Contrôle d'accès NIS 2 au titre de l'article 21(2)(i)+(j)
L'article 21(2)(i) nomme les politiques de contrôle d'accès. L'article 21(2)(j) nomme l'authentification multifacteur. Le CIR §11 les couvre ensemble en sept sous-sections. Cette page parcourt les obligations plus larges de politique, de comptes à privilèges et d'identité. La page MFA dédiée couvre le §11.7.
En bref
Le contrôle d'accès figure aux points (i) et (j) de l'article 21(2). Le point (i) nomme « la sécurité des ressources humaines, les politiques de contrôle d'accès et la gestion des actifs ». Le point (j) nomme « l'utilisation de solutions d'authentification multifacteur ou d'authentification continue, de communications vocales, vidéo et textuelles sécurisées ». Les deux s'appliquent à toute entité essentielle et importante dans l'UE.
Le CIR (UE) 2024/2690 §11 couvre les deux lettres ensemble, sous l'intitulé « Contrôle d'accès (article 21(2), points (i) et (j) de la directive (UE) 2022/2555) ». Il décompose l'obligation en sept sous-sections : la politique elle-même, la gestion des droits, les comptes à privilèges, les systèmes d'administration des systèmes, l'identification, l'authentification et l'authentification multifacteur. Cette page parcourt le §11.1 au §11.6. Pour le §11.7 en particulier, voir la page MFA dédiée.
L'Allemagne inscrit l'obligation de politique au §30(2)(9) BSIG et l'obligation MFA au §30(2)(10) BSIG. Le module IT-Grundschutz ORP.4 « Identitäts- und Berechtigungsmanagement » du BSI est une manière recommandée de la mettre en œuvre, pas un socle légal.
Article 21(2)(i) + (j) de la directive NIS 2 (2022/2555)
i) la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs; j) l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins.
Les points (i) et (j) sont deux des dix mesures de l'article 21(2). Le (i) regroupe trois choses, dont le contrôle d'accès est l'élément central. Le (j) figure à côté dans la liste. Le point 11 du CIR couvre les deux ensemble.
CIR (UE) 2024/2690, annexe §11
Contrôle d’accès [article 21, paragraphe 2, points i) et j), de la directive (UE) 2022/2555].
Le CIR §11 comporte sept sous-sections : §11.1 politique de contrôle d'accès, §11.2 gestion des droits d'accès, §11.3 comptes à privilèges et comptes d'administration des systèmes, §11.4 systèmes d'administration des systèmes, §11.5 identification, §11.6 authentification, §11.7 authentification multifacteur. Ce règlement ne lie que les types d'entités énumérés à son art. 1 (DNS, TLD, cloud, centres de données, CDN, MSP, MSSP, places de marché en ligne, moteurs de recherche, réseaux sociaux, services de confiance).
§30(2)(9) et (10) BSIG (Allemagne)
9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen, [...] 10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
L'Allemagne scinde le point (i)+(j) de l'UE en deux numéros du BSIG. Le §30(2)(9) porte le contrôle d'accès et la gestion des actifs. Le §30(2)(10) porte la MFA et les communications sécurisées. Le fond est la même règle de l'UE.
Politique et gestion des droits
Consignez par écrit comment l'accès fonctionne (logique et physique) pour le personnel, les visiteurs, les fournisseurs et les prestataires de services. Octroyez, modifiez et révoquez les droits selon le besoin métier : besoin d'en connaître, moindre privilège, séparation des tâches. Chaque droit est attribué à une personne nommée. La révocation s'exécute au changement d'emploi, pas sur un cycle hebdomadaire. L'accès des tiers (visiteurs, fournisseurs) est suivi.
Comptes à privilèges et comptes d'administration
Les comptes d'administration reçoivent une identification, une authentification et une autorisation fortes. Comptes d'administration dédiés uniquement, utilisés exclusivement pour l'installation, la configuration, la gestion et la maintenance. Les droits d'administration sont taillés individuellement et restreints. Les systèmes d'administration des systèmes ne servent qu'à l'administration, sont séparés logiquement des logiciels applicatifs qui ne servent pas à l'administration, et sont protégés par authentification et chiffrement.
Identité et authentification
Cycle de vie de l'identité : identifiants uniques, chaque identifiant lié à une seule personne, surveillance et journalisation tout au long du cycle de vie. Les procédures d'authentification correspondent à la politique de contrôle d'accès : robustesse de l'authentification proportionnée à la classification de l'actif, procédures de changement, verrouillage sur tentatives échouées, expiration des sessions, identifiants distincts pour les comptes à privilèges.
Besoin d'en connaître, moindre privilège, séparation des tâches
Le point 11.2.2(a) du CIR nomme les trois (la version allemande dit besoin d'utiliser là où la version anglaise dit moindre privilège). Besoin d'en connaître : seules les personnes qui ont besoin des données obtiennent les données. Moindre privilège : les droits correspondent à la tâche, pas au titre. Séparation des tâches : aucune personne seule ne devrait pouvoir octroyer, utiliser et auditer le même droit. Si vos groupes AD sont « informatique » et « tous les autres », vous n'avez mis en œuvre aucun des trois.
Privilégié n'est pas simplement régulier avec plus de droits
Pour les fournisseurs numériques couverts par le CIR, les points 11.3 et 11.4 relèvent le niveau spécifiquement pour les comptes d'administration. Identification forte. MFA nommée au §11.3 lui-même, pas seulement au §11.7. Comptes dédiés utilisés uniquement pour le travail d'administration. Systèmes d'administration des systèmes séparés logiquement des logiciels applicatifs. L'enjeu : un compte d'administration compromis compromet tout, donc les comptes d'administration ont leur propre régime.
BSI / IT-Grundschutz ORP.4
Le module IT-Grundschutz ORP.4 « Identitäts- und Berechtigungsmanagement » du BSI couvre le cycle de vie de l'identité, les droits fondés sur les rôles, la séparation des comptes à privilèges, les règles de mots de passe et les revues. Pour les entreprises, c'est une recommandation. Seulement pour les organismes de l'administration fédérale, le § 44(2) BSIG dispose que le respect des exigences minimales du Grundschutz satisfait au § 30.
Orientations techniques de mise en œuvre de l'ENISA
Les orientations techniques de mise en œuvre de l'ENISA pour le CIR (UE) 2024/2690 parcourent chaque sous-section du §11 en langage opérationnel et la mettent en correspondance avec l'ISO/IEC 27001:2022 (entre autres A.5.15 à A.5.18, A.8.2, A.8.3 et A.8.5) et le NIST CSF 2.0 (PR.AA). L'ENISA précise que cette correspondance n'est pas une mesure d'équivalence : vérifiez donc une mise en œuvre ISO 27001 existante point par point.
Lois nationales de transposition
Chaque État membre transpose l'article 21(2)(i) et (j) dans sa propre loi (Pays-Bas : Cyberbeveiligingswet ; Autriche : NISG 2026 ; Belgique : sa loi NIS2). La directive fixe un minimum et les États membres peuvent aller plus loin (art. 5 NIS 2) : le texte national tranche donc. Diffère aussi : la norme de référence vers laquelle pointe le régulateur national.
Nous avons des groupes AD, donc nous avons un contrôle d'accès.
Un début, pas l'aboutissement. Pour les fournisseurs numériques couverts par le CIR, les points 11.1 et 11.2 demandent une politique de droits d'accès documentée, des droits attribués à des personnes nommées, une procédure de révocation liée au changement d'emploi, et un journal d'audit des octrois et des révocations. Les groupes AD vous donnent le mécanisme. Ils ne vous donnent pas la politique, le registre des personnes nommées ni la procédure d'arrivées-mouvements-départs.
Nos administrateurs utilisent leur compte normal pour le travail d'administration, avec sudo ou « exécuter en tant qu'administrateur ».
Pour les fournisseurs numériques couverts par le CIR, le point 11.3.2(b) exige des comptes spécifiques utilisés exclusivement pour l'administration des systèmes, comme l'installation, la configuration, la gestion ou la maintenance. Pour toutes les autres entités, c'est une bonne pratique, pas une obligation légale. Le compte normal d'un administrateur sert au courrier, à l'agenda et à Excel. Un compte d'administration distinct, avec son propre second facteur, sert au travail à privilèges. Mélanger les deux signifie qu'un courriel d'hameçonnage peut atteindre le rôle d'administration.
Nous synchronisons les droits d'accès chaque lundi matin.
Proche, mais pas ce que demande le point 11.2.2(b) du CIR : les droits changent à la cessation ou au changement d'emploi, pas sur un cycle calendaire. Pour la revue des droits, le point 11.2.3 dit « à intervalles planifiés », et aucun texte ne fixe l'intervalle. (Les deux lient les fournisseurs numériques couverts par le CIR.)
Configuration typique : Active Directory ou Entra ID pour les identités, groupes AD pour l'accès aux applications, un système RH qui émet des tickets d'arrivée vers l'informatique. Cela vous donne le mécanisme. Le travail de politique se situe à trois endroits.
Trois endroits à vérifier d'abord : une politique de contrôle d'accès écrite, actuelle et approuvée, des comptes d'administration dédiés, et une procédure d'arrivées-mouvements-départs pilotée par les RH plutôt que par la seule informatique (sinon le compte d'un prestataire subsiste parce que les RH n'ont jamais prévenu l'informatique de son départ).
- Directive (UE) 2022/2555 (NIS 2), article 21(2)(i) et (j): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Règlement d'exécution (UE) 2024/2690 de la Commission (CIR), annexe §11: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Loi BSI (BSIG), §30(2)(9) et §30(2)(10) tels que modifiés par la loi de mise en œuvre de NIS2 et de renforcement de la cybersécurité
- IT-Grundschutz Kompendium, module ORP.4 « Identitäts- und Berechtigungsmanagement »: bsi.bund.de/grundschutz
- Orientations techniques de mise en œuvre de l'ENISA pour le CIR (UE) 2024/2690 (version 1.0, juin 2025)
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Access Control & HR Security
Write the staff, access and asset policy
Who gets into what, and what happens when someone leaves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
