Exemple : une note NIS2 pour la direction
La note que QoBot rédige quand une ETI doit faire le point sur NIS2 devant sa direction : si l'entreprise est concernée, où en est chaque mesure, ce qui est vérifié et ce qui est seulement déclaré, et les décisions à prendre. L'entreprise est fictive ; le format est celui qu'utilise QoBot.
Ce que vous avez sous les yeux
Vasseur Industrie est un fabricant fictif de pièces hydrauliques à Saint-Étienne : 380 personnes, deux usines, une équipe informatique de cinq personnes. Son conseil d’administration a demandé un point NIS2 pour sa séance de décembre. Julien, le DSI, a répondu aux questions de QoBot en deux semaines ; Hélène, la directrice financière, présente la note.
La note tient sur une page. Chaque affirmation s’appuie sur un fait enregistré dans l’espace de travail de QoBot. Ce que l’informatique déclare et ce qui a été vérifié restent séparés, parce que c’est sur cette base que la direction donne son approbation.
QoBot a découpé le travail selon l’organisation de Vasseur : l’informatique des bureaux et les systèmes de production des usines sont évalués à part, parce que leurs sauvegardes et leurs risques ne sont pas les mêmes, et les 14 fournisseurs critiques reçoivent un seul questionnaire, envoyé par les achats.
La note
Cybersécurité et NIS2 : point d’étape pour la direction
Pour le conseil d’administration et le comité de direction · Présentée par Hélène Martin, directrice financière · Séance 9 décembre 2026 · Situation au 20 octobre 2026
L’essentiel
Vasseur Industrie serait probablement une entité importante au sens de NIS2. Quatre des dix mesures sont en place et vérifiées ; le principal écart concerne la reprise des systèmes de production des usines : après une attaque, les livraisons s’arrêteraient aujourd’hui une à deux semaines, selon l’estimation de la DSI. Nous demandons à la direction d’approuver la feuille de route, la formation du comité de direction, un budget et un point trimestriel.
Notre situation face à NIS2
NIS2 est une directive européenne que la France n’a pas encore transposée : la loi française est toujours en discussion au Parlement (statut vérifié le 16 octobre 2026). Fabricant de pièces de machines (annexe II) de plus de 250 personnes, l’entreprise serait probablement une entité importante une fois la loi applicable. C’est une hypothèse à confirmer. La directive demande à l’organe de direction d’approuver les mesures de sécurité, d’en superviser la mise en œuvre et de suivre une formation (article 20). Les obligations et délais français exacts seront fixés par la loi et ses décrets.
État par mesure (article 21.2)
| Mesure | État | Constat | |
|---|---|---|---|
| a | Analyse des risques et politiques de sécurité | En place | Vérifié : politique approuvée en juin |
| b | Gestion des incidents | Partielle | Plan rédigé, jamais testé |
| c | Continuité d’activité, sauvegardes, gestion de crise | Partielle | Sauvegardes bureautiques restaurées en septembre ; systèmes de production non couverts |
| d | Sécurité de la chaîne d’approvisionnement | Non commencée | 14 fournisseurs critiques identifiés, aucun évalué |
| e | Sécurité des achats, de la maintenance, gestion des vulnérabilités | Déclarée | Indiquée par la DSI, pas encore vérifiée |
| f | Évaluation de l’efficacité des mesures | Non commencée | |
| g | Hygiène informatique et formation | En place | Vérifié : registre de formation, 92 % des salariés |
| h | Cryptographie et chiffrement | En place | Vérifié : rapport de chiffrement des portables |
| i | Sécurité RH, contrôle d’accès, gestion des actifs | Déclarée | Revue des comptes indiquée par la DSI, à vérifier |
| j | Authentification multifacteur, communications sécurisées | En place | Vérifié : rapport de connexions, tous les salariés |
Depuis le dernier point
Un incident d’hameçonnage en août : un compte de messagerie piraté, maîtrisé en deux heures, aucune donnée envoyée à l’extérieur. L’obligation de notification a été analysée et la conclusion consignée.
Décisions demandées
| # | Décision | Fondement | Coût (estimation) | Responsable | Échéance |
|---|---|---|---|---|---|
| 1 | Approuver les mesures et les prochaines étapes ci-dessous | Art. 20.1 | Couvert par la décision 3 | Hélène | 9 déc. |
| 2 | Formation cybersécurité du comité de direction, format à choisir | Art. 20.2 | Devis demandé | Hélène | T1 2027 |
| 3 | Surveillance 24 h/24 de 350 postes par un prestataire, et sauvegarde hors ligne des systèmes de production | Mesures b, c | 2 800 à 8 750 € par mois, plus 15 000 à 40 000 € en une fois ; 2 devis demandés | Julien | 31 janv. |
| 4 | Un point d’une page chaque trimestre, tout incident important signalé aussitôt | Art. 20.1 | Aucun | Julien | Dès le T1 |
Prochaines étapes
- Julien (DSI) : tester la restauration des systèmes d’une ligne de production · avant le 30 nov.
- Sophie (achats) : envoyer le questionnaire de sécurité aux 14 fournisseurs critiques · questionnaire rédigé · avant le 15 déc.
- Julien : fournir les preuves des mesures e et i (rapport de correctifs, revue des comptes) · avant le 15 nov.
- Hélène : suivre avec le conseil juridique l’adoption de la loi française, et faire mettre à jour cette note · à chaque séance.
Exemple de livrable : entreprise fictive. Rédigé au format de note de direction de QoBot · qobot.io
Et ensuite
Après la séance, QoBot demande à Hélène ce que la direction a décidé et consigne chaque décision avec sa date. Une approbation consignée sert de preuve : QoBot la réutilise dans le prochain questionnaire client qui demande « La sécurité est-elle approuvée par la direction ? », et la note du trimestre suivant part de ces quatre décisions.
Questions fréquentes
C'est une vraie entreprise ?
Non. Vasseur Industrie, ses dirigeants et ses chiffres sont inventés. La structure suit les règles qu'applique QoBot pour une note à la direction : l'essentiel d'abord, le vérifié séparé du déclaré, quatre décisions au plus.
Pourquoi la note ne donne-t-elle aucune échéance française ?
Parce qu'il n'y en a pas encore. Au 16 octobre 2026, la France n'a pas transposé NIS2 : les obligations et délais français seront fixés par la loi et ses décrets. QoBot met à jour la note quand le statut change.
Une telle note rend-elle l'entreprise conforme ?
Non. Elle dit à la direction où en est l'entreprise et ce qu'on lui demande de décider. Les mesures restent à mettre en œuvre, et c'est un auditeur ou l'autorité qui les évalue.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 20 et 21EUR-Lex · la direction approuve et supervise les mesures, suit une formation (art. 20) ; les dix mesures (art. 21.2)Texte officiel
- Directive (UE) 2022/2555 (NIS2), article 3 et annexe IIEUR-Lex · entités essentielles et importantes ; fabrication de machines et équipementsTexte officiel
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécuritéAssemblée nationale · transposition de NIS2, pas encore adoptée (statut vérifié le 16 octobre 2026)Texte officiel
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur