherchez à savoir si votre entreprise est concernée, à évaluer votre niveau de préparation ou à structurer un projet déjà engagé ? Présentez-nous votre situation. Nous définirons avec vous un premier périmètre d’analyse, les interlocuteurs à associer et les priorités de travail.
Du premier état des lieux au suivi des actions, notre objectif est de construire une démarche compréhensible, proportionnée et utile à votre activité.
Repères et sources officielles
Repères réglementaires vérifiés le 9 novembre 2026. La qualification de chaque entité et le contenu de la mission sont étudiés selon sa situation et les textes applicables.