Réglages NIS2 et rapport pour la direction

Tout ce qui se règle se trouve désormais dans les réglages de l’organisation, groupe Conformité (pages Référentiels, Responsables et Rapport direction) et groupe Veille et correction (page Délais de correction) ; les projets couverts sont sur la page Couverture. Les anciennes adresses /conformite/reglages et /conformite/activation mènent à la page correspondante. On y règle : les référentiels suivis et le statut NIS2 de l’entité, les responsables, les projets couverts et leurs workflows, les délais de correction et le rapport pour la direction. Les réglages se préparent avant même d’activer un projet. Voir Référentiels.

La page Conformité des réglages de chaque projet (activation et délais propres au projet) complète l’ensemble.

L’onglet Réglages

1. Sommaire : un jeton par section, qui y fait défiler la page. Les liens de l’application et des e-mails visent aussi ces sections.
2. Projets couverts : l’état de chaque projet de l’organisation, ses workflows, Activer ou Désactiver (voir Activer NIS2 sur un projet).
3. Workflows de l’organisation : ceux qui portent les avis des registres d’organisation.
4. Responsables NIS2.

Les référentiels suivis et les responsables ouvrent l’onglet ; suivent Politique de correction, Rapport pour la direction et le catalogue Workflows créés à l’activation.

Projet et workflows

Chaque workflow de conformité du projet porte son état : Actif, Désactivé (par un utilisateur dans la page Workflows) ou En pause (NIS2 désactivée sur le projet). Un workflow du catalogue qui manque (supprimé à la main) apparaît en jeton + nom : un clic le recrée.

La section Workflows de l’organisation apparaît dès qu’un projet est activé. Ouvrir mène à la page Workflows, portée Organisation. Les administrateurs peuvent y recréer, par un jeton, un workflow d’organisation supprimé.

Responsables NIS2

Trois fonctions, qui disent qui reçoit les avis et qui tranche. Être responsable ne donne aucun droit d’administration dans l’outil ; seule la direction a un pouvoir propre : approuver ou refuser les acceptations de risque.

Fonction	Rôle affiché	Par défaut (non désigné)
Direction	approuve ou refuse les acceptations de risque, reçoit la synthèse de conformité	le ou les propriétaires de l’organisation
Responsable sécurité	reçoit les escalades des corrections hors délai et pilote le registre des fournisseurs	la direction
Contact incident	reçoit les rappels des délais de déclaration d’incident (24 h, 72 h, 1 mois)	le responsable sécurité

La pastille dit Désigné ou Non désigné ; une couronne à côté d’un nom signale un titulaire par défaut.

1. Cliquez sur Désigner en face de la fonction.
2. Cochez ou décochez les membres dans la liste : chaque clic est enregistré aussitôt (« Responsables enregistrés »).

Une fonction peut avoir plusieurs titulaires, et une même personne plusieurs fonctions. Seul le propriétaire de l’organisation désigne ; les autres membres voient la section en lecture, avec la mention « Seul le propriétaire de l’organisation désigne les responsables. » La personne nouvellement désignée en est prévenue (« Vous tenez désormais la fonction … », par le workflow NIS2 · Gouvernance), et le changement est inscrit au journal d’audit de l’organisation.

Délais de correction

La Politique de correction de l’organisation fixe les échéances des CVE, leurs rappels, l’escalade et l’intervalle des revues d’inventaire. Tous les projets en héritent, sauf ceux qui ont la leur. La pastille du titre dit Propre à l’organisation ou Modèle par défaut ; Voir les échéances ouvre l’onglet Échéances.

Réglage	Effet	Valeurs admises
Modèle	point de départ : Standard (recommandé), Strict, Souple ; il devient Personnalisé dès qu’un délai change	—
Délais de correction par sévérité	jours, depuis la première alerte du projet, pour corriger une CVE sur un actif de criticité standard ; une CVE pas encore notée prend le délai de la sévérité moyenne	1 à 730 jours ; une sévérité plus grave ne peut pas avoir un délai plus long
Exploitation avérée : jamais plus de	plafond pour toute CVE exploitée, quelles que soient sa sévérité et la criticité de l’actif	1 à 90 jours
Criticité des actifs	multiplie le délai selon la criticité du projet ou de l’élément de stack ; le tableau Délai appliqué montre le résultat	vitale et importante de 0,1 à 1, faible de 1 à 5 ; standard vaut toujours 1 ; un actif vital ne peut pas avoir un délai plus long qu’un actif important
Rappel avant l’échéance	le porteur, à défaut les administrateurs du projet, est prévenu ce nombre de jours avant	0 à 30 jours
Escalade après	au-delà de ce retard, le responsable de la sécurité reçoit une escalade, une fois par CVE	0 à 90 jours
Intervalle entre deux revues	la stack de chaque projet doit être revue et la revue attestée à cet intervalle	7 à 365 jours
Échéance maximale d’une atténuation	une atténuation, ou une acceptation de risque hors registre, porte une échéance au plus à ce nombre de jours ; à l’échéance, le dossier se rouvre seul (voir Atténuer une CVE)	7 à 365 jours (180 par défaut)

Les trois modèles :

Modèle	Critique	Élevée	Moyenne	Faible	Exploitée
Standard	7 j	30 j	90 j	180 j	2 j
Strict	24 h	3 j	7 j	30 j	24 h
Souple	30 j	60 j	120 j	365 j	14 j

Les délais sont indicatifs ; l’écran le rappelle : le règlement d’exécution demande de corriger « dans un délai raisonnable », sans fixer de chiffre. Changer les rappels, l’escalade, les facteurs, l’intervalle de revue ou l’échéance maximale d’une atténuation ne fait pas passer le modèle en « Personnalisé » : seuls les délais le définissent.

Une modification fait apparaître en bas de section « Modifications non enregistrées », avec Annuler et Enregistrer ; un réglage hors bornes est signalé et bloque l’enregistrement. Revenir au modèle par défaut efface la politique de l’organisation. La criticité d’un projet se règle dans ses réglages, celle d’un élément sur la page Stack.

Seuls les administrateurs et le propriétaire de l’organisation modifient la politique ; les autres membres la lisent.

Le rapport pour la direction

Le rapport est une pièce figée : il photographie l’état de tous les registres de l’organisation à la date où il est généré, pour une période donnée. Corriger un registre ensuite ne change pas un rapport déjà émis.

Rapport automatique

Deux listes, enregistrées dès qu’on choisit :

• Périodicité : Aucun (à la demande seulement), Mensuel (le 1er de chaque mois), Trimestriel (le 1er de chaque trimestre) ;
• Langue : Français ou Anglais.

Le rapport automatique est généré le 1er du mois ou du trimestre à partir de 6 h, heure de Paris, pour la période écoulée, s’il n’en existe pas déjà un pour cette période ; si le service était arrêté, il est rattrapé jusqu’au 7. Un avis « rapport prêt » part à la direction et au responsable de la sécurité (workflow NIS2 · Gouvernance), avec un lien qui met ce rapport en évidence dans l’historique. Seuls les administrateurs de l’organisation modifient ce réglage.

Générer un rapport

On génère un rapport depuis la page Rapports, onglet Référentiels (direction).

1. Cliquez sur Générer un rapport.
2. Choisissez la période couverte : Trimestre écoulé (par défaut, « T2 2026 »), Mois écoulé, ou Personnalisée.
3. Pour une période personnalisée, choisissez le premier jour puis le dernier dans le calendrier : la fin suit le début, ne dépasse pas aujourd’hui, et la période couvre 366 jours au plus.
4. Choisissez la langue (par défaut, celle du réglage).
5. Générer le rapport. Le nouveau rapport apparaît en tête de l’historique.

L’historique

Chaque ligne donne la période (« T2 2026 », « Septembre 2026 », ou ses bornes), l’origine (À la demande, Mensuel, Trimestriel), la date de génération et son auteur (ou « automatiquement »), et une rangée de points : le statut de chaque obligation dans ce rapport, détaillé au survol. PDF télécharge le rapport dans sa langue ; le bouton voisin (EN ou FR) le télécharge rédigé dans l’autre langue, à partir des mêmes données.

Le contenu du PDF

Le PDF « Rapport référentiels — direction » (anciennement « Rapport de conformité NIS2 »), marqué « Document confidentiel », suit les référentiels que l’organisation suivait à sa génération. Il comprend :

• une couverture « Pour la direction — NIS2, article 20 » si NIS2 est suivie, sinon « Pour la direction — » suivi des référentiels suivis (par exemple « ISO 27001 ») : organisation, période, date d’arrêté, auteur ou génération automatique ;
• la Synthèse pour la direction : statut par obligation, faits marquants, décisions attendues de la direction (demandes d’acceptation en attente, vulnérabilités et composants escaladés à arbitrer, acceptations à revoir, responsables à désigner, fournisseurs vitaux jamais évalués, déclarations en retard), responsables désignés. Chaque obligation cite ses articles de NIS2 si NIS2 est suivie, sinon les exigences des référentiels suivis ;
• la Correspondance des obligations : pour chaque obligation, la mesure outillée, la preuve disponible et le statut, plus l’évaluation de l’efficacité (cette table des articles de NIS2 n’existe que si NIS2 est suivie) ; puis une table par autre référentiel suivi ;
• les Indicateurs détaillés, à la date du rapport et sur la période ;
• les Annexes : risques acceptés en vigueur, corrections hors délai, composants hors support ou proches de l’être, revues d’inventaire par projet, fournisseurs vitaux, incidents de la période ;
• un bloc Approbation de la direction (nom et fonction, date, signature) ;
• la mention finale : il « ne constitue ni une certification, ni un avis juridique ».

Une obligation dont le module n’est pas dans l’offre n’apparaît pas dans le rapport.

La page Rapports

1. Analyse › Rapports.
2. Onglet Référentiels (direction) (anciennement « Conformité NIS2 »), affiché dès qu’un projet de l’organisation est activé et qu’elle suit au moins un référentiel.
3. Nouveau rapport référentiels : le même panneau de génération.
4. Rapport automatique : trimestriel : la périodicité en cours, et un lien vers Réglages › Référentiels.
5. L’historique, avec les mêmes lignes et les mêmes boutons PDF que dans l’espace.

Voir aussi Rapports.

Lire et générer les rapports est réservé aux propriétaires et administrateurs de l’organisation et aux responsables NIS2 ; les autres voient « Les rapports sont réservés aux administrateurs de l’organisation et aux responsables NIS2. »

Autres normes suivies

NIS2 n’est plus suivie d’office : elle se choisit comme ISO/IEC 27001:2022, CIS Controls v8 et le guide d’hygiène informatique de l’ANSSI, dans la section Référentiels suivis d’Réglages › Référentiels, avec le statut NIS2 de l’entité. Une organisation qui avait activé NIS2 continue de la suivre. Un référentiel suivi est une grille de lecture des mêmes mesures : sa couverture se lit sur la page Référentiels, ses étiquettes apparaissent sur les écrans qui produisent une preuve, et le rapport pour la direction en donne la table de correspondance. Voir Référentiels.

Workflows de conformité (les avis)

Tous les avis de l’espace NIS2 (rappels, escalades, relances, rapport prêt…) partent par des workflows. Le catalogue, en bas de l’onglet Réglages, dit ce que chacun fait :

Workflow	Portée	Prévient
NIS2 · Échéances de correction	projet	le porteur, à défaut les administrateurs du projet, quand une correction arrive à échéance puis la dépasse
NIS2 · Escalades au RSSI	projet	le responsable de la sécurité, des corrections et composants hors support restés sans suite au-delà du seuil d’escalade
NIS2 · Composants en fin de vie	projet	le porteur du plan de sortie, à défaut les administrateurs, quand un composant passe hors support
NIS2 · Revues d’inventaire	projet	les administrateurs du projet quand la revue est due
NIS2 · Risques acceptés	projet	la direction (demandes à approuver), le demandeur (décision), et les acceptations à revoir
NIS2 · Déclarations d’incident	organisation	le contact incident et le responsable de la sécurité des délais de 24 h, 72 h, un mois
NIS2 · Fournisseurs	organisation	le responsable de la sécurité des évaluations à renouveler
NIS2 · Gouvernance	organisation	rapport pour la direction disponible, fonction de conformité attribuée

Un workflow hors de votre offre est grisé avec « Hors de votre offre ». Chaque workflow envoie une notification et un e-mail aux destinataires prévus par le registre.

Dans la page Workflows, les workflows NIS2 d’un projet sont rangés dans le groupe Conformité NIS2, avec la pastille NIS2 ; ceux de l’organisation se trouvent sous la bascule Organisation. Ce sont des workflows comme les autres : on peut les renommer, changer leurs destinataires (les prévus, la direction, le responsable de la sécurité, le contact incident, les administrateurs du projet ou de l’organisation, des personnes nommées pour l’e-mail) et leurs canaux, les désactiver, les tester sur un avis d’exemple ou les réinitialiser à leur modèle. Ils ne comptent pas dans la limite de workflows de l’offre. Une personne ne reçoit jamais deux fois le même avis par le même canal, même si deux workflows l’y destinent. Sans workflow actif pour un événement, rien ne part. Voir Workflows.

Réglages de l’organisation

Dans Espace de travail › Organisations, les réglages de l’organisation rangent tout ce qui précède dans des pages lisibles par tout membre : Référentiels, Responsables, Délais de correction et (Admin et Propriétaire) Rapport direction. L’ancien onglet Référentiels (anciennement Conformité) tenait ces cinq sujets sur une seule page. Voir Référentiels et Organisations.

Réglages du projet, page Conformité

Dans les réglages d’un projet (depuis Espace de travail › Organisations, page Projets), la page Conformité (anciens onglets Référentiels et Conformité NIS2) règle ce qui est propre au projet.

• Couverture de ce projet : l’état, les workflows, Activer ou Désactiver (même panneau que dans Réglages › Référentiels).
• Ouvrir les référentiels : fait de ce projet le projet actif et ouvre la page Couverture.
• Politique de correction du projet : Hériter de l’organisation (le projet suit la politique de l’organisation et ses changements) ou Politique propre au projet (délais indépendants, en partant de la politique héritée). La pastille dit Propre au projet, Héritée de l’organisation ou Modèle par défaut. Modifier demande le droit « Paramètres du projet ».

Tant que le projet n’est pas activé, la page ne montre que la carte d’activation. Sans organisation, ou si l’offre de l’organisation ne comprend pas le suivi des référentiels, il l’explique. Voir Projets.

Modèle de procédure de divulgation

Sur la page Référentiels, la mesure Divulgation coordonnée propose Télécharger le modèle, qui télécharge un modèle de procédure de divulgation coordonnée des vulnérabilités, au format Markdown (procedure-divulgation-vulnerabilites.md, en anglais si l’interface l’est), prérempli du nom de l’organisation.

C’est un document de l’entité, à compléter et à faire valider hors de l’outil : les passages entre crochets sont à remplir. Il couvre l’objet et le périmètre, la façon de vous signaler une vulnérabilité, vos engagements de délais, ce que vous demandez au signalant, le traitement interne, la coordination et la publication (dont le CSIRT national), le cadre légal à faire vérifier et la revue annuelle. Le modèle précise qu’il ne vaut pas avis juridique. Tout membre de l’organisation peut le télécharger.

Qui peut régler quoi

Réglage	Qui
Activer ou désactiver NIS2 sur un projet	propriétaires et administrateurs de l’organisation ; pour son projet, qui a « Paramètres du projet »
Désigner les responsables	le propriétaire de l’organisation
Politique de correction de l’organisation, rapport automatique, référentiels suivis et statut NIS2	propriétaires et administrateurs de l’organisation
Politique de correction d’un projet	qui a « Paramètres du projet » sur ce projet
Générer et lire les rapports pour la direction	propriétaires, administrateurs, responsables NIS2
Modifier les workflows de conformité	ceux d’un projet : selon les droits Workflows du projet ; ceux de l’organisation : ses administrateurs

Les autres membres lisent les réglages sans pouvoir les modifier.

Questions fréquentes

Le rapport automatique n’est pas parti le 1er. Il part à partir de 6 h, heure de Paris, et seulement s’il n’existe pas déjà un rapport pour la période écoulée. L’avis « rapport prêt » passe par le workflow NIS2 · Gouvernance : vérifiez qu’il est actif.

Pourquoi la ligne Gouvernance est-elle « À faire » alors que tout le monde est désigné ? Aucun rapport n’a été généré depuis plus de 100 jours. Générez-en un, ou réglez la périodicité.

Un projet peut-il avoir des délais différents du reste de l’organisation ? Oui : dans ses réglages, page Conformité, choisissez Politique propre au projet.

Vue d'ensemble et activationActiver NIS2, mise en route, état des obligations.

RegistresRisques acceptés, échéances, revues, fournisseurs.

IncidentsDélais de déclaration, modèles, journal.