Qui devrait lire ceci : la personne, dans une entreprise de trente à deux cent cinquante salariés, qui s’est vu confier la sécurité il y a quelques semaines, en plus du poste qu’elle occupait déjà, sans ligne budgétaire, sans équipe, avec un questionnaire client ou un formulaire d’enregistrement déjà en attente.
La nomination est rarement formelle. Un contrat arrive avec une annexe sécurité, ou un client demande qui est le contact sécurité, et un nom est inscrit dans la case. Ce nom est désormais responsable d’un travail que personne n’a cadré, dans un temps que personne n’a alloué.
Quatre-vingt-dix jours est la bonne unité de planification : assez long pour atteindre une position défendable, assez court pour ne pas pouvoir le remplir de documents. Ce qui suit suppose une personne, deux à huit heures par semaine, et aucune fonction sécurité préexistante.
Pourquoi quatre-vingt-dix jours, et pas douze mois
Les horloges ne sont pas les vôtres.
Au Luxembourg, la loi du 5 mai 2026 est entrée en vigueur le 10 mai 2026, et l’article 11(4) a laissé deux mois aux entités concernées pour communiquer à l’autorité compétente leur nom, leurs coordonnées, leur secteur, leur sous-secteur et leur taille. Cette fenêtre s’est refermée le 10 juillet 2026, et les changements doivent être notifiés dans les deux semaines. L’enregistrement n’est pas une mesure de sécurité, c’est un acte administratif assorti d’une amende : les manquements administratifs visés à l’article 25, dont les défaillances d’enregistrement, sont passibles d’amendes allant jusqu’à 250 000 EUR. Qui déclare quoi, et à quelle autorité, est détaillé dans la transposition de NIS2 par la loi du 5 mai 2026.
Ailleurs le tableau est plus confus, et cette confusion n’est pas un répit. Le 8 juillet 2026, la Commission a saisi la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de notification d’une transposition complète, en demandant des sommes forfaitaires et des astreintes journalières. Un fournisseur établi dans l’un de ces quatre pays reçoit les mêmes clauses de ses clients, parce que ces clauses découlent de l’obligation du client, pas du droit national du fournisseur.
Les quatre-vingt-dix jours ne sont donc pas un sprint que vous vous imposez. C’est la fenêtre qui précède la prochaine échéance datée.
Jours un à quinze : établir ce qui est vrai, pas ce qui est prévu
Deux questions, toutes deux traitables en une quinzaine, toutes deux habituellement mal répondues de mémoire.
Êtes-vous dans le périmètre, et êtes-vous enregistré ? Le périmètre dépend du secteur et de la taille, avec en dessous des catégories indépendantes de la taille qui attrapent les entreprises se croyant trop petites. Le vérificateur de périmètre NIS2 prend quelques minutes et le guide du périmètre et de l’applicabilité explique les catégories derrière la réponse. Cherchez ensuite si quelqu’un s’est enregistré. Dans la plupart des entreprises où la sécurité vient d’être confiée à quelqu’un, personne ne l’a fait.
Qu’avez-vous réellement ? Pas le schéma, la liste. Chaque système qui héberge des données clients ou fait tourner un service en production, chaque outil SaaS avec un accès d’entreprise, chaque compte cloud, chaque dépôt et chaque domaine, y compris ceux achetés sur une carte par un responsable d’équipe en 2023.
Vous ne terminerez pas la liste en quinze jours. Vous en ferez assez pour trouver les deux ou trois choses dont personne ne savait qu’elles tournaient encore, et ce sont ces découvertes qui rendent le reste des quatre-vingt-dix jours crédible en interne.
Jours quinze à trente : reprendre les décisions déjà prises sans vous
La sécurité dans une entreprise sans fonction sécurité est un flux de petites décisions prises par celui sur qui elles tombent. Un développeur veut des droits d’administration pour une semaine. Un questionnaire fournisseur a une date limite. Un test d’intrusion revient avec onze constats et quatre ne seront pas corrigés, donc quelqu’un doit dire que c’est acceptable.
Avant la nomination, ces décisions étaient prises de façon incohérente et non consignées. La chose la plus utile que vous puissiez faire dans la deuxième quinzaine est de les faire converger vers un seul endroit, qui est désormais vous, et de consigner la réponse. L’argument en faveur d’un responsable nommé, et ce qui se passe sans lui, est développé dans qui est responsable de la sécurité quand personne ne l’est.
Restez léger : un journal courant, chaque entrée avec une date, une décision et le demandeur. Trois mois de ce journal valent plus lors d’un audit que trois mois d’écriture de politiques, parce que c’est la preuve d’un processus et non la preuve d’un document.
Jours trente à quarante-cinq : un inventaire, un responsable par élément
Reprenez la liste et ajoutez deux colonnes : qui en est responsable, et que se passe-t-il si cela s’arrête. La responsabilité désigne une personne nommée, pas une équipe, car les équipes ne renouvellent pas les certificats. L’exercice fait apparaître les systèmes sans responsable, qui sont invariablement ceux aux identifiants les plus anciens et aux accès les plus larges.
Tant que vous y êtes, rapprochez les accès de la réalité. Extrayez la liste des utilisateurs de chaque système significatif et comparez-la à la paie et aux contrats en cours. Dans toute entreprise qui ne l’a jamais fait, le résultat est le même : des comptes appartenant à des partants, des prestataires dont la mission est terminée, et au moins un compte partagé dont le mot de passe traîne dans un historique de messagerie. L’accès est accordé avec soin et révoqué de mémoire, ce qui explique que ce rapprochement soit le contrôle le plus souvent testé et le plus souvent pris en défaut.
Jours quarante-cinq à soixante : un registre des risques qui supporte d’être lu
Maintenant, et pas avant, écrivez le registre des risques. Avant l’inventaire, c’est de la fiction.
Restez bref. Dix à quinze risques qu’une personne de l’entreprise reconnaîtrait comme réels, chacun formulé comme un scénario et non comme une catégorie. « Rançongiciel » est une catégorie. « Notre serveur de build a un compte administrateur local partagé par quatre développeurs et aucune sauvegarde hors ligne » est un risque.
Les orientations sont inhabituellement précises sur ce que doit porter une entrée. Le guide technique d’implémentation de l’ENISA du 26 juin 2025, relatif au règlement d’exécution (UE) 2024/2690, attend d’une entrée de traitement du risque qu’elle consigne le risque et l’objectif, l’option de traitement, les actifs concernés, les mesures d’atténuation, la manière dont l’efficacité sera évaluée, le calendrier et le rôle responsable. Le point 2.1.2(j) ajoute ce que la plupart des registres omettent : lorsqu’un risque résiduel est accepté, les raisons doivent être consignées de manière compréhensible. C’est cette exigence qui transforme un registre de tableur en objet de gouvernance, et c’est la différence entre les deux types décrits dans le registre des risques qui survit à un audit.
Jours soixante à soixante-quinze : rendre à la direction ce qui lui revient juridiquement
NIS2 impose à l’organe de direction d’approuver les mesures de gestion des risques, d’en superviser la mise en œuvre et d’être responsable des manquements. Cela ne vous est pas délégable, et un responsable à temps partiel qui l’absorbe assume une exposition personnelle pour une décision qui ne lui appartenait pas.
Préparez donc un document et mettez-le à l’ordre du jour. Pas un point d’avancement, un document de décision : l’inventaire en une page, les dix risques, les trois traités ce trimestre avec les montants, les quatre acceptés et pourquoi, et ce que vous demandez d’approuver. Faites acter l’approbation.
Le faire au jour soixante plutôt qu’au jour deux cent soixante transforme une nomination informelle en mandat assorti d’une discussion budgétaire, et place la responsabilité là où la directive la place déjà. Les mécanismes d’approbation, de supervision et l’obligation de formation figurent dans la responsabilité de la direction au titre de NIS2.
Jours soixante-quinze à quatre-vingt-dix : démontrer une chose de bout en bout
Choisissez une question qu’un client ou un auditeur posera et répondez-y entièrement par la preuve plutôt que par l’affirmation. Une bonne : montrez que toute personne partie au cours des six derniers mois n’a plus accès à rien, à partir des relevés systèmes et non d’une liste de départ.
Le point n’est pas la réponse, c’est de découvrir combien de temps elle prend à produire. Deux jours de collecte manuelle aujourd’hui, ce sont deux jours à chaque demande, et la demande viendra de chaque client, chaque année. Ce calcul est l’argument en faveur d’une preuve qui se régénère plutôt que d’une preuve que vous assemblez, distinction développée dans la preuve qui s’assemble toute seule.
Ce qu’il faut refuser pendant les quatre-vingt-dix premiers jours
Trois choses vous seront proposées, et les trois sont prématurées.
Écrire tout le corpus de politiques. Quarante politiques écrites par une personne en trois mois sont quarante documents que personne n’a lus, et un auditeur trouve l’écart entre elles et la pratique dans la première heure. Écrivez les trois qui décrivent ce que vous faites réellement.
Lancer un audit interne. La clause 9.2 demande un programme, et un programme audite un système qui existe. Auditer un dispositif de contrôle construit il y a six semaines n’apprend rien. Le séquencement, et le problème d’indépendance qui le rend coûteux dans une petite structure, est traité dans l’audit interne et la revue de direction.
Acheter une plateforme avant l’inventaire. Un outillage appliqué à un parc inconnu produit un tableau de bord confiant qui décrit une partie de votre entreprise.
Comment savoir au jour quatre-vingt-dix si cela a fonctionné
Pas au nombre de documents. Par quatre tests, chacun répondant par oui ou par non.
- Pouvez-vous produire la liste des systèmes et de leurs responsables en moins d’une heure, à partir de quelque chose de tenu à jour et non de mémoire ?
- Existe-t-il une trace datée de chaque décision de sécurité des deux derniers mois, avec sa raison ?
- L’organe de direction a-t-il approuvé quelque chose par écrit, avec les risques résiduels nommés ?
- Pouvez-vous répondre à la question des accès de bout en bout à partir des relevés systèmes ?
Quatre oui, c’est une position défendable pour une entreprise sans équipe sécurité. Ce n’est ni une certification ni de la maturité, mais c’est la base sur laquelle repose tout référentiel ultérieur, et à peu près le point de départ de ISO 27001 sans équipe sécurité.
Quatre non est également une information utile, et cela signifie généralement que la nomination est arrivée sans les heures. Un responsable nommé sans temps équivaut à pas de responsable, formulé autrement. Le remède est soit des heures, soit un dispositif vCISO qui confie les arbitrages à quelqu’un dont c’est le métier hebdomadaire.
La réalité technique : quatre-vingt-dix jours de gouvernance ne voient pas votre parc
Tout ce qui précède produit de l’intention. Documentée, approuvée, datée, exactement ce que demandent les référentiels et ce qu’un auditeur acceptera.
Rien de tout cela ne vous dit ce qui se passe sur vos systèmes. L’inventaire est un instantané pris à la main et commence à dériver le lendemain. Le rapprochement des accès est vrai le matin où vous l’avez fait. Le registre des risques décrit ce à quoi vous avez pensé dans une salle en semaine sept. Une entreprise peut boucler proprement quatre-vingt-dix jours et ignorer encore qu’un serveur de build est exposé, qu’une dépendance porte une vulnérabilité connue, ou qu’un compte qui aurait dû être fermé en mars est toujours utilisé.
C’est l’espace que la gouvernance laisse ouvert, et il est assez étroit pour être décrit précisément. Le refermer suppose que l’inventaire d’actifs soit généré depuis le parc plutôt que saisi dans un tableur, que la liste des accès se rapproche en continu des données RH et contractuelles, que les vulnérabilités de ce que vous exécutez réellement vous parviennent priorisées avec une action recommandée, et que la preuve demandée par un client soit produite par le travail plutôt qu’assemblée la semaine d’avant. Cela fonctionne en continu et automatiquement, sans rien à installer chez vous, et c’est ce que porte la plateforme à côté du registre de gouvernance.
Quatre-vingt-dix jours du travail ci-dessus rendent une entreprise prête pour l’audit. La moitié technique est ce qui maintient les réponses vraies au quatrième mois, quand la personne responsable de la sécurité est reprise par le poste qu’elle occupait avant.
