Guide · NIS2 · Paris
Une question revient souvent dans les directions parisiennes : l’entreprise est-elle concernée par NIS2, et si oui à quel titre ? Cette incertitude retarde les décisions, alors que la réponse conditionne tout le reste. Cette page explique ce que recouvre une mise en conformité NIS2 à Paris, les étapes possibles, les facteurs de prix et les points à vérifier avant de comparer des propositions.
Sommaire
La mise en conformité NIS2, c’est quoi ?
La directive NIS2 renforce les obligations de cybersécurité pour un large éventail d’entités, dans sa transposition française. Elle ne touche pas toutes les entreprises de la même façon : tout dépend du secteur d’activité, de la taille et du rôle joué dans la chaîne d’approvisionnement. La mise en conformité consiste d’abord à établir cette situation, puis à vérifier que la gouvernance, la gestion des risques et le traitement des incidents correspondent aux exigences applicables.
Une analyse d’assujettissement d’abord
Avant tout chiffrage, l’entreprise doit savoir si elle relève de la catégorie des entités essentielles, de celle des entités importantes, ou si elle n’est visée qu’indirectement par un client. Cette analyse est écrite. Elle sert de base à toutes les décisions suivantes.
Ce que la démarche n’est pas
Une mise en conformité NIS2 ne se réduit ni à l’achat d’un outil ni à l’obtention d’un label. Une norme volontaire comme ISO 27001 peut aider à répondre à une partie des exigences, sans les remplacer.
Contexte local · Paris
Contexte local : la mise en conformité NIS2 à Paris
Paris (75) est un département à lui seul, découpé en arrondissements. Dans son quartier central des affaires et dans le secteur de Paris Rive Gauche, au 13e arrondissement, les directions, les cabinets et les sociétés de services numériques côtoient des prestataires techniques. Dans ce type de tissu, la question de l’assujettissement se double souvent d’une question de chaîne : une entreprise située en dehors du périmètre peut être concernée par ricochet, parce qu’un client assujetti lui demande désormais des garanties.
Les sociétés parisiennes travaillent aussi avec des fournisseurs établis dans les départements limitrophes, les Hauts-de-Seine, la Seine-Saint-Denis ou le Val-de-Marne. Lorsque des systèmes sont administrés depuis un autre site, ou hébergés chez un prestataire situé hors de la capitale, il est utile de les inventorier avant l’analyse. Le point pratique : dresser la liste des systèmes, des sites et des prestataires critiques, puis la faire valider par la direction avant de demander un devis.
- Repères
- Quartier central des affaires, Paris Rive Gauche (13e)
- Zones voisines
- Hauts-de-Seine, Seine-Saint-Denis, Val-de-Marne
Les situations qui déclenchent un projet
- Un client assujetti demande des garanties : questionnaire de sécurité, clauses contractuelles ou demande d’audit de fournisseur.
- La politique de sécurité n’est pas écrite : des mesures existent, mais aucun document ne les rassemble ni ne fixe les responsabilités.
- Des prestataires critiques n’ont jamais été évalués : hébergeur, éditeur ou support externe dont la sécurité n’a jamais été revue.
- Plusieurs référentiels se superposent : RGPD, ISO 27001 et exigences NIS2 gagnent à être articulés plutôt que traités séparément.
Ce que comprend une prestation
Avant : vérifier l’assujettissement
Le premier livrable est une analyse du secteur, de la taille et des liens avec les clients. Elle établit si l’entreprise est concernée, à quel titre, et quelles entités du groupe entrent dans le périmètre.
Pendant : écart, gouvernance et risques
Une analyse d’écart compare les mesures existantes aux exigences applicables. Elle conduit à définir les rôles, la responsabilité de la direction et la politique de sécurité, puis à évaluer les risques qui pèsent sur le système d’information.
Après : incidents et fournisseurs
La procédure de détection, de traitement et de signalement des incidents est rédigée puis testée sur un cas concret. Les prestataires critiques sont évalués selon les mêmes critères, et le plan d’action final sépare clairement les obligations des bonnes pratiques.
Ce qui fait varier le prix
Il n’existe pas de tarif unique pour une mise en conformité NIS2. Le prix dépend principalement :
- de la taille de l’entreprise et de la complexité de son secteur ;
- du niveau de maturité en sécurité déjà atteint ;
- du nombre de sites et de prestataires critiques à examiner ;
- des référentiels déjà en place, qui peuvent être réutilisés ;
- d’un accompagnement ponctuel ou d’un suivi dans la durée.
Pour comparer deux propositions, vérifiez qu’elles couvrent le même périmètre d’entités et les mêmes livrables : analyse d’écart, plan d’action, procédure d’incident.
Bien choisir son prestataire
Trois questions permettent de départager les propositions. L’analyse d’assujettissement sera-t-elle écrite et remise à l’entreprise ? Le plan d’action distingue-t-il les obligations légales des bonnes pratiques ? La procédure de signalement des incidents sera-t-elle testée avant la fin de la mission ?
Les étapes de votre projet à Paris
- Décrire le périmètre : activité, taille, sites et clients concernés.
- Analyser l’assujettissement, documents à l’appui.
- Mesurer l’écart entre l’existant et les exigences applicables.
- Fixer la gouvernance et le plan d’action, avec des responsables désignés.
- Documenter les incidents et l’évaluation des fournisseurs.
Pour aller plus loin, consultez la mise en conformité NIS2 expliquée en détail, la page NIS2 dans le Val-de-Marne, ou les pages des territoires voisins : Hauts-de-Seine et Seine-Saint-Denis. Pour démarrer, décrivez votre projet dans le formulaire : un spécialiste de la conformité NIS2 à Paris vous recontacte, gratuitement et sans engagement.