Dossier de preuves NIS2 : organiser les documents attendus

Construire un registre plutôt qu’un dépôt de fichiers

Un dossier de preuves doit permettre de retrouver ce qui démontre une mesure, sur quel périmètre et à quelle date. Une arborescence volumineuse ne fournit pas cette traçabilité par elle-même. Reliez les références étudiées aux contrôles et à leurs propriétaires. Le registre doit distinguer un document de politique, une observation technique et une décision de direction.

ReCyF et le guide ENISA proposent des cadres utiles pour organiser la préparation. Leur utilisation doit conserver leur portée et le régime applicable à l’entité. Une ligne renseignée dans un tableur ne démontre pas automatiquement une obligation satisfaite. Le dossier doit permettre à un lecteur compétent d’examiner les preuves et les limites, sans lui demander de croire une déclaration générale.

Identifier la preuve attendue pour chaque question

La question étudiée détermine la preuve. Pour savoir si une politique existe, le document approuvé et sa version peuvent être pertinents. Pour savoir si les droits sont revus, un relevé de contrôle daté et ses actions est nécessaire. Pour savoir si une restauration fonctionne, un compte rendu de test décrit les étapes et le résultat métier. Ces éléments ne sont pas interchangeables.

Préparez un statut pour les preuves absentes, périmées ou partielles. Un contrôle peut fonctionner sans que sa traçabilité soit suffisante ; le rapport doit le distinguer d’une absence de contrôle. Les demandes de pièces supplémentaires doivent préciser le besoin. Évitez de collecter tout un environnement de production pour répondre à une question limitée.

Conserver contexte et limites

Chaque preuve doit avoir un titre, une date, un propriétaire et un périmètre. Un échantillon de comptes ne représente pas nécessairement tous les accès. Un test de restauration sur une application ne démontre pas la reprise d’un autre service. La preuve doit indiquer ce qui a été observé et les hypothèses. Le registre relie les conclusions à ces limites.

Les décisions de traitement sont aussi des éléments utiles. Une direction peut avoir arbitré un chantier et accepté un risque résiduel dans un contexte donné. Le dossier conserve la décision et les informations qui l’ont soutenue. Il ne doit pas présenter l’acceptation interne d’un risque comme une dispense d’obligation légale. Les deux lectures restent séparées.

Champ du registre	Rôle
Référence	Identifier le sujet et la nature du cadre étudié
Contrôle	Décrire la mesure réellement mise en œuvre
Preuve	Lien vers la pièce ou l’observation pertinente
Périmètre	Systèmes, services et échantillon concernés
Réserve	Limite, donnée manquante ou conclusion partielle
Propriétaire	Personne chargée du maintien et de la réponse

Exemple : une revue des accès

Dans un exemple pédagogique, un relevé montre qu’une équipe a contrôlé les droits d’une application. La pièce doit préciser la date, les rôles examinés et les actions décidées. Si les comptes de prestataires ne sont pas inclus, la limite est explicite. La conclusion porte sur l’échantillon et le processus observés, pas sur tous les accès de l’entité.

La correction peut demander une revue complémentaire ou une amélioration du processus. Le dossier conserve le relevé initial et les actions réalisées. Une capture remplacée sans historique peut rendre la conclusion difficile à vérifier. Cet exemple ne décrit aucun client ; il aide à choisir la forme de preuve à demander dans la mission.

Protéger et maintenir le dossier

Les preuves peuvent contenir des informations sensibles sur les systèmes et les personnes. Définissez les accès, les modalités de partage et la conservation. Les extraits destinés à un prestataire ou à un client sont expurgés selon le besoin. Les secrets n’ont pas à figurer dans le registre. Un lien vers un espace contrôlé peut être préférable à une copie diffusée dans plusieurs rapports.

Le dossier doit être revu lors de changements et lorsque les preuves cessent de décrire la situation. Le propriétaire signale les pièces devenues obsolètes. Les versions de référentiels sont conservées, afin de comprendre une évolution des correspondances. Le registre devient un outil de suivi opérationnel lorsqu’il aide les équipes à répondre aux questions et à planifier les observations manquantes.

Cahier de mission et critères de réception

Demandez une prestation qui identifie les questions de preuve avant de créer une arborescence. Le devis précise les domaines et les systèmes couverts, les pièces attendues et le niveau de vérification. Une mission de classement documentaire ne doit pas être présentée comme un audit de fonctionnement. Le prestataire doit expliquer comment il qualifie les preuves partielles ou contradictoires.

Les livrables comprennent un registre réutilisable, une convention de nommage et une liste des observations manquantes. Demandez les règles de confidentialité et de suppression des copies après mission. Le commanditaire doit pouvoir reprendre le registre sans dépendre d’une plateforme propriétaire absente du contrat. Les droits de modification et la gouvernance des versions doivent être définis.

Pour réceptionner, choisissez plusieurs mesures de nature différente et suivez les liens jusqu’aux pièces. Vérifiez que les documents sont accessibles aux personnes autorisées, datés et compréhensibles. Une preuve ne doit pas être marquée suffisante lorsque son périmètre est inconnu. Les réserves doivent aboutir à une action attribuée. Le dossier peut ensuite soutenir les audits et les revues, mais il ne doit pas être communiqué intégralement à chaque interlocuteur sans examen du besoin.

Préparez une vue destinée aux demandes externes. Elle peut décrire les contrôles et leurs limites sans exposer tout le registre interne. Le partage doit être validé par le propriétaire de la pièce. Conservez la version transmise et son destinataire selon vos règles. Cette organisation permet de répondre à un questionnaire client sans créer une copie générale du dossier technique accessible au-delà du besoin.

Sources et portée réglementaire

Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.

Poursuivre le cadrage

Questions sur ce dossier

Une procédure suffit-elle comme preuve de fonctionnement ?

Elle décrit ce qui devrait être fait. Une observation ou un relevé de contrôle peut être nécessaire pour démontrer la mise en œuvre sur le périmètre étudié.

Faut-il centraliser tous les documents sensibles ?

Pas nécessairement. Un registre de liens vers des espaces contrôlés peut suffire. Les accès et les modalités de partage doivent rester proportionnés.

Comment traiter une preuve périmée ?

Conservez son historique, indiquez qu’elle ne décrit plus l’état actuel et attribuez une action de mise à jour ou de nouvelle observation.