Exigences de cryptographie NIS2 : pourquoi "nous avons du chiffrement" échoue à l'article 21(2)(h)
Un MSP que je connais a réussi douze des treize domaines d'exigences lors de l'évaluation de conformité NIS2 d'un client. Le seul domaine où il a échoué était la cryptographie. Non parce que le client manquait de chiffrement — TLS était partout, les portables tournaient sous BitLocker, les sauvegardes étaient en AES-256. Il a échoué parce que personne n'a pu produire de document lorsque l'auditeur a demandé : "montrez-moi votre politique de cryptographie." "Nous avons du chiffrement" était vrai. Ce n'était simplement pas la question.
C'est le piège de l'article 21(2)(h) de NIS2. Le chiffrement est une mesure que l'on déploie. La cryptographie, sous NIS2, est une politique que l'on doit piloter, documenter et prouver. Ce ne sont pas les mêmes choses, et c'est précisément dans cet écart que les évaluations de conformité s'effondrent aujourd'hui.
L'article 21(2)(h) demande une politique, pas un produit
L'article 21 énumère dix mesures de base de gestion des risques que toute entité essentielle et importante doit avoir. Le point (h) se lit : "politiques et procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement." Lisez-le deux fois. L'obligation, ce sont les politiques et procédures. Le chiffrement est ce que la politique encadre — et même cela est limité au "le cas échéant."
Cette formulation est déterminante pour la façon dont vous conseillez vos clients. Une approche centrée sur la mesure demande : "les données sont-elles chiffrées ?" Une approche NIS2 demande : "une politique documentée décide-t-elle quand, où et comment la cryptographie est appliquée, et pouvez-vous prouver qu'elle a été suivie ?" La plupart des organisations répondent à la première question et se taisent à la seconde.
La cryptographie côtoie les neuf autres mesures, et c'est l'une de celles que les équipes sous-estiment systématiquement parce qu'elle semble être un problème résolu. Elle ne l'est pas. C'est un problème de gouvernance déguisé en habit technique.
Article 21 — 10 Mesures de Cybersécurité NIS2
Article 21
10 Mesures de Cybersécurité
Gouvernance & Stratégie
1Analyse des risques & politiques de sécurité de l'information6Évaluation de l'efficacité des mesures de sécuritéIncidents & Continuité
2Gestion des incidents & notification3Continuité des activités & reprise après sinistreChaîne d'approvisionnement & Systèmes
4Sécurité de la chaîne d'approvisionnement5Sécurité dans le développement des systèmes d'informationContrôles Techniques
8Cryptographie & chiffrement10Authentification multifacteur & communications sécuriséesPersonnel & Actifs
7Cyber-hygiène & formation9Sécurité RH & contrôle d'accès
Ce qui manque à "nous avons du chiffrement"
Une politique de cryptographie de niveau NIS2 couvre cinq choses qu'un simple déploiement ne couvre pas.
Sélection des algorithmes. Quels algorithmes sont approuvés, lesquels sont obsolètes, lesquels sont interdits. "AES-256 et TLS 1.2+" est un début ; une politique nomme aussi ce qui est interdit et qui approuve les exceptions.
Gestion des clés. Génération, stockage, rotation et destruction. C'est là que la plupart des environnements sont les plus faibles — des clés dans des fichiers de configuration, aucun calendrier de rotation, aucune trace de qui peut accéder au coffre à clés.
Périmètre du chiffrement. Ce qui doit être chiffré au repos, en transit et — de plus en plus — en cours d'utilisation. Bases de données, systèmes de fichiers, sauvegardes, supports amovibles, trafic interne entre services. La politique définit la frontière ; la frontière est auditable.
Gestion des certificats. Émission, surveillance, renouvellement. Un certificat interne expiré est à la fois une panne et une constatation.
Crypto-agilité. La capacité de remplacer rapidement un algorithme lorsqu'il est obsolète ou cassé — sans réarchitecture. Autrefois un plus. L'UE a désormais mis un compte à rebours dessus.
Si vous gérez la conformité pour des clients, c'est la même discipline que vous appliquez déjà à l'authentification multifacteur et aux sauvegardes : la mesure est la partie facile, le processus documenté, testé et prouvé est le livrable.
Le CIR 2024/2690 a transformé l'orientation en règle
Voici ce qui a changé la donne. Le règlement d'exécution (UE) 2024/2690, en vigueur depuis novembre 2024, précise les mesures techniques derrière l'article 21 pour le secteur de l'infrastructure numérique — et il s'applique directement dans les 27 États membres. Aucune transposition nationale, aucune attente de la loi de votre pays. S'il vous couvre, il vous lie déjà.
L'annexe du règlement compte treize domaines d'exigences, et la cryptographie en est un. Elle exige explicitement une politique de cryptographie fondée sur l'état de l'art, des mécanismes de crypto-agilité permettant un remplacement rapide des algorithmes, et un alignement sur des normes reconnues telles qu'ISO/IEC 27001 et les orientations pertinentes de l'ENISA et de l'ETSI.
La question du périmètre est celle à trancher en premier avec chaque client. Le CIR 2024/2690 touche les fournisseurs de DNS, les registres de TLD, les fournisseurs d'informatique en nuage, les CDN, les services de centres de données, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, les places de marché en ligne, les moteurs de recherche, les réseaux sociaux et les prestataires de services de confiance. Si vous êtes un MSP : vous figurez sur cette liste — vous portez ces obligations pour votre propre exploitation, pas seulement pour vos clients.
La NIS2 s'applique-t-elle à votre organisation ?
1Votre organisation opère-t-elle dans un secteur essentiel ou important (énergie, transport, santé, infrastructure numérique, etc.) ?
Oui▼Non▼2Votre organisation compte-t-elle 50 employés ou plus, ou réalise-t-elle un chiffre d'affaires annuel supérieur à 10 millions d'euros ?
✗La NIS2 ne s'applique pas directement à votre organisation.
Oui▼Non▼✓La NIS2 s'applique à votre organisation en tant qu'entité essentielle ou importante.
3Votre organisation est-elle un opérateur d'infrastructure critique ou un prestataire de services de confiance qualifié ?
Oui▼!La NIS2 pourrait s'appliquer à votre organisation — consultez un juriste pour confirmer votre statut.
1Votre organisation opère-t-elle dans un secteur essentiel ou important (énergie, transport, santé, infrastructure numérique, etc.) ?
Oui ↓Non →2Votre organisation compte-t-elle 50 employés ou plus, ou réalise-t-elle un chiffre d'affaires annuel supérieur à 10 millions d'euros ?
Oui ↓Non →3Votre organisation est-elle un opérateur d'infrastructure critique ou un prestataire de services de confiance qualifié ?
Oui ↓Non →✗La NIS2 ne s'applique pas directement à votre organisation.
✓La NIS2 s'applique à votre organisation en tant qu'entité essentielle ou importante.
!La NIS2 pourrait s'appliquer à votre organisation — consultez un juriste pour confirmer votre statut.
S'appliquePossiblement applicableNe s'applique pas
L'horloge quantique est désormais une échéance de conformité
La crypto-agilité a cessé d'être théorique en 2026. Le groupe de coopération NIS a publié une feuille de route coordonnée pour la transition vers la cryptographie post-quantique, fixant des jalons fermes qui se rattachent directement à vos obligations NIS2.
Fin 2026 — les États membres lancent une stratégie nationale de transition post-quantique et se coordonnent au niveau de l'UE.
Fin 2030 — les cas d'usage à haut risque devront être migrés vers la cryptographie post-quantique, au plus tard à cette date.
2035 — la transition est achevée pour autant de systèmes qu'il est pratiquement possible.
Le mécanisme qui relie cela à l'article 21(2)(h) est la crypto-agilité. Vous ne pouvez pas migrer vers des algorithmes résistants au quantique en 2030 si vos systèmes ont RSA et ECC câblés en dur dans des applications sans voie de mise à niveau. Le test de "l'état de l'art" que les auditeurs appliquent aujourd'hui à une politique de cryptographie lit déjà la feuille de route comme contexte — ce qui signifie qu'une politique sans disposition de crypto-agilité n'est manifestement pas à l'état de l'art en 2026.
Pour les clients, ce n'est pas un problème de 2030. C'est un problème de documentation de 2026 : votre politique de cryptographie a besoin d'une clause de préparation post-quantique et d'un inventaire de l'endroit où vivent vos algorithmes actuels. Les organisations qui traitent le "harvest now, decrypt later" — des adversaires capturant aujourd'hui du trafic chiffré pour le casser une fois l'informatique quantique mûre — comme une menace réelle construisent cet inventaire dès maintenant.
Ce qu'un auditeur demandera réellement
Les évaluations de conformité ne testent pas si vous possédez un logiciel de chiffrement. Elles testent si vous pouvez produire des preuves. Pour la cryptographie, attendez-vous à ce qu'on vous demande la politique de cryptographie écrite avec un propriétaire nommé et une date de revue ; un inventaire des algorithmes et protocoles utilisés à travers les systèmes ; une procédure de gestion des clés couvrant tout le cycle de vie ; un inventaire des certificats avec suivi des expirations ; et la preuve que la politique est appliquée, pas seulement classée.
Ce dernier point est là où la discipline "évaluer l'efficacité" rencontre la cryptographie — le même test d'efficacité qu'exige l'article 21(2)(f) s'applique ici. Une politique que personne ne confronte à la réalité est une constatation qui attend son heure.
Échouer à cette mesure ne reste pas circonscrit
La cryptographie mérite une attention disproportionnée par rapport à sa seule ligne dans l'article 21, parce qu'une faille ici se propage. Une posture cryptographique faible n'est pas une constatation isolée — elle sape vos affirmations sur le traitement des incidents (des données prétendument protégées ont été compromises), vos garanties sur la chaîne d'approvisionnement (vous avez exigé de vos fournisseurs des mesures que vous ne pouvez pas démontrer vous-même) et la position de responsabilité personnelle de votre direction, car valider une posture de conformité que vous ne pouvez pas prouver est exactement le risque que NIS2 a créé pour les dirigeants.
Escalade des sanctions NIS2 — Au-delà de l'amende
!Déclencheur
Non-conformité détectée ou incident survenu
Une autorité de contrôle identifie une lacune de conformité ou une organisation ne respecte pas les exigences NIS2
Les autorités peuvent imposer▼Sanctions non financières1Ordres de mise en conformité avec délais contraignants
2Audits de sécurité obligatoires à vos frais
3Divulgation publique des violations
4Instructions contraignantes sur des mesures de sécurité spécifiques
Escalade vers▼Conséquences opérationnelles et personnelles1Suspension de certifications ou licences d'exploitation
2Interdiction temporaire de fonctions de direction pour les individus
3Désignation publique des personnes physiques responsables
DéclencheurNon financierOpérationnel / personnel
Parce que le CIR 2024/2690 rend ces exigences d'effet direct pour le secteur de l'infrastructure numérique, "notre loi nationale n'est pas encore définitive" n'est pas une défense disponible pour les entités qu'il couvre. L'obligation est active.
Ce qu'il faut faire ce trimestre
Commencez par trois actions. Premièrement, rédigez ou actualisez la politique de cryptographie en document piloté — propriétaire, cadence de revue, algorithmes autorisés et interdits, cycle de vie des clés. Deuxièmement, construisez l'inventaire des algorithmes : vous ne pouvez pas revendiquer la crypto-agilité pour des systèmes que vous n'avez pas cartographiés. Troisièmement, ajoutez la clause post-quantique dès maintenant, afin que la migration de 2030 soit un projet planifié plutôt qu'une course éperdue.
Si vous conseillez des clients et voulez savoir où se situe la cryptographie parmi leurs autres failles avant qu'un auditeur ne le fasse, une analyse des écarts structurée est le moyen le plus rapide de le découvrir. Vous pouvez réaliser une évaluation de conformité NIS2 gratuite sur nis2certify.org/quick-scan — elle signale exactement les lacunes documentaires, comme une politique de cryptographie non documentée, qui font discrètement échouer les audits.
"Nous avons du chiffrement" n'a jamais été la ligne d'arrivée. Sous l'article 21(2)(h) et le CIR 2024/2690, la politique est le livrable — et l'horloge quantique signifie que la politique que vous rédigez cette année doit déjà regarder vers 2030.