NIS2 — Directive UE 2022/2555.
Conformez-vous en semaines, pas en mois.
Obligatoire depuis octobre 2024 pour entités essentielles et importantes. Amendes jusqu'à 10 millions € ou 2% du chiffre d'affaires annuel. Aitamit couvre les exigences techniques de l'Art. 21 avec preuves signées pour votre autorité compétente (ANSSI en France, CCN-CERT en Espagne).
À qui s'applique NIS2 ?
Entités essentielles et importantes des secteurs critiques UE : énergie, transport, banque, infrastructures de marchés financiers, santé, eau potable et usées, infrastructure numérique, gestion services TIC B2B, espace, administration publique numérique, services postaux, gestion des déchets, produits chimiques, alimentation, fabrication critique, fabrication numérique, recherche.
Seuils typiques : 50+ employés ou > 10M€ de chiffre d'affaires annuel. En France, l'autorité compétente est l'ANSSI, qui publie la liste officielle des entités. En cas de doute, l'ANSSI fournit un outil d'auto-évaluation public.
Amendes : jusqu'à 10M€ ou 2% du chiffre d'affaires annuel (entités essentielles), jusqu'à 7M€ ou 1,4% (entités importantes). Responsabilité personnelle du conseil d'administration en cas de non-conformité.
Mappage NIS2 ↔ contrôles Aitamit
Ce qu'exige NIS2 vs ce qu'Aitamit collecte automatiquement.
Art. 21.2.a — Analyse de risques et politiques SI
Aitamit couvre : Inventaire complet des actifs comme entrée pour l'analyse de risques. Posture de sécurité mesurée alimentant la matrice de risque. Hors périmètre : l'analyse de risques formelle et les politiques écrites sont du travail organisationnel.
Art. 21.2.b — Gestion des incidents
Aitamit couvre : Audit immuable hash-chain avec traçabilité complète. Détection d'incidents via alertes (changement de configuration, déviation de posture). Communication avec SIEM (Splunk, Sentinel, Elastic).
Art. 21.2.c — Continuité d'activité
Aitamit couvre : Inventaire à jour disponible pour PCA/PRA. SLA Aitamit Enterprise avec RTO 1h, RPO 1h. Hors périmètre : le PCA/PRA de votre organisation lui-même.
Art. 21.2.d — Sécurité chaîne d'approvisionnement
Aitamit couvre : SBOM public SPDX 2.3 + CycloneDX. SLSA Level 2 avec build provenance. Sous-traitants documentés publiquement. Détection de logiciels EOL dans votre flotte.
Art. 21.2.e — Acquisition et maintenance des systèmes
Aitamit couvre : Détection de correctifs en attente, logiciels EOL, versions vulnérables connues (CVE). Déploiement centralisé des mises à jour. Politiques déclaratives qui maintiennent la configuration correcte de manière continue.
Art. 21.2.f — Efficacité des mesures (mesurable)
Aitamit couvre : Score de posture 0-100 mesuré objectivement, comparable mois après mois. KPI par contrôle (quel % d'actifs passe chaque contrôle). Tendance temporelle avec preuves. C'est exactement ce que demande NIS2 : "mesures efficaces et mesurables".
Art. 21.2.g — Hygiène de base + formation
Aitamit couvre (partie hygiène) : antivirus, pare-feu, correctifs, chiffrement disque, verrouillage écran, configuration macros Office, contrôle USB. Tous mesurés automatiquement par l'agent. Hors périmètre : formation du personnel.
Art. 21.2.h — Chiffrement
Aitamit couvre : Détection du chiffrement de disque (BitLocker, FileVault, LUKS) sur chaque actif. Version TPM, Secure Boot. Chiffrement in-transit et at-rest de la plateforme elle-même. BYOK optionnel.
Art. 21.2.i — Contrôle d'accès et MFA
Aitamit couvre : Détection des comptes administrateur locaux, compte Guest, auto-login, politique de mots de passe. SSO/SAML pour l'accès à la console Aitamit. MFA obligatoire pour les administrateurs. Audit des accès.
Art. 21.2.j — Communications sécurisées d'urgence
Aitamit couvre (à venir) : Intégration avec Syphrax (messagerie voix/vidéo chiffrée E2E) prévue Q4 2026. En attendant : notifications via email chiffré, Slack, Teams.
De zéro à NIS2-ready en 4-6 semaines
Semaine 1 : déploiement agent + inventaire
Déploiement de l'agent Aitamit via GPO/Intune dans votre parc. En 24-48h vous disposez de l'inventaire complet de matériel, logiciels, configuration, correctifs.
Semaine 2 : activation NIS2 + mesure baseline
Vous activez le framework NIS2 dans Conformité → Frameworks. Aitamit mappe automatiquement les contrôles de l'agent aux articles NIS2. Vous obtenez le baseline de conformité actuel.
Semaines 3-4 : remédiation
Vous appliquez des corrections massives via commandes à distance et politiques déclaratives (BitLocker, antivirus, correctifs, configuration SMB). Aitamit recommande l'ordre selon le plus grand impact sur le pourcentage de conformité.
Semaine 5 : documentation organisationnelle
Pendant qu'Aitamit maintient les mesures techniques, votre équipe prépare les politiques écrites, la formation du personnel, le plan de continuité, le registre des fournisseurs TIC. C'est du travail organisationnel non automatisable.
Semaine 6 : rapport final + communication
Vous générez le rapport NIS2 signé SHA-256 depuis Aitamit. Vous le combinez avec la documentation organisationnelle. Vous communiquez votre conformité à votre autorité compétente (ANSSI en France).
Doutes habituels sur NIS2
Mon entreprise est-elle soumise à NIS2 ?
NIS2 oblige-t-elle à utiliser un outil concret comme Aitamit ?
L'autorité compétente accepte-t-elle le rapport Aitamit ?
Que se passe-t-il en cas d'incident NIS2 ?
European Digital Stores SL est-elle un fournisseur TIC soumis à NIS2 ?
Avez-vous un audit NIS2 cette année ?
Démo de 45 min avec cas réel. Nous vous montrons le rapport NIS2 signé et le plan de remédiation.