NIS2 Contrôle d'accès et gestion des actifs : l'article 21(2)(i) expliqué

La plupart des audits NIS2 n'échouent pas sur le chiffrement ni sur la réponse aux incidents. Ils échouent sur un tableur que personne n'a tenu à jour.

Un auditeur demande votre inventaire d'actifs et reçoit un export vieux de deux ans. Il demande qui possède des droits d'administration sur la console de gestion du pare-feu du client et obtient trois noms — mais le quatrième, un prestataire parti en mars, possède toujours un compte actif. C'est un constat. Souvent c'est le premier, et il colore tout ce qui suit.

L'article 21(2)(i) de NIS2 regroupe trois mesures que la plupart des organisations traitent comme des tâches administratives distinctes : la sécurité des ressources humaines, les politiques de contrôle d'accès et la gestion des actifs. Les auditeurs les traitent comme un seul système interconnecté. Si vous accompagnez des clients sur NIS2, c'est la mesure où votre propre maison doit d'abord être en ordre — car en tant que fournisseur de services managés, vous entrez vous-même dans le champ du Commission Implementing Regulation (EU) 2024/2690, qui transforme ces obligations en exigences contraignantes et vérifiables.

L'article 21(2)(i) couvre trois mesures que les auditeurs lisent comme une seule histoire

Le texte de la directive est bref : les entités doivent disposer de « la sécurité des ressources humaines, des politiques de contrôle d'accès et la gestion des actifs ». Cette brièveté est trompeuse. L'Implementing Regulation et l'ENISA Technical Implementation Guidance (v1.0, juin 2025) la déploient en certaines des exigences les plus détaillées de tout le cadre.

La logique est une chaîne. Vous classifiez vos actifs pour savoir ce qui compte. Vous contrôlez l'accès à ces actifs selon cette classification. Vous gérez les personnes qui détiennent cet accès tout au long de leur cycle de vie chez vous. Brisez un maillon et les deux autres perdent leur sens — le moindre privilège ne vaut rien si vous n'avez jamais inventorié les systèmes, et un inventaire parfait ne vaut rien si un ancien employé détient toujours les clés.

Article 21 — 10 Mesures de Cybersécurité NIS2
🛡️
Article 21
10 Mesures de Cybersécurité
📊
Gouvernance & Stratégie
1Analyse des risques & politiques de sécurité de l'information
6Évaluation de l'efficacité des mesures de sécurité
🚨
Incidents & Continuité
2Gestion des incidents & notification
3Continuité des activités & reprise après sinistre
🔗
Chaîne d'approvisionnement & Systèmes
4Sécurité de la chaîne d'approvisionnement
5Sécurité dans le développement des systèmes d'information
🔐
Contrôles Techniques
8Cryptographie & chiffrement
10Authentification multifacteur & communications sécurisées
👥
Personnel & Actifs
7Cyber-hygiène & formation
9Sécurité RH & contrôle d'accès

Vous ne pouvez pas contrôler l'accès à des actifs que vous n'avez jamais inventoriés

La gestion des actifs vient en premier, car tout le reste en dépend. CIR 2024/2690 ne demande pas « une liste de serveurs ». Il exige une politique de gestion des actifs comportant plusieurs éléments concrets.

Il vous faut un inventaire des réseaux et systèmes d'information et de leurs actifs de support — matériel, logiciels, tenants cloud, et les données qu'ils hébergent. Chaque actif a besoin d'un propriétaire et d'un niveau de classification. Il vous faut des règles de manipulation liées à cette classification, afin qu'un système contenant des identifiants clients soit traité différemment d'un site marketing. Et il vous faut des politiques pour les supports amovibles et pour le retour ou la destruction sécurisée des actifs à la fin d'un appareil ou d'un contrat.

Ce dernier point est celui où les MSP se font prendre. Un ordinateur portable réinstallé et transmis au technicien suivant sans effacement documenté est une lacune. Un pare-feu client mis hors service et revendu sans révocation des certificats en est une plus grande. La réglementation veut la preuve que les actifs quittent votre contrôle aussi proprement qu'ils y sont entrés.

Point de départ pratique : si votre inventaire n'est pas découvert et réconcilié automatiquement au moins une fois par mois, supposez qu'il est déjà faux. Les tableurs manuels dérivent dès qu'un technicien lance une VM hors du processus.

Le contrôle d'accès sous CIR 2024/2690 signifie moindre privilège, appliqué et révisé

Une fois les actifs classifiés, le contrôle d'accès décide qui y touche. L'Implementing Regulation exige une politique de contrôle d'accès documentée fondée sur le moindre privilège et le besoin d'en connaître — l'accès accordé parce qu'un rôle l'exige, pas parce que c'est pratique.

Concrètement, les auditeurs attendent des identifiants uniques pour chaque utilisateur (pas de comptes « admin » partagés), un processus distinct et étroitement contrôlé pour les comptes privilégiés et administratifs, et des revues d'accès périodiques qui aboutissent réellement à des révocations. Le couplage avec l'authentification importe ici : un contrôle d'accès solide suppose une identité solide, c'est pourquoi la MFA résistante au hameçonnage n'est pas une option supplémentaire mais le mécanisme qui rend le moindre privilège applicable. Voyez notre analyse des exigences MFA de NIS2 pour comprendre comment ces deux mesures se connectent.

La décision que teste réellement un auditeur est simple à énoncer et difficile à prouver : pour un compte donné, pouvez-vous montrer pourquoi il possède l'accès qu'il possède, qui l'a approuvé et quand il a été révisé pour la dernière fois ?

La NIS2 s'applique-t-elle à votre organisation ?
1
Votre organisation opère-t-elle dans un secteur essentiel ou important (énergie, transport, santé, infrastructure numérique, etc.) ?
Oui▼
Non▼
2
Votre organisation compte-t-elle 50 employés ou plus, ou réalise-t-elle un chiffre d'affaires annuel supérieur à 10 millions d'euros ?
✗
La NIS2 ne s'applique pas directement à votre organisation.
Oui▼
Non▼
✓
La NIS2 s'applique à votre organisation en tant qu'entité essentielle ou importante.
3
Votre organisation est-elle un opérateur d'infrastructure critique ou un prestataire de services de confiance qualifié ?
Oui▼
!
La NIS2 pourrait s'appliquer à votre organisation — consultez un juriste pour confirmer votre statut.
1
Votre organisation opère-t-elle dans un secteur essentiel ou important (énergie, transport, santé, infrastructure numérique, etc.) ?
Oui ↓Non →
2
Votre organisation compte-t-elle 50 employés ou plus, ou réalise-t-elle un chiffre d'affaires annuel supérieur à 10 millions d'euros ?
Oui ↓Non →
3
Votre organisation est-elle un opérateur d'infrastructure critique ou un prestataire de services de confiance qualifié ?
Oui ↓Non →
✗
La NIS2 ne s'applique pas directement à votre organisation.
✓
La NIS2 s'applique à votre organisation en tant qu'entité essentielle ou importante.
!
La NIS2 pourrait s'appliquer à votre organisation — consultez un juriste pour confirmer votre statut.
S'applique
Possiblement applicable
Ne s'applique pas

L'accès privilégié est le point où la vigilance se concentre. Des droits d'administration permanents que personne n'utilise au quotidien sont le constat le plus fréquent. Si un technicien a besoin du rôle d'administrateur de domaine deux fois par mois, un accès permanent 24/7 à celui-ci est un risque que vous choisissez de porter. L'élévation just-in-time et la journalisation des sessions font passer cela d'un constat à une mesure défendable.

Pour un MSP, un seul identifiant obsolète se propage en cascade vers chaque client en aval

Voilà pourquoi les régulateurs se soucient tant d'une mesure qui ressemble à de l'hygiène informatique. Les défaillances du contrôle d'accès ne restent pas confinées.

Un seul compte sur-privilégié et non révisé au sein d'un MSP n'est pas un risque — c'est un risque partagé sur chaque client que ce compte peut atteindre. Compromettez-le et le rayon de l'explosion est l'ensemble du portefeuille clients. C'est exactement la préoccupation de chaîne d'approvisionnement autour de laquelle l'article 21(2)(d) est construit, et c'est pourquoi une faiblesse de contrôle d'accès chez un prestataire déclenche une vigilance bien au-delà du prestataire lui-même. Les régulateurs peuvent escalader : un constat chez votre organisation devient un constat pour chaque entité essentielle qui dépend de vous, et la pression de mise en œuvre — y compris les amendes administratives et, pour la direction, la responsabilité personnelle — se propage en cascade tout au long de la chaîne.

Escalade des sanctions NIS2 — Au-delà de l'amende
!
Déclencheur
Non-conformité détectée ou incident survenu
Une autorité de contrôle identifie une lacune de conformité ou une organisation ne respecte pas les exigences NIS2
Les autorités peuvent imposer
▼
Sanctions non financières
1
Ordres de mise en conformité avec délais contraignants
2
Audits de sécurité obligatoires à vos frais
3
Divulgation publique des violations
4
Instructions contraignantes sur des mesures de sécurité spécifiques
Escalade vers
▼
Conséquences opérationnelles et personnelles
1
Suspension de certifications ou licences d'exploitation
2
Interdiction temporaire de fonctions de direction pour les individus
3
Désignation publique des personnes physiques responsables
Déclencheur
Non financier
Opérationnel / personnel

L'implication inconfortable pour les MSP : la posture de conformité de vos clients est désormais en partie fonction de votre hygiène d'accès. Un client peut tout faire correctement et hériter tout de même d'une lacune de votre côté. De plus en plus, c'est ce que sondent les questionnaires fournisseurs — voyez contrats fournisseurs et NIS2 pour comprendre comment cela se traduit dans le langage contractuel.

La sécurité des ressources humaines est la mesure que personne ne documente

Le troisième pilier de 21(2)(i) est celui qui est le plus souvent négligé, parce qu'il relève en partie des RH plutôt que de l'informatique. NIS2 attend que la sécurité fasse partie du cycle de l'emploi.

Cela signifie une vérification des antécédents adaptée au rôle avant d'accorder l'accès, des obligations de confidentialité et de sécurité inscrites dans les contrats, des responsabilités de sécurité comprises pendant l'emploi et — c'est crucial — un processus de départ défini qui révoque l'accès et récupère les actifs le jour où quelqu'un part. Pas la semaine suivante. Le jour même.

Le processus joiner-mover-leaver est l'endroit où la gestion des actifs, le contrôle d'accès et la sécurité RH se rejoignent enfin comme un seul système. Un « mover » — quelqu'un qui change de rôle en interne — est le cas d'échec silencieux : il accumule l'accès de l'ancien rôle tout en obtenant le nouveau, et personne ne révoque les anciens droits. Six mouvements plus tard, vous avez un compte avec un accès que personne ne peut expliquer. C'est précisément le compte qu'un auditeur trouvera.

Ce qu'un auditeur vous demandera réellement de produire

Des preuves, pas des intentions. Pour 21(2)(i) précisément, soyez prêt à fournir un inventaire d'actifs avec propriétaires et classification, une politique de contrôle d'accès énonçant explicitement le moindre privilège, une liste des comptes privilégiés avec justification et date de dernière revue, les enregistrements d'une revue d'accès réalisée avec révocations, et des procédures joiner-mover-leaver documentées avec la preuve qu'elles ont été suivies pour les départs récents.

Si assembler cette liste de mémoire vous a mis mal à l'aise, ce malaise est l'analyse d'écart. L'article 21(2)(i) est l'une des dix mesures, et les mesures s'imbriquent — une faiblesse ici sape votre réponse aux incidents, votre assurance de chaîne d'approvisionnement et vos affirmations de continuité d'activité. Notre guide pas à pas d'analyse d'écart parcourt l'ensemble complet, et les dix mesures expliquées montrent comment 21(2)(i) se connecte au reste.

Le contrôle d'accès et la gestion des actifs ne sont pas glamour. Ils sont aussi le point où la préparation se gagne ou se perd, car ce sont les mesures qu'un auditeur peut vérifier en une après-midi et que l'attaquant exploite en quelques minutes. Trouvez vos comptes obsolètes et vos actifs manquants avant que quelqu'un d'autre ne le fasse.

Vous ne savez pas où sont vos lacunes ? Lancez un quick scan NIS2 gratuit pour voir en une dizaine de minutes comment votre contrôle d'accès et votre gestion des actifs se comparent à l'article 21.