La directive NIS2 redessine les obligations européennes en matière de cybersécurité pour les hébergeurs et fournisseurs de services. Elle élargit le périmètre des structures concernées et renforce la responsabilité des dirigeants envers la sécurité des infrastructures.
Face à un contexte où plus de quarante pour cent des entreprises ont subi une attaque significative, il devient urgent d’évaluer la conformité de son prestataire d’hébergement. Je présente ci-dessous les points essentiels à retenir pour évaluer votre hébergeur face à NIS2.
A retenir :
- Identification des hébergeurs assujettis selon taille et secteur
- Mise en place d’une gouvernance cyber engageant la direction
- Notification rapide des incidents significatifs aux autorités compétentes
- Adoption de référentiels et outils comme ReCyF ou ISO27001
Quels hébergeurs sont concernés par NIS2 et obligations européennes
Après ces points essentiels, il convient d’identifier précisément quelles catégories d’hébergeurs entrent dans le périmètre défini par NIS2. Selon l’ANSSI, la directive distingue les entités essentielles et importantes selon la criticité des services fournis et la taille des structures.
Secteur
Catégorie
Exemples d’entités concernées
Énergie
Hautement critique
Opérateurs de centres de données pour réseaux électriques
Transports
Hautement critique
Opérateurs de clouds pour systèmes de trafic
Santé
Hautement critique
Hébergeurs de dossiers médicaux électroniques
Infrastructures numériques
Hautement critique
Fournisseurs de centres de données et CDN
Fournisseurs de services numériques
Critique
Plateformes cloud, registres DNS, services de SaaS
Ces classifications impliquent des obligations différentes selon que l’entité soit qualifiée d’EE ou d’EI, avec des exigences accrues pour les premières. Selon Numeum, un diagnostic précis peut déterminer rapidement le statut d’un hébergeur et le niveau de conformité requis.
Critères d’assujettissement NIS2 :
- Nombre d’employés et seuils de chiffre d’affaires
- Rôle critique dans la continuité d’un service public
- Fourniture d’infrastructures numériques transfrontalières
- Impact potentiel sur la sécurité nationale ou économique
« J’ai vérifié notre contrat d’hébergement et réalisé que plusieurs services étaient désormais soumis à de nouvelles obligations. »
Alice D.
H3 : Classification EE versus EI pour les hébergeurs
Classification EE versus EI pour les hébergeurs
Ce point relie la définition sectorielle à la mise en conformité opérationnelle des hébergeurs en France. Selon le baromètre du CESIN, la fréquence des attaques en 2025 a accéléré la priorisation de ces classifications par les autorités.
La distinction influence le niveau d’audit, les obligations de notification et la rigueur des contrôles. Les hébergeurs classés EE font l’objet d’exigences de sécurité plus strictes et de supervision renforcée.
Impacts pour les petits hébergeurs et small mid-caps
Ce volet situe les conséquences pratiques pour les hébergeurs de taille moyenne ou petite soumis à NIS2. Selon Numeum, la future révision pourrait relever les seuils et inclure les small mid-caps, modifiant ainsi le paysage d’assujettissement.
Les petites structures doivent anticiper des exigences de gouvernance et des contrôles formalisés pour éviter des ruptures de service. Cette clarification prépare l’examen des obligations détaillées que nous aborderons ci-après.
Obligations de conformité NIS2 pour les hébergeurs : mesures et gouvernance
Ce passage applique la définition du périmètre aux exigences concrètes que doit assurer un hébergeur pour la conformité. Selon l’ANSSI, les entités doivent déployer une gestion des risques documentée et atteindre les objectifs de sécurité de la directive.
Mesures techniques NIS2 :
- Sécurisation des accès et segmentation réseau
- Chiffrement des données en transit et au repos
- Surveillance continue et détection des intrusions
- Plans de reprise et de continuité testés régulièrement
Mesures techniques de sécurité réseau et gestion des risques
Ce point explique comment les mesures techniques répondent directement aux objectifs de la directive NIS2. La mise en place de sécurité réseau et d’outils de détection est essentielle pour limiter l’impact des incidents.
Obligation NIS2
Exigence
Exemple d’implémentation
Gestion des risques
Processus formalisés et évaluations régulières
Cartographie des actifs et tests de vulnérabilité
Notification d’incidents
Signalement rapide aux autorités compétentes
Procédure d’escalade et journalisation centralisée
Gouvernance
Implication des dirigeants et responsabilités claires
Mandat de sécurité et comité de pilotage
Mesures techniques
Contrôles d’accès et chiffrement
Segmentation réseau et gestion des identités
Selon l’ANSSI, l’utilisation du référentiel ReCyF facilite l’identification des écarts face aux objectifs de la directive. Adopter un référentiel n’empêche pas d’utiliser ISO27001 ou NIST pour structurer les actions.
Obligations de gouvernance et responsabilité dirigeante
Ce segment relie les obligations techniques à la gouvernance, exigeant des engagements clairs au niveau directionnel. Selon Numeum, la responsabilité des dirigeants est désormais un élément central de la conformité NIS2.
Les contrats d’hébergement doivent expliciter les rôles, SLA et obligations de notification, protégeant ainsi la protection des données et la continuité des services. Ce point prépare l’évaluation opérationnelle que nous détaillerons ensuite.
Comment évaluer si votre hébergeur assure la protection des données et sécurité réseau
Ce enchaînement transforme les obligations en critères d’audit pratiques pour vérifier l’offre d’hébergement. Selon le baromètre CESIN, les contrôles réguliers et les preuves documentées restent les meilleurs indicateurs de maturité.
Checklist d’audit pour hébergeur :
- Preuve de gestion des risques et registres des actifs
- Procédures de notification et contacts d’urgence documentés
- Rapports d’audits et résultats des tests d’intrusion
- Clarté contractuelle sur la localisation et traitement des données
Checklist opérationnelle pour audits et conformité
Ce volet propose des étapes concrètes pour mener un audit ciblé chez un hébergeur partenaire. Demandez des preuves de conformité, des procédures internes et les résultats des tests de sécurité les plus récents.
« Nous avons exigé le journal d’audit et obtenu une feuille de route corrective en dix jours, ce qui a renforcé notre confiance. »
Marc L.
Cas pratiques et retours d’expérience
Ce segment présente retours concrets et scénarios d’attaque pour mieux comprendre les exigences en pratique. Un client d’hébergement a partagé comment la conformité a évité une panne majeure après une attaque ciblée.
« Après avoir revu nos contrats, nous avons migré vers un hébergeur offrant des preuves ISO et ReCyF, améliorant notre posture. »
Julie R.
« L’avis de notre DSI a été clair, la conformité NIS2 est un accélérateur d’investissements techniques et organisationnels. »
Pauline S.
Source : CESIN, « 11e baromètre annuel », 2025 ; ANSSI, « ReCyF référentiel », 2024 ; Numeum, « Cartographie NIS2 », 2024.
