Comment construire l'inventaire des actifs NIS 2
L'article 21(2)(i) de NIS 2 cite la gestion des actifs et le § 30(2) Nr. 9 BSIG la transpose en droit allemand. Le point 12.4 du CIR fixe ce que contient l'inventaire pour les fournisseurs numériques qu'il couvre. La BSI 200-2 (8.1.1) vous permet de grouper les objets similaires : vous obtenez donc une courte liste d'entrées groupées, et non une ligne par appareil.
La version courte
NIS 2 cite la gestion des actifs à l'article 21(2)(i) comme l'une des dix mesures minimales de gestion des risques ; l'Allemagne la reprend au § 30(2) Nr. 9 BSIG sous la forme d'un concept de gestion des systèmes, produits et processus informatiques. Pour les fournisseurs numériques énumérés à son art. 1, le règlement d'exécution (UE) 2024/2690 la concrétise au point 12.4 : un inventaire complet, exact et à jour qui recense les activités et services ainsi que les systèmes et autres actifs qui les sous-tendent, à une granularité adaptée aux besoins de l'entité, revu régulièrement. Il ne nomme aucun champ.
Le nombre qui fait peur (200 serveurs, 600 ordinateurs portables, 40 outils SaaS) diminue dès lors qu'on lit la section 8.1.1 de la BSI Standard 200-2. Les objets du même type, avec des tâches et des conditions similaires et le même besoin de protection, sont groupés en une seule entrée. Les 600 ordinateurs portables deviennent une seule ligne avec un champ de quantité, et non 600 lignes.
Le résultat est une courte liste d'entrées groupées plutôt qu'une ligne par appareil, couvrant l'IT, l'OT, le SaaS, les équipements réseau et les sites physiques. Ce registre est le socle que l'évaluation des risques, le registre des fournisseurs, la politique d'accès et le plan d'incident référencent tous. Construisez-le une fois, revoyez-le régulièrement, mettez-le à jour lorsque quelque chose de significatif change.
Article 21(2)(i) de la directive NIS 2 (UE) 2022/2555
[Les mesures comprennent au moins] i) la sécurité des ressources humaines, les politiques de contrôle d'accès et la gestion des actifs.
L'article 21(2)(i) nomme la gestion des actifs comme l'une des dix mesures minimales que toute besonders wichtige et wichtige Einrichtung doit prendre. La directive ne dit pas à quoi ressemble le registre. Pour les fournisseurs numériques énumérés à l'art. 1 du CIR, ce détail se situe un niveau en dessous, dans le règlement d'exécution.
Règlement d'exécution (UE) 2024/2690 de la Commission, annexe point 12.4 (inventaire des actifs)
12.4.1. Les entités concernées élaborent et tiennent à jour un inventaire complet, précis, actualisé et cohérent de leurs actifs. Elles enregistrent de manière traçable les modifications apportées aux entrées de l’inventaire. 12.4.2. Le niveau de détail de l’inventaire des actifs est adapté aux besoins des entités concernées. L’inventaire comprend les éléments suivants: a) la liste des opérations et des services et leur description, b) la liste des réseaux et systèmes d’information et des autres actifs associés soutenant les activités et les services des entités concernées. 12.4.3. Les entités concernées réexaminent et mettent à jour régulièrement l’inventaire et leurs actifs et documentent l’historique des changements.
Le CIR 2024/2690 ne lie que les fournisseurs numériques énumérés à son art. 1 (DNS, TLD, cloud, centres de données, CDN, MSP, MSSP, places de marché en ligne, moteurs de recherche, réseaux sociaux, services de confiance). Le point 12.4 leur demande un inventaire complet et à jour, à une granularité adaptée à leurs besoins, recensant les activités et services et les systèmes qui les sous-tendent, revu régulièrement. Il ne nomme ni champ ni intervalle. Pour toute autre entité, le § 30(2) Nr. 9 BSIG demande un concept de gestion des systèmes, produits et processus informatiques, sans en prescrire la forme.
§ 30(2) Nr. 9 BSIG (Allemagne) + BSI Standard 200-2 section 8.1.1 (méthode recommandée)
§ 30 Abs. 2 Nr. 9 BSIG : Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen. BSI 200-2, 8.1.1 : « Ähnliche Objekte sollten deshalb sinnvoll zu Gruppen zusammengefasst werden. » Des objets peuvent partager un groupe s'ils sont du même type, ont des tâches similaires, sont soumis à des conditions similaires et ont le même besoin de protection.
Le § 30(2) Nr. 9 BSIG transpose l'article 21(2)(i) en droit allemand ; l'exposé des motifs indique que « Verwaltung von IKT-Systemen, -Produkten und -Prozessen » décrit ce que l'on appelle techniquement la gestion des actifs (BT-Drs. 21/1501, p. 148). La BSI Standard 200-2 (section 8.1) explique comment se fait l'analyse de structure : les objets du même type, avec des tâches et des conditions similaires et le même besoin de protection, sont groupés en une seule entrée. C'est la règle qui transforme 600 ordinateurs portables en une seule ligne de registre.
Partez des processus, et non du balayage réseau
Notez les processus métier dont l'entreprise dépend (prise de commande, facturation, paie, support client, ligne de production, contrôle du chauffage urbain, répartition des tournées). Pour chacun, nommez les dépendances. C'est le point d'entrée que la BSI 200-2 appelle Strukturanalyse. La cartographie des processus détermine quels actifs importent et quel est leur besoin de protection. Un balayage réseau démarré à froid vous donne du bruit, pas un registre.
Listez les actifs dont dépend chaque processus, groupés
Parcourez chaque processus et capturez les actifs dont il a besoin : applications, bases de données, serveurs, terminaux, équipements réseau, services cloud et SaaS, composants OT et ICS, sites physiques. Appliquez la section 8.1.1 de la BSI 200-2 : 45 ordinateurs portables de bureau identiques constituent une seule entrée avec un champ de quantité, et non 45 lignes. Trois PLC identiques sur la même ligne constituent une seule entrée. Les services SaaS comptent même s'ils ne sont pas sur votre réseau. Le résultat est une courte liste d'entrées groupées plutôt qu'une ligne par appareil.
Remplissez quelques champs par entrée
Pour chaque entrée, consignez ce dont vous avez besoin pour la gérer. Les orientations de l'ENISA suggèrent, entre autres : un identifiant unique (un ID d'actif court comme ERP-01), une description (ce que c'est et quel processus il sert), un propriétaire (une personne nommée, pas un service), une classification (le niveau de protection requis en confidentialité, intégrité et disponibilité, dérivé du processus qu'il sert) et une localisation (centre de données, région cloud, site physique, ou le fournisseur qui l'héberge). Ces champs viennent d'une liste indicative, pas de la loi.
Groupez les actifs identiques, n'énumérez pas chaque appareil
La BSI Standard 200-2 (8.1.1) indique que les objets similaires doivent être groupés lorsqu'ils sont du même type, ont des tâches et des conditions similaires et ont le même besoin de protection. Utilisez-le. 600 ordinateurs portables dans le même profil MDM avec le même Schutzbedarf constituent une seule entrée de registre. Trois PLC de pompes d'eaux usées identiques constituent une seule entrée. Un parc de postes de travail VDI identiques constitue une seule entrée. Le registre doit montrer que vous comprenez vos dépendances, pas énumérer des étiquettes d'actifs.
Inventoriez les dépendances, et non seulement ce que vous possédez
Un propriétaire et un besoin de protection n'ont de sens que lorsque l'on sait quel processus l'actif sert. Le point 12.4.2(a) du CIR énumère d'abord les activités et services, et la BSI 200-2 part des processus métier. Donc cartographiez les processus d'abord et les actifs ensuite. La même règle couvre le SaaS : un outil que vous ne possédez pas mais dont votre facturation dépend a sa place dans l'inventaire, hébergé par le fournisseur nommé.
BSI : Strukturanalyse plus Gruppenbildung comme méthode recommandée
La méthodologie IT-Grundschutz du BSI (Standard 200-2, section 8.1) commence par l'analyse de structure et utilise le groupement (8.1.1) pour la garder gérable. C'est une méthode recommandée, pas une exigence légale.
Orientations techniques de mise en œuvre de l'ENISA : section 12 gestion des actifs
Les orientations techniques de mise en œuvre de l'ENISA pour le CIR 2024/2690 traitent la gestion des actifs à la section 12. Pour le point 12.4, elles suggèrent des champs à envisager (une liste indicative comprenant un identifiant unique, un propriétaire, une description, une localisation et une classification). Le tableau de correspondance de l'ENISA (CC BY 4.0, v1.2, août 2025) relie le point 12.4 à l'ISO/IEC 27001:2022 A.5.9, au NIST CSF 2.0 ID.AM et à l'ETSI EN 319 401 clause 7.3.
Autres États membres : l'ISO/IEC 27001:2022 A.5.9 comme point de départ
Le point 12.4 du CIR s'applique directement dans chaque État membre, mais seulement aux fournisseurs numériques énumérés à l'art. 1 du CIR ; les lois nationales reprennent avec leurs propres mots l'obligation générale de gestion des actifs de l'art. 21(2)(i). La correspondance de l'ENISA relie le point 12.4 à l'ISO/IEC 27001:2022 A.5.9 : un registre ISO est donc un bon point de départ ; l'ENISA précise que cette correspondance n'est pas une mesure d'équivalence.
Nous allons lister chaque appareil individuellement pour que le registre soit complet.
Non. La BSI 200-2 (8.1.1) recommande de grouper les objets similaires. Un registre de 600 lignes d'ordinateurs portables est difficile à lire et n'ajoute aucune information qu'un court registre groupé ne porte déjà.
Le SaaS est invisible parce qu'il n'est pas sur notre réseau, donc nous le sautons.
Faux. Le point 12.4.2(b) du CIR couvre les réseaux et systèmes d'information et les autres actifs associés qui soutiennent vos activités et services, et un service SaaS dont votre facturation dépend en fait partie. Saisissez-le comme une seule entrée avec le fournisseur et la région comme localisation (par exemple Salesforce, eu-west), et gardez aussi le fournisseur dans votre liste de fournisseurs.
Nous pouvons construire le registre à partir du balayage réseau et ajouter les propriétaires plus tard.
Vous le pouvez, mais le champ propriétaire restera vide et le besoin de protection sera une supposition. Le point 12.4.2(a) du CIR fait partir l'inventaire de la liste des activités et services, et la BSI 200-2 fait partir l'analyse de structure des processus métier (8.1.2). Sans cette étape, aucun processus ne pointe vers une entrée : personne ne peut dire à qui elle appartient ni quelle protection elle exige.
Exemple inventé, pas une entreprise réelle. Une entreprise de construction de machines de 60 salariés cartographie onze processus métier (prise de commande, conception, approvisionnement, ligne de production A, ligne de production B, qualité, expédition, facturation, paie, support client, service à distance après-vente). Le parcours des actifs produit douze entrées groupées : ERP (une), CAO et PLM (une), MES à l'atelier (une), serveurs de fichiers et d'impression (une, trois boîtiers identiques), le parc de 50 ordinateurs portables sous un seul profil MDM (une), deux familles groupées de contrôleurs CNC (deux), les équipements réseau centraux (une), Microsoft 365 (une), le SaaS de support client (une), l'appliance VPN après-vente (une), et le site physique (une). Douze entrées couvrant l'IT et l'OT, chacune avec un propriétaire nommé, un besoin de protection et une localisation connue.
Les mêmes douze entrées sont la colonne vertébrale du registre des risques, du registre des fournisseurs, de la politique d'accès, du plan BCM et du runbook de réponse aux incidents. Un projet de CMDB n'est pas nécessaire pour cela : le point 12.4 du CIR ne nomme aucun champ, et la BSI 200-2 (8.1.1) vous permet de grouper.
- Directive (UE) 2022/2555 (NIS 2), article 21(2)(i) : les mesures minimales de gestion des risques comprennent la sécurité des ressources humaines, les politiques de contrôle d'accès et la gestion des actifs.
- Règlement d'exécution (UE) 2024/2690 de la Commission du 17 octobre 2024, annexe point 12.4 (inventaire des actifs) : un inventaire complet, exact, à jour et cohérent, à une granularité adaptée aux besoins de l'entité, qui recense les activités et services et les systèmes qui les soutiennent, revu régulièrement. Lie les types d'entités de l'art. 1 du CIR.
- BSIG (Allemagne), §30 (Risikomanagementmaßnahmen) Abs. 2 Nr. 9, transposant l'article 21(2)(i) NIS 2 ; exposé des motifs BT-Drs. 21/1501, p. 148 (gestion des actifs).
- BSI Standard 200-2 (IT-Grundschutz-Methodik), section 8.1.1 (Komplexitätsreduktion durch Gruppenbildung) : les objets similaires sont groupés lorsqu'ils sont du même type, ont des tâches similaires, sont soumis à des conditions similaires et ont le même besoin de protection.
- ISO/IEC 27001:2022 Annexe A.5.9 (inventaire des informations et autres actifs associés), reliée au point 12.4 du CIR dans le tableau de correspondance de l'ENISA (v1.2, août 2025) ; l'ENISA précise que cette correspondance n'est pas une mesure d'équivalence.
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Risk Management
Rate your risks
Place every piece of software, every device and every supplier on the matrix.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
