NIS2 est une démarche de réduction des risques, pas une case à cocher après l’achat d’un outil. Pour une TPE-PME, le meilleur point de départ est souvent très concret : savoir quels accès peuvent arrêter l’activité, qui les utilise, comment ils sont protégés et comment les révoquer.
Ce guide propose une première checklist opérationnelle. Il ne remplace pas l’analyse du périmètre juridique de votre entreprise ni l’avis d’un professionnel.
1. Vérifier votre périmètre
Avant de parler d’outils, consignez les éléments qui permettent de déterminer si votre organisation est concernée directement ou indirectement :
- secteur d’activité et services fournis ;
- taille de l’entreprise et autres critères prévus par les textes applicables ;
- rôle de fournisseur, sous-traitant ou prestataire d’une entité concernée ;
- pays et règles nationales de transposition applicables ;
- exigences de sécurité déjà prévues dans vos contrats clients.
Ne concluez pas uniquement à partir du nombre de salariés. Une PME peut ne pas être directement assujettie tout en devant répondre à des exigences de sécurité de ses clients ou partenaires.
2. Construire un inventaire simple
Commencez avec une fiche d’inventaire partagée avec la direction et la personne qui assure l’informatique. Pour chaque activité, notez :
- Activité ou service — ce qui doit continuer à fonctionner ;
- Système utilisé — messagerie, comptabilité, hébergement, DNS, sauvegardes ou outils métiers ;
- Responsable — la personne qui décide et suit le sujet ;
- Accès critique — compte administrateur, compte de service ou accès fournisseur ;
- Dépendance — prestataire, fournisseur ou système tiers ;
- Preuve — politique, revue, test ou compte rendu conservé.
Réexaminez cette liste au moins une fois par an et après un changement important : nouvel outil, nouveau prestataire, départ d’un administrateur ou évolution de l’activité.
3. Cartographier les identités et les droits
Pour chaque accès critique, vérifiez cinq points :
- le propriétaire du compte est identifié ;
- chaque utilisateur autorisé est connu ;
- le niveau de privilège est justifié ;
- le mode d’authentification et la récupération sont documentés ;
- la révocation est possible rapidement.
Supprimez les comptes inutilisés. Remplacez les comptes partagés quand c’est possible ; lorsqu’un compte technique doit rester partagé, documentez son usage, son propriétaire et la procédure de rotation du secret.
Un coffre chiffré local comme Soclyde peut aider à organiser ce périmètre : génération de secrets uniques, stockage sur les appareils de l’organisation et partage contrôlé avec les personnes autorisées. Il ne supprime pas la nécessité de gérer les comptes dans chaque service.
4. Appliquer les mesures prioritaires
Commencez par les mesures que l’équipe peut vérifier :
- un mot de passe unique par service ;
- une phrase secrète principale robuste pour le coffre ;
- l’authentification multifacteur activée lorsque le service la propose ;
- des droits d’administration séparés des usages courants ;
- une revue périodique des comptes et des privilèges ;
- une procédure de départ et de changement de rôle ;
- des sauvegardes dont la restauration a été testée.
Soclyde traite surtout le risque des identifiants réutilisés, dispersés dans des feuilles de calcul ou transmis par des canaux inadaptés. Il ne remplace ni le MFA, ni la gestion des postes, ni les mises à jour, ni la supervision.
5. Attribuer les responsabilités
La sécurité ne doit pas reposer sur une seule personne qui « connaît les mots de passe ». Désignez au minimum :
- un responsable côté direction ;
- un référent opérationnel ou un prestataire identifié ;
- les propriétaires de chaque activité et système critique ;
- une personne à contacter en cas d’incident, avec un remplaçant.
Écrivez une politique courte : qui peut demander un accès, qui l’approuve, où le secret est conservé, quand le droit est revu et comment il est retiré. Une règle comprise et appliquée vaut mieux qu’un document ambitieux que personne ne consulte.
6. Préparer les incidents et la continuité
Une checklist NIS2 ne s’arrête pas aux mots de passe. Testez au moins une fois :
- la révocation d’un compte compromis ;
- la récupération d’un coffre et de ses sauvegardes ;
- le contact d’urgence du prestataire ;
- la décision à prendre si la messagerie ou l’outil métier est indisponible ;
- la conservation des éléments utiles à l’analyse de l’incident.
Notez la date, les participants, le résultat et l’action corrective. Ces preuves rendent les progrès visibles et évitent de découvrir les lacunes le jour d’une crise.
Checklist de démarrage en 30 jours
- [ ] Nommer le responsable sécurité côté direction.
- [ ] Lister les activités, systèmes et prestataires critiques.
- [ ] Revoir les comptes administrateurs et supprimer les comptes orphelins.
- [ ] Activer le MFA sur les services qui le permettent.
- [ ] Remplacer les secrets réutilisés et les centraliser dans un coffre chiffré.
- [ ] Définir la procédure d’arrivée, de changement de rôle et de départ.
- [ ] Tester une révocation, une restauration et un scénario d’indisponibilité.
- [ ] Conserver les décisions, les responsables, les échéances et les résultats des tests.
Ce que Soclyde apporte dans cette démarche
Soclyde contribue à un périmètre précis : protéger et organiser les identifiants et autres secrets opérationnels. L’approche local-first limite la dépendance à un serveur central pour ces données, tandis que l’entreprise conserve la responsabilité de ses appareils, de ses sauvegardes, de ses comptes et de ses procédures.
Utilisez donc Soclyde comme une brique de votre plan d’action, pas comme une promesse de conformité automatique. La bonne question est : quels risques avons-nous réduits, quelle preuve pouvons-nous montrer et quelle action reste à faire ?
