Les questions à trancher avant une mission
Cette FAQ prépare l’échange avec un prestataire. Les réponses distinguent le cadre européen, les ressources ANSSI et les choix de mission. Elles ne remplacent pas l’analyse juridique d’une entité ni l’observation de ses systèmes. Les dates et versions des sources doivent être conservées lorsque vous préparez une décision.
Commencez par le périmètre et le livrable attendu. Une incertitude sur le statut, une demande client et un besoin de reprise ne constituent pas la même mission. Les guides liés ci-dessous détaillent les pièces à réunir et les critères de réception. Le formulaire sert à décrire le contexte sans transmettre d’information technique sensible.
Une lecture adaptée à votre situation
Une entreprise peut avoir des activités multiples, des liens de groupe et des implantations internationales. Les réponses générales doivent être confrontées à ces faits. Une catégorie choisie dans un questionnaire ne suffit pas à exclure une exception. Si une pièce manque, indiquez la réserve et faites préciser la donnée avant de transformer le résultat en conclusion.
La préparation de sécurité peut avancer en parallèle du cadrage. La cartographie des services, les responsables de contrôles et les preuves existantes restent utiles. La direction doit distinguer ces travaux et les échéances légales effectivement vérifiées. Les ressources de préparation ne constituent pas, par leur publication, une promulgation nationale.
Sources et portée réglementaire
Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.
Poursuivre le cadrage
- Accompagnement NIS2 : du périmètre au plan de préparation
- Notre méthode : sélection des prestataires et traitement de la demande
- Audit d'écart NIS2 et ReCyF : préparer une feuille de route
- NIS2 pour MSP et MSSP : cadrer les exigences sectorielles
- Choisir un prestataire NIS2 : comparer méthode et qualifications
Questions sur ce dossier
Le site détermine-t-il mon assujettissement NIS2 ?
Non. Les outils structurent des questions à examiner. L’assujettissement dépend des activités, des critères de taille, des exceptions et du cadre pertinent. Une analyse juridique doit conserver les pièces et les hypothèses ; le résultat d’un questionnaire ne constitue pas une décision de l’autorité.
Une entreprise de moins de cinquante salariés est-elle toujours exclue ?
Non. Certaines catégories ou désignations peuvent entrer dans le champ indépendamment de la règle générale de taille. Les liens de groupe peuvent aussi modifier les données retenues. Examinez les exceptions et les règles de calcul avant de conclure à une exclusion.
Le code d’activité suffit-il à classer une entreprise ?
Il peut orienter la recherche, mais les activités réellement exercées et les services fournis doivent être décrits. Une activité secondaire peut être pertinente. Les contrats, les offres et l’organisation doivent être examinés avec les critères de la directive et le cadre national applicable.
ReCyF est-il une loi ou une certification ?
L’ANSSI le décrit comme un document de travail et un support de mesures recommandées pour préparer NIS2. Son utilisation doit conserver la version et la portée. Le fait de remplir une grille ne constitue pas une certification ni un constat automatique de respect de toutes les obligations.
Une démarche ISO 27001 suffit-elle pour NIS2 ?
Les travaux existants peuvent fournir des preuves utiles, mais aucune équivalence automatique n’est annoncée ici. Il faut comparer les périmètres, les mesures et les exigences propres au cadre applicable. Le comparateur ANSSI facilite une lecture informative, pas une validation juridique de l’organisation.
Tous les fournisseurs d’un grand compte sont-ils assujettis ?
Non. Le fournisseur doit examiner son propre périmètre. Les exigences de son client peuvent aussi découler du contrat et de la maîtrise de la chaîne d’approvisionnement. Séparez les obligations directes et les engagements commerciaux avant de répondre à un questionnaire ou de signer une clause.
Quel prix et quel délai prévoir pour un audit ?
Le site ne publie aucun tarif ni délai garanti de partenaire. Le prestataire les établit après cadrage des entités, systèmes, preuves et livrables. Comparez des offres sur un périmètre commun et distinguez le coût d’identification des écarts de celui des corrections.
Le devis inclut-il la remédiation ?
Seulement si elle est décrite dans les lots. Une revue, un audit et une mise en œuvre constituent des travaux différents. Le devis doit préciser les exclusions, les contributions internes et les conditions de changement de périmètre. La réception d’un rapport ne démontre pas la clôture des écarts.
Les outils envoient-ils mes réponses ?
Les deux outils calculent localement dans le navigateur. Ils ne stockent pas les réponses sur un serveur et ne les transmettent pas au formulaire. Vous pouvez imprimer ou télécharger le résultat, puis décider des éléments non sensibles à reprendre dans votre demande.
Le formulaire est-il un canal de notification d’incident ?
Non. Il sert au cadrage commercial. Aucun détail d’attaque, identifiant ou trace sensible ne doit y être envoyé. Pour un incident réel, utilisez les circuits officiels et les intervenants prévus par votre organisation. Assistance, notification et information client restent des actions distinctes.
Qui réalise la prestation après la demande ?
Le prestataire spécialisé sélectionné examine le besoin, établit son devis et réalise la mission sous sa responsabilité. Le site organise la mise en relation avec votre accord. Vous conservez la décision de contractualiser et devez examiner les compétences, les limites et les conditions proposées.
Une attestation commerciale garantit-elle la conformité ?
Aucune garantie de ce type n’est annoncée. Demandez la portée du document, la méthode et les preuves examinées. Une formation peut établir une participation, un audit décrit un périmètre observé, et les décisions d’une autorité relèvent du cadre applicable. Ces éléments ne sont pas interchangeables.