Cas d’usage · NIS2 · Gestion des identités et des accès
NIS2 et IAM : quelles obligations selon votre pays ?
La directive européenne NIS2 renforce les exigences de cybersécurité applicables à de nombreuses organisations. Mais une directive commune ne signifie pas un parcours de conformité identique partout : les transpositions nationales, les autorités compétentes, les référentiels utilisés et les calendriers doivent être examinés selon la situation de chaque entité. Une organisation implantée en France n’aborde donc pas nécessairement NIS2 de la même manière qu’une organisation belge ou qu’un groupe opérant dans plusieurs États.
La gestion des identités et des accès constitue un levier opérationnel important de cette démarche. Identifier les personnes et les processus qui disposent d’un accès, maîtriser leur authentification, gouverner leurs habilitations, encadrer leurs privilèges et conserver les preuves des contrôles permet d’agir concrètement sur une partie des risques visés par NIS2. Le choix des dispositifs et des priorités dépend ensuite du cadre réglementaire applicable et de l’existant technique.
Sélectionnez le cadre réglementaire que vous souhaitez examiner. Si votre organisation exerce des activités dans plusieurs pays, choisissez le parcours Multinationale.
France : préparer les contrôles IAM du ReCyF
- Statut
- Transposition nationale en cours
- Référentiel
- ANSSI — Référentiel Cyber France
En France, la transposition nationale de NIS2 n’est pas encore achevée au 19 octobre 2026. L’ANSSI a néanmoins publié le Référentiel Cyber France (ReCyF) ainsi que des fiches pratiques qui permettent de préparer les mesures de sécurité. L’objectif 10 du ReCyF est particulièrement pertinent pour l’IAM : il traite de l’identification, de l’authentification et de la gestion des droits, avec une attention transversale portée à la traçabilité et au cycle de vie des comptes.
Cette préparation ne doit pas être confondue avec une obligation générale déjà entrée en vigueur au titre de la future transposition. Il faut tenir compte des textes applicables à chaque organisation, y compris des dispositifs préexistants et, pour certaines catégories de prestataires numériques, du règlement d’exécution européen 2024/2690. L’enjeu opérationnel consiste à engager les contrôles justifiés par les risques et à rendre leur fonctionnement démontrable.
Par où commencer sur les identités et les accès ?
Un premier travail consiste à fiabiliser l’inventaire des identités et des comptes, à identifier les responsables des comptes techniques et à sécuriser les événements d’arrivée, de mobilité et de départ. La maîtrise des mécanismes d’authentification et des accès privilégiés doit être articulée avec la gouvernance des habilitations et les dispositifs de journalisation. Les contrôles réalisés doivent enfin laisser des traces exploitables, depuis les décisions de revue d’accès jusqu’à la révocation effective des droits.
Belgique : mettre en œuvre des contrôles IAM démontrables
- Statut
- Loi nationale en vigueur depuis le 18 octobre 2024
- Référentiels et autorité
- CCB · CyberFundamentals (CyFun) · ISO/IEC 27001
En Belgique, la loi de transposition de NIS2 est déjà en vigueur. Les organisations concernées doivent mettre en œuvre des mesures de gestion des risques de cybersécurité et respecter les obligations applicables à leur situation. Le Centre pour la Cybersécurité Belgique (CCB) encadre notamment les parcours d’évaluation des entités essentielles, qui peuvent reposer sur CyberFundamentals, ISO/IEC 27001 ou une inspection directe. Le choix du parcours et les exigences de contrôle doivent être appréciés au regard de la qualification de l’entité et du cadre applicable.
L’échéance du 18 avril 2026 est désormais passée. Celle du 18 avril 2027 constitue un autre jalon important pour certaines entités essentielles, selon leur parcours d’évaluation. Sur le périmètre IAM, les organisations doivent pouvoir démontrer qu’elles connaissent leurs identités et leurs comptes, qu’elles encadrent les droits et les privilèges, qu’elles maîtrisent l’authentification et qu’elles conservent des preuves exploitables. La mise en œuvre de ces contrôles contribue à la gestion des risques, sans constituer à elle seule une certification NIS2.
Par où commencer sur les identités et les accès ?
La première étape consiste à relier les identités aux comptes et aux habilitations réellement présentes dans les systèmes. Les organisations peuvent ensuite examiner la couverture MFA, les accès à privilèges, les processus de révocation, les propriétaires de ressources et la traçabilité des décisions. Les preuves doivent être organisées pour servir à l’évaluation retenue, en tenant compte des responsabilités de l’entité et des attentes du CCB.
Multinationale : un socle IAM commun, des obligations à qualifier localement
- Statut
- Analyse par entité, activité et juridiction
- Cadre
- Directive NIS2 · Transpositions nationales · Article 26
Pour un groupe international, la difficulté n’est pas seulement de comprendre les exigences de NIS2, mais de déterminer quelles entités sont concernées, à quel titre et sous la compétence de quelles autorités. L’article 26 de la directive prévoit des règles de territorialité et des exceptions selon certaines activités, notamment numériques. Il ne suffit donc pas de connaître le pays du siège social pour déterminer l’ensemble des obligations d’un groupe.
Une gouvernance IAM commune peut néanmoins apporter une réponse opérationnelle à plusieurs juridictions. Elle permet d’harmoniser les sources d’identité, le cycle de vie des comptes, les modèles d’habilitation, les politiques d’authentification, la maîtrise des privilèges et la production de preuves. Cette mutualisation doit préserver les responsabilités propres aux entités concernées, les exigences des autorités compétentes et les éventuelles spécificités réglementaires locales.
Par où commencer à l’échelle d’un groupe ?
Un groupe peut commencer par cartographier ses entités et ses populations, identifier les sources d’identité et les responsabilités locales, puis définir les contrôles IAM qui peuvent être mutualisés. Les règles d’habilitation, les processus de révocation et la traçabilité peuvent être industrialisés dans un socle commun, tandis que les éléments de preuve et les exigences particulières sont adaptés aux juridictions applicables. Cette approche évite de multiplier les architectures sans supposer qu’un dispositif unique suffit juridiquement partout.
Ce que l’IAM permet de maîtriser dans une démarche NIS2
La sécurité des identités et des accès ne représente qu’une partie des exigences de NIS2. Elle intervient cependant à plusieurs moments essentiels de la gestion des risques : l’identification des personnes et des systèmes, l’application des décisions d’accès, la limitation des privilèges et la conservation de preuves. Ces mécanismes doivent fonctionner ensemble et s’appuyer sur des responsabilités connues.
Identifier les personnes, les comptes et les processus
Une organisation doit pouvoir relier les comptes présents dans ses applications et ses infrastructures aux identités ou processus qui les utilisent. Cela suppose des sources de référence fiables, un inventaire exploitable et des responsables identifiés, y compris pour les comptes de service et autres identités non humaines.
Gouverner les droits dans le temps
Les habilitations doivent suivre les besoins métier, de leur attribution jusqu’à leur retrait. Les événements d’arrivée, de mobilité et de départ, les demandes d’accès, les validations et les recertifications permettent d’organiser ce cycle de vie, à condition que les décisions reposent sur des règles compréhensibles et sur des propriétaires clairement désignés.
Contrôler l’authentification et les privilèges
L’authentification, notamment multifacteur lorsque les risques le justifient, contribue à sécuriser les parcours d’accès. La gestion des privilèges doit également contrôler les actions sensibles, les comptes d’administration et les secrets utilisés, sans assimiler systématiquement une politique PAM à la simple installation d’un bastion.
Produire des preuves de maîtrise
Un contrôle n’est réellement exploitable dans la durée que si son fonctionnement peut être vérifié. Les historiques de révocation, les décisions de revue d’accès, les politiques d’authentification, les journaux d’opérations sensibles et les responsables des comptes permettent de documenter la maîtrise opérationnelle, selon les exigences effectivement applicables.
Ces contrôles constituent une contribution IAM à la gestion des risques. Ils ne remplacent ni l’ensemble des mesures de cybersécurité prévues par NIS2, ni les procédures réglementaires propres à chaque pays.
Les textes et référentiels de référence
Les textes européens fixent le cadre général de NIS2, tandis que les transpositions nationales et les publications des autorités compétentes permettent de comprendre les obligations applicables dans chaque pays. Les informations ci-dessus reflètent la situation vérifiée au 19 octobre 2026 et doivent être réexaminées lorsque de nouveaux textes ou calendriers sont publiés.
Vous avez déjà identifié un chantier IAM ?
Si vos obligations et vos priorités de sécurité sont déjà définies, l'étape suivante consiste à transformer les objectifs de contrôle en processus réellement exploitables. Ariovis accompagne le cadrage des identités et des accès, la gouvernance des habilitations, la sécurisation de l'authentification et des privilèges, puis l'intégration et l'exploitation des dispositifs retenus. Le premier échange permet d'identifier le périmètre, les responsabilités et la prochaine action utile, sans présumer d'un choix technologique.