Aller au contenu principal

Conformité · NIS2

NIS2 : comment Kayzen contribue aux mesures de l'article 21

L'article 21 de la directive (UE) 2022/2555 liste dix mesures de gestion des risques. Pour chacune, voici ce qu'un outil comme Kayzen peut apporter, et ce qui relève de votre organisation.

Information générale, sans valeur d'avis juridique. Votre situation et vos obligations sont à valider par un professionnel. Kayzen contribue à certaines mesures ; il ne rend aucune organisation conforme.

Kayzen Security est en développement : aucun module n'est encore commercialisé. Les contributions décrites ici s'appuient sur le mapping technique de K-Comply et sur l'état réel de chaque module au 31 octobre 2026.

Les dix mesures de l'article 21, paragraphe 2

Résumés rédigés par Kayzen à partir du texte publié au Journal officiel de l'Union européenne ; seule cette version fait foi.

Les dix mesures de l'article 21, paragraphe 2
Réf.Mesure (reformulée)Contribution possible de KayzenÀ la charge de l'organisation
21.2.aAnalyse des risques et politiques de sécurité des systèmes d'informationAnalyse de risques documentée et politique de sécurité approuvée par la direction, revues régulièrement.
21.2.bGestion des incidentsProcédure de gestion des incidents, rôles d'astreinte et signalement des incidents importants dans les délais de l'article 23.
21.2.cContinuité d'activité, sauvegardes, reprise après sinistre et gestion de criseMesure organisationnelle : pas de contribution logiciellePlan de continuité et de reprise testé, sauvegardes hors ligne vérifiées, cellule de crise. Kayzen ne sauvegarde pas vos données.
21.2.dSécurité de la chaîne d'approvisionnementÉvaluation des fournisseurs et prestataires, clauses de sécurité dans les contrats, suivi de leurs pratiques.
21.2.eSécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris la gestion des vulnérabilitésExigences de sécurité à l'achat, développement sécurisé des applications internes, politique de divulgation coordonnée des vulnérabilités.
21.2.fÉvaluation de l'efficacité des mesures de gestion des risquesIndicateurs suivis par la direction, audits internes ou externes, plan d'amélioration.
21.2.gCyberhygiène de base et formation à la cybersécuritéFormation des dirigeants et sensibilisation régulière des salariés ; Kayzen ne fournit pas de formation.
21.2.hPolitiques et procédures relatives à la cryptographie et au chiffrementPolitique de cryptographie : algorithmes, gestion des clés, chiffrement des échanges et des sauvegardes.
21.2.iSécurité des ressources humaines, contrôle d'accès et gestion des actifsProcédures d'arrivée, de départ et de changement de poste, revue régulière des droits, charte d'utilisation.
21.2.jAuthentification multifacteur, communications sécurisées et communications d'urgenceDouble authentification sur les autres applications, outils de communication sécurisés et moyens de communication d'urgence.

Sources · Directive (UE) 2022/2555 — EUR-Lex (nouvel onglet)

Des preuves plutôt que des promesses

Le module K-Comply calcule des indicateurs mesurés sur votre parc (agents connectés, correctifs en attente, chiffrement des disques, double authentification des administrateurs de la console…) et les rattache aux mesures concernées. Une preuve d'un module non déployé est toujours affichée comme non mesurée, jamais comme satisfaite.

Limites

  • La gouvernance, la formation, la continuité d'activité et la gestion des fournisseurs restent entièrement à la charge de votre organisation.
  • Le signalement des incidents à l'autorité est une obligation de l'entité ; Kayzen peut aider à documenter l'incident, pas à le déclarer à votre place.
  • La transposition française peut préciser ces mesures : le mapping ne s'y substitue pas.

Voir aussi