NIS2

Comment ça marche

NIS2 remplace la directive NIS de 2016. Comme il s'agit d'une directive et non d'un règlement, le texte qui vous oblige est la loi de transposition nationale, contrôlée par une autorité nationale : l'ANSSI en France, le BSI en Allemagne, l'INCIBE et le CCN en Espagne. La plupart des États membres ont légiféré après l'échéance d'octobre 2024, ce qui explique que le périmètre et les modalités de déclaration varient encore un peu d'un pays à l'autre.

Les entités concernées sont réparties en entités essentielles et entités importantes, selon le secteur et la taille. Énergie, transports, banque, santé, eau potable, infrastructures numériques, administration publique et services postaux entrent dans le champ, ainsi qu'une bonne partie de l'industrie manufacturière et de la gestion des déchets que NIS1 ignorait. Une entreprise de plus de 50 salariés ou de 10 millions d'euros de chiffre d'affaires peut y tomber sans s'être jamais vue comme une infrastructure critique.

Deux articles font l'essentiel du travail. L'article 21 liste les mesures attendues : inventaire des actifs et contrôle d'accès, authentification multifacteur, cryptographie, gestion des correctifs, sécurité de la chaîne d'approvisionnement, traitement des incidents. L'article 23 fixe le chronomètre : alerte précoce dans les 24 heures suivant la connaissance d'un incident important, notification complète sous 72 heures, rapport final sous un mois. Les sanctions atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et la direction répond personnellement des mesures qu'elle valide.

Pourquoi c'est important pour une flotte

Les téléphones et les tablettes sont les appareils sur lesquels vos équipes lisent leurs messages et ouvrent les pièces jointes, et rien dans l'article 21 ne les met de côté. Un auditeur qui vous demande comment vous contrôlez l'accès aux données de l'entreprise attend la même réponse pour une tablette Android d'entrepôt que pour un ordinateur portable : inventaire connu, chiffrement imposé, système à jour, capacité à couper l'accès rapidement.

Le délai de 24 heures est la partie que les équipes sous-estiment. Un appareil disparaît un vendredi soir et il vous faut savoir en quelques heures s'il contenait des données réglementées, si le stockage était chiffré et si l'effacement est bien passé. C'est d'abord un problème d'inventaire et de preuve, avant d'être un problème de sécurité. Une flotte que vous ne savez décrire qu'avec un tableur ne répondra pas dans les temps.

Soyons clairs sur un point : NIS2 ne mentionne jamais le MDM. Elle demande des résultats, et la maîtrise des terminaux est l'un des chemins pour y arriver.

Comment Appaloosa le gère

Appaloosa ne détient aucune certification et ne vous rend pas conforme à NIS2 : l'obligation reste la vôtre. Ce que la plateforme apporte, ce sont les contrôles et les preuves que l'article 21 attend côté mobile : inventaire des appareils avec version du système et dernière synchronisation, code de verrouillage et chiffrement du stockage imposés, règles de conformité qui signalent un appareil hors cadre, effacement à distance sélectif ou complet, et export de cet état pour un auditeur ou votre autorité nationale.

L'hébergement fait partie de la même discussion. Appaloosa s'appuie sur une infrastructure située en France qualifiée SecNumCloud par l'ANSSI (référentiel version 3.2, qui couvre l'immunité aux lois extraeuropéennes), et les données clients ne sont pas transférées hors de l'Union européenne. Pour une entreprise qui documente ses fournisseurs au titre de l'article 21, cela retire une question de la liste. La partie mobile de vos mesures vit alors au même endroit que votre configuration de gestion des appareils mobiles, et non dans un rapport séparé à reconstruire chaque année.