Exemple : une note NIS2 pour la direction
La note que QoBot rédige quand une ETI doit rendre compte de NIS2 à sa direction : la position de l'entreprise, l'état de chaque mesure, ce qui est vérifié et ce qui est seulement déclaré, et les décisions demandées. L'entreprise est fictive ; le format est celui qu'utilise QoBot.
Ce que vous avez sous les yeux
Vasseur Industrie est un fabricant fictif de pièces hydrauliques à Saint-Étienne : 380 personnes, deux usines, une équipe informatique de cinq personnes. Son conseil d’administration a demandé un point NIS2 avant sa séance de décembre. Julien, le DSI, a répondu aux questions de QoBot sur deux semaines ; Hélène, la directrice financière, présente la note.
La note tient sur une page. Chaque affirmation renvoie à un fait de l’espace de travail de QoBot ; ce que l’informatique déclare et ce qui a été vérifié restent séparés, parce que la direction approuve sur cette base.
La note
Cybersécurité et NIS2 : point d’étape pour la direction
Pour le conseil d’administration et le comité de direction · Présentée par Hélène Martin, directrice financière · Séance 9 décembre 2026 · Situation au 20 octobre 2026
L’essentiel
Vasseur Industrie serait probablement une entité importante au sens de NIS2. Quatre des dix mesures sont en place et vérifiées ; le principal écart est la reprise des systèmes de production des usines après une attaque, qui arrêterait aujourd’hui les livraisons une à deux semaines, selon l’estimation de la DSI. Nous demandons à la direction d’approuver la feuille de route, la formation du comité de direction, un budget et un point trimestriel.
Notre position NIS2
NIS2 est une directive européenne que la France n’a pas encore transposée : la loi française est toujours en discussion au Parlement (statut vérifié le 16 octobre 2026). Fabricant de pièces de machines (annexe II), plus de 250 personnes : l’entreprise serait probablement une entité importante une fois la loi applicable, hypothèse à confirmer. La directive demande à l’organe de direction d’approuver les mesures de sécurité, d’en superviser la mise en œuvre et de suivre une formation (article 20). Les obligations et délais français exacts seront fixés par la loi et ses décrets.
État par mesure (article 21.2)
| Mesure | État | Base | |
|---|---|---|---|
| a | Analyse des risques et politiques de sécurité | En place | Vérifié : politique approuvée en juin |
| b | Gestion des incidents | Partielle | Plan rédigé, jamais testé |
| c | Continuité d’activité, sauvegardes, gestion de crise | Partielle | Sauvegardes bureautiques restaurées en septembre ; systèmes de production non couverts |
| d | Sécurité de la chaîne d’approvisionnement | Non commencée | 14 fournisseurs critiques identifiés, aucun évalué |
| e | Sécurité des achats, de la maintenance, gestion des vulnérabilités | Déclarée | Indiquée par la DSI, pas encore vérifiée |
| f | Évaluation de l’efficacité des mesures | Non commencée | |
| g | Hygiène informatique et formation | En place | Vérifié : registre de formation, 92 % des salariés |
| h | Cryptographie et chiffrement | En place | Vérifié : rapport de chiffrement des portables |
| i | Sécurité RH, contrôle d’accès, gestion des actifs | Déclarée | Revue des comptes indiquée par la DSI, à vérifier |
| j | Authentification multifacteur, communications sécurisées | En place | Vérifié : rapport de connexions, tous les salariés |
Depuis le dernier point
Un incident d’hameçonnage en août : une messagerie prise en main, maîtrisée en deux heures, aucune donnée envoyée à l’extérieur. L’analyse de notification a été faite et consignée.
Décisions demandées
| # | Décision | Fondement | Coût (estimation) | Responsable | Échéance |
|---|---|---|---|---|---|
| 1 | Approuver les mesures et les suites ci-dessous | Art. 20.1 | Couvert par la décision 3 | Hélène | 9 déc. |
| 2 | Formation cybersécurité du comité de direction, format à choisir | Art. 20.2 | Devis demandé | Hélène | T1 2027 |
| 3 | Surveillance 24 h/24 de 350 postes par un prestataire, et sauvegarde hors ligne des systèmes de production | Mesures b, c | 2 800 à 8 750 € par mois, plus 15 000 à 40 000 € une fois ; 2 devis demandés | Julien | 31 janv. |
| 4 | Un point d’une page chaque trimestre, tout incident important signalé aussitôt | Art. 20.1 | Aucun | Julien | Dès le T1 |
Suites
- Julien (DSI) : tester la restauration des systèmes d’une ligne de production · avant le 30 nov.
- Sophie (achats) : envoyer le questionnaire de sécurité aux 14 fournisseurs critiques · rédigé · avant le 15 déc.
- Julien : preuves pour les mesures e et i (rapport de correctifs, revue des comptes) · avant le 15 nov.
- Hélène : suivre l’adoption de la loi française avec le conseil juridique, et la mise à jour de cette note · à chaque séance.
Exemple de livrable : entreprise fictive. Rédigé au format de note de direction de QoBot · qobot.io
Et ensuite
Après la séance, QoBot demande à Hélène ce que la direction a décidé et consigne chaque décision avec sa date. Une approbation consignée sert de preuve : le prochain questionnaire client qui demande « La sécurité est-elle approuvée par la direction ? » la réutilise, et la note du trimestre suivant part de ces quatre décisions.
Questions fréquentes
C'est une vraie entreprise ?
Non. Vasseur Industrie, ses dirigeants et ses chiffres sont inventés. La structure suit les règles qu'applique QoBot pour une note à la direction : l'essentiel d'abord, le vérifié séparé du déclaré, quatre décisions au plus.
Pourquoi la note ne donne-t-elle aucune échéance française ?
Parce qu'il n'y en a pas encore. Au 16 octobre 2026, la France n'a pas transposé NIS2 : les obligations et délais français seront fixés par la loi et ses décrets. QoBot met à jour la note quand le statut change.
Une telle note rend-elle l'entreprise conforme ?
Non. Elle dit à la direction où en est l'entreprise et ce qu'on lui demande de décider. Les mesures restent à mettre en œuvre, et c'est un auditeur ou l'autorité qui les évalue.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 20 et 21EUR-Lex · la direction approuve et supervise les mesures, suit une formation (art. 20) ; les dix mesures (art. 21.2)Texte officiel
- Directive (UE) 2022/2555 (NIS2), article 3 et annexe IIEUR-Lex · entités essentielles et importantes ; fabrication de machines et équipementsTexte officiel
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécuritéAssemblée nationale · transposition de NIS2, pas encore adoptée (statut vérifié le 16 octobre 2026)Texte officiel
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur