Qu'est-ce que la directive NIS2 ?
NIS2 (directive révisée sur la sécurité des réseaux et de l'information, UE 2022/2555) est une directive européenne qui impose des obligations de gestion des risques cyber et de notification d'incidents aux opérateurs de services essentiels et importants — énergie, transport, santé, infrastructures numériques, administration publique, entre autres. Elle élargit considérablement le périmètre de la directive NIS de 2016, en couvrant davantage de secteurs et d'organisations, impose une responsabilité de la cybersécurité au niveau des dirigeants, et exige une notification des incidents dans des délais stricts (généralement 24 heures pour l'alerte initiale). Chaque État membre transpose NIS2 en droit national ; en France, l'ANSSI la met en œuvre notamment via le référentiel ReCyF. La transposition de NIS2 en France (projet de loi Résilience) est en cours d'examen au Parlement ; l'ANSSI publie déjà le référentiel ReCyF pour s'y préparer.
Pourquoi c'est important
NIS2 étend explicitement la responsabilité cybersécurité à la couche machine, au-delà des seuls utilisateurs humains. L'Objectif 10 du référentiel ReCyF de l'ANSSI — pilier de la mise en œuvre française de NIS2 — cible spécifiquement les comptes de service et les identifiants machine, exigeant des organisations qu'elles inventorient, surveillent et maîtrisent leurs identités non humaines (NHI) au même titre que les accès humains. Dans la plupart des organisations, les identités machine sont bien plus nombreuses que les collaborateurs — et la plupart n'ont ni propriétaire, ni privilèges ajustés, ni date d'expiration. Quand un régulateur demande « pouvez-vous démontrer votre maîtrise des comptes de service et des clés API ? », la plupart des organisations ne peuvent pas répondre — car ces identifiants sont généralement créés au fil de l'eau par les développeurs, jamais inventoriés centralement, et rarement rotés. La transposition de NIS2 en France (projet de loi Résilience) est en cours d'examen au Parlement ; l'ANSSI publie déjà le référentiel ReCyF pour s'y préparer.
Comment Cydenti vous aide
Cydenti fournit l'inventaire et les preuves que NIS2 — et l'Objectif 10 de ReCyF en particulier — attend des organisations : une cartographie continuellement à jour de chaque compte de service, clé API, token OAuth et identité machine, avec son propriétaire, ce qu'il peut atteindre, et s'il a été roté ou revu récemment. Plutôt que de reconstruire cette vue manuellement avant un audit, les équipes disposent d'une vue permanente et exportable, prête à être présentée à un régulateur ou un auditeur. L'exigence NIS2 sur les identités machine passe ainsi d'une course contre la montre à un contrôle maintenu et documenté.
Explorer →Questions fréquentes
NIS2 s'applique-t-elle aux comptes de service et aux clés API ?
Oui, de manière indirecte mais explicite en France. Le référentiel ReCyF de l'ANSSI, qui opérationnalise la conformité NIS2 pour les organisations françaises, inclut l'Objectif 10, exigeant spécifiquement une visibilité et une maîtrise des comptes de service et identifiants machine — pas seulement des comptes utilisateurs humains. La gouvernance des identités machine fait donc partie intégrante d'un audit NIS2.
Quand débute l'application de NIS2 ?
La transposition de NIS2 en France (projet de loi Résilience) est en cours d'examen au Parlement ; l'ANSSI publie déjà le référentiel ReCyF pour s'y préparer. Les entités essentielles et importantes ont intérêt à profiter du délai restant pour inventorier leurs identités non humaines et démontrer leur maîtrise des comptes de service, puisque l'Objectif 10 de ReCyF traite ce point directement.
Découvrez les identités machines que vous ignoriez posséder
— le premier inventaire arrive en général sous une semaine.
L’Audit Flash connecte jusqu’à trois applications SaaS en lecture seule et liste les comptes de service, identifiants orphelins, autorisations OAuth et agents IA qu’il voit. Le premier inventaire des identités arrive en général sous une semaine. Un scan complet des partages, sur un grand tenant, peut prendre plus longtemps. Sans engagement.
Sans engagement · Données hébergées en Europe · Réponse sous 24h