NIS2 : les associations et organismes gestionnaires du médico-social doivent-ils se préparer ?
Une directive européenne qui fait beaucoup parler d’elle
Depuis plusieurs mois, la directive NIS2 est devenue un sujet récurrent dans le monde de la cybersécurité.
Entre les communications des prestataires, les webinaires, les audits cyber et les nombreuses publications sur le sujet, les associations médico-sociales peuvent légitimement se demander :
Sommes-nous concernés ?
La réponse n’est pas encore totalement tranchée en France puisque la directive européenne n’a pas encore été intégralement transposée dans le droit français à ce jour (juin 2026).
Pour autant, attendre la publication définitive des textes pour commencer à se préparer serait probablement une erreur.
La transposition française est encore en cours
NIS2 devait initialement être transposée dans le droit national des États membres avant octobre 2024.
La France a pris du retard sur ce calendrier et les textes définitifs ne sont toujours pas totalement stabilisés.
Cela signifie qu’il existe encore des zones d’incertitude sur certaines modalités pratiques.
Cependant, les grandes orientations sont connues :
- renforcement des exigences de cybersécurité ;
- gouvernance accrue ;
- gestion des risques ;
- gestion des incidents ;
- responsabilité de la direction ;
- contrôle par l’autorité compétente.
Ces principes ne devraient plus évoluer significativement.
Certains prestataires évoquent une application rétroactive
De nombreux prestataires de cybersécurité utilisent parfois un discours alarmiste.
On entend régulièrement :
« Il faut être conforme immédiatement car la loi pourrait être rétroactive. »
À ce jour, il convient d’être prudent avec ce type d’affirmation.
En revanche, il est probable que les autorités examineront les démarches engagées par les organisations pour se préparer.
Autrement dit :
Mieux vaut être capable de démontrer une trajectoire de mise en conformité plutôt que de découvrir le sujet lorsque les obligations deviendront applicables.
Comment savoir si mon association est concernée ?
L’ANSSI met à disposition un simulateur officiel permettant d’obtenir une première estimation.
Simulateur officiel :
MonEspaceNIS2 – Simulateur ANSSI
Ce test permet d’évaluer si on est ciblé en fonction de :
- secteur d’activité ;
- taille de la structure ;
- activités exercées ;
Selon l’interprétation retenue concernant certaines activités du médico-social, une association peut aujourd’hui être considérée ou non comme entrant dans le périmètre de la directive. Cette question devra être clarifiée lors de la transposition définitive des textes français.
Admettons que nous le sommes.
Par quel bout commencer ?
C’est probablement la question que se posent la majorité des associations.
La bonne nouvelle est qu’il n’est pas nécessaire d’avoir déjà une PSSI, un PCA ou un PRA pour commencer à se préparer.
Dans de nombreuses structures médico-sociales, ces documents n’existent pas encore ou sont en cours de construction.
L’important est avant tout de comprendre où se situent les principaux risques.
L’objectif n’est pas de produire immédiatement une documentation de plusieurs centaines de pages mais de progresser étape par étape.
Dans la majorité des ESMS actuels, on devrait au moins trouver des actions déjà engagées, avec une maturité plus ou moins importante selon les structures :
- Des sauvegardes plus ou moins documentées ;
- Quelques procédures techniques ;
- Des prestataires historiques ;
- Parfois un audit cyber récent ;
- Parfois rien de formalisé.
Les 6 premières actions à engager
1. Cartographier son système d’information
Cette étape est importante car elle permet de représenter simplement l’environnement informatique de l’association. Bien souvent, les équipes en ont une bonne connaissance, mais peu d’éléments sont réellement formalisés.
Cela peut paraître être un travail colossal, mais il est souvent possible de commencer très simplement. Un document Word ou quelques diapositives PowerPoint peuvent suffire pour représenter :
- les serveurs ;
- les applications ;
- les principaux prestataires ;
- les coordonnées de contact ;
- les interactions entre les différents outils.
L’objectif n’est pas de documenter le fonctionnement technique détaillé d’une authentification LDAP ou d’un flux réseau complexe, mais plutôt de comprendre comment les différents outils interagissent entre eux.
2. Identifier les risques majeurs
Quelques exemples :
- perte des données usagers ;
- indisponibilité des logiciels métiers ;
- compromission des comptes Microsoft 365 ;
- ransomware ;
- rupture d’activité.
Ci dessous une liste des risques potentiels.
3. Vérifier ses sauvegardes
Une sauvegarde :
- testée ;
- restaurable ;
- documentée ;
vaut souvent mieux qu’une sauvegarde théorique.
C’est souvent l’un des sujets les plus simples à documenter et à améliorer rapidement. Un document dans lequel on retrouve :
- Qu’est ce qui est sauvegardé ?
- Avec quels outils ?
- A quelle fréquence ?
Définissez ensuite une fréquence de tests de restauration :
- Un fichier du serveur de fichiers tous les mois.
- Une machine virtuelle tous les six mois.
- Une base de données une fois par an.
Le jour où vous aurez besoin de restaurer des données, vous serez déjà familiarisé avec les procédures. Vous disposerez également d’une première documentation qui pourra progressivement évoluer vers une véritable politique de sauvegarde.
4. Travailler la gestion des accès
Les comptes administrateurs, les accès prestataires et l’authentification forte constituent aujourd’hui des sujets centraux.
Les grandes étapes sur la gestion des accès sont de :
- Limiter l’utilisation des comptes génériques.
- Renforcer les exigences relatives aux mots de passe.
- Sécuriser les accès distants (MFA, ZTNA, VPN, etc.).
- Encadrer et documenter les accès prestataires.
- Réaliser régulièrement une revue des comptes et des habilitations.
Là encore, quelques notes, procédures ou mémos permettent rapidement de constituer une documentation utile. Ce sont souvent ces éléments qui serviront de base aux futures exigences de conformité.
5. Impliquer la direction
L’un des changements majeurs apportés par NIS2 concerne la gouvernance.
La cybersécurité n’est plus uniquement un sujet informatique.
Il faut imaginer un scénario de cyberattaque ou d’indisponibilité majeure du système d’information. Dans ces situations, le responsable informatique ne peut pas être seul à prendre les décisions.
La direction, les responsables métiers, la communication ou encore les ressources humaines peuvent être amenés à intervenir.
La gestion d’une crise cyber est avant tout un sujet d’organisation et de gouvernance.
6. Formaliser progressivement
Lorsque l’on découvre NIS2, la tentation peut être de vouloir produire immédiatement une PSSI, un PCA ou un PRA.
Pourtant, dans de nombreuses associations médico-sociales, ces documents n’existent pas encore ou sont en cours de construction.
L’expérience montre qu’il est souvent préférable de commencer par mettre en œuvre les mesures de sécurité les plus importantes avant de chercher à tout formaliser.
Connaître ses actifs, sécuriser ses accès, vérifier ses sauvegardes, identifier ses prestataires critiques ou encore sensibiliser les utilisateurs constituent généralement des actions prioritaires.
La formalisation viendra ensuite naturellement.
Une fois les pratiques mises en place et éprouvées sur le terrain, leur documentation devient beaucoup plus simple et surtout plus pertinente.
Une PSSI, un PCA ou un PRA ne doivent pas être considérés comme une finalité mais comme la traduction écrite d’une organisation déjà engagée dans une démarche de maîtrise des risques.
Mon retour d’expérience
Dans le médico-social, nous avons parfois tendance à considérer NIS2 comme une future obligation réglementaire parmi d’autres.
Pourtant, les démarches demandées par NIS2 correspondent souvent à des mesures de bon sens que nous devrions déjà avoir engagées ou que nous avons parfois déjà mises en œuvre sans forcément les rattacher à NIS2.
- Connaître notre patrimoine informatique ;
- Protéger nos données ;
- Sécuriser nos accès ;
- Préparer les situations de crise ;
- Documenter nos procédures.
Même si les textes français ne sont pas encore totalement finalisés, le temps investi aujourd’hui dans ces sujets ne sera probablement jamais perdu.
Au contraire, il permettra d’aborder plus sereinement les futures obligations réglementaires tout en renforçant concrètement la sécurité de l’association.