NIS2 : la conformité passe par des preuves immuables
Par Emmanuel Forgues - 22 juillet 2026
La directive européenne NIS2 fait basculer la cybersécurité d'une logique déclarative vers une logique de preuve. L'organisation doit désormais démontrer, de façon vérifiable et inviolable, que chaque mesure de sécurité a été décidée, exécutée et conservée.
Un incident qui aurait pu être évité
Scénario pédagogique (fictif). Imaginons une entreprise dont le serveur de production est compromis. Le service est rétabli, mais lors d'un contrôle, aucune preuve formelle n'atteste que les mesures de sauvegarde avaient été testées : les journaux conservés sur un partage réseau sont partiellement corrompus. Faute d'éléments probants, l'organisation ne peut pas démontrer que ses mesures étaient en place et opérationnelles — une situation qui, selon le contexte, peut donner lieu à des demandes de mise en conformité de la part de l'autorité compétente.
Cet épisode illustre le passage d'une conformité déclarative (« nous avons une politique de sauvegarde ») à une exigence de preuve immuable (« nous démontrons que la sauvegarde a été effectuée, testée et conservée sans altération »).
D'une conformité déclarative à une gouvernance basée sur la preuve
La directive (UE) 2022/2555 (NIS2) introduit, pour les entités essentielles et importantes :
- l'obligation de mettre en œuvre des mesures techniques et organisationnelles adaptées au niveau de risque ;
- une gestion du cycle de vie des risques incluant analyses périodiques ;
- un processus d'incident avec notification à l'autorité compétente dans les 24 h ;
- la mise en place d'une organisation de gouvernance avec responsabilité de la direction.
NIS2 impose des mesures appropriées de gestion des risques et un processus structuré de notification des incidents significatifs. Les durées de conservation des journaux et les mécanismes d'horodatage ne sont pas fixés de manière universelle par la directive : ils doivent être déterminés selon les textes nationaux de transposition applicables, le secteur concerné, la nature des preuves et les autres réglementations en vigueur (RGPD, exigences sectorielles, etc.).
Les attributs essentiels d'une preuve exploitable
| Attribut | Définition | Pourquoi c'est requis |
|---|---|---|
| Authenticité | La source de la donnée est identifiable et légitime | Garantit que le document ne provient pas d'un acteur non autorisé |
| Intégrité | Le contenu n'a jamais été altéré depuis sa création (hash cryptographique) | Prévient les manipulations post-hoc |
| Traçabilité | Chaîne de génération, modification et consultation enregistrée | Permet d'attribuer chaque étape à un acteur |
| Horodatage fiable | Marque temporelle certifiée (TSA qualifiée) | Évite l'antidatage et confirme la chronologie |
| Attribution | Identité de qui a produit ou validé le document | Facilite la responsabilité juridique |
| Disponibilité | Accès garanti pendant la période de conservation | L'auditeur doit pouvoir consulter à tout moment |
| Lisibilité dans le temps | Format pérenne (PDF/A, JSON-LD) et migration | Évite l'obsolescence technologique |
| Vérifiabilité indépendante | Un tiers peut vérifier sans dépendre du créateur | Renforce la confiance dans le système de preuve |
L'immutabilité protège le contenu à partir du moment où il est enregistré ; elle ne garantit pas qu'il était correct au départ. Un document falsifié avant d'être scellé reste erroné. La gouvernance des sources initiales est donc indispensable.
Les preuves attendues par les contrôleurs NIS2
| Domaine | Exemple de preuve immuable | Écart avec un simple document |
|---|---|---|
| Analyse de risques | Rapport PDF signé et horodaté, empreinte SHA-256 conservée en WORM | Un tableur partagé ne montre ni validation ni date précise |
| Politique de sécurité | Version WORM avec approbation formelle horodatée | Une copie Word peut être modifiée sans trace |
| Inventaire des actifs | Export JSON signé du CMDB, archivage quotidien | Liste Excel manuelle sans historique |
| Journaux SIEM | Flux append-only vers WORM, horodatage à la milliseconde | Logs locaux tronquables ou altérables |
| Tests de restauration | Rapport automatisé + hash des données restaurées | Capture d'écran sans preuve de cohérence |
| Notification d'incident | Notification tracée avec accusé de réception et horodatage | Note interne éditable ultérieurement |
Les limites des pratiques documentaires classiques
- dossiers partagés autorisant suppression ou modification sans journalisation ;
- renommage manuel effaçant le lien avec la version approuvée ;
- tableurs ne conservant pas les différences entre versions ;
- logs conservés seulement 30 jours alors que NIS2 exige plusieurs années ;
- captures d'écran sans contexte système ni horodatage fiable ;
- comptes administrateurs pouvant altérer les preuves sans laisser de trace ;
- preuves fragmentées entre plusieurs services et outils.
L'immutabilité comme mécanisme de confiance
| Mécanisme | Principe technique | Apport NIS2 |
|---|---|---|
| WORM (Write-Once-Read-Many) | Support interdisant toute réécriture après écriture | Garantit la non-altération du contenu déposé |
| Append-only logs | Nouvelles entrées uniquement ajoutées en fin | Preserve un flux chronologique inaltérable |
| Empreintes SHA-256/SHA-3 | Hash unique calculé à la création | Détecte toute modification, même minime |
| Chaîne de hachage | Chaque entrée intègre le hash de la précédente | Rend toute insertion ou suppression détectable |
| Arbre de Merkle | Empreintes combinées par paires jusqu'à une racine unique | Vérification d'un lot complet en un calcul |
| Horodatage qualifié (TSA) | Timestamp délivré par un prestataire qualifié eIDAS | Valeur probante juridique renforcée |
| Legal Hold | Suspension de suppression pendant procédure | Empêche la perte de preuves pertinentes |
La chaîne de conservation de la preuve
Chaque preuve doit passer par les mêmes étapes : Création → Identification (UUID) → Horodatage TSA → Hash SHA-256 → Dépôt WORM → Classification → Contrôle d'accès RBAC → Conservation → Vérification périodique → Consultation auditée → Fin de vie ou archivage légal.
En consignant chaque maillon, l'organisation crée un registre des preuves exploitable en quelques minutes lors d'un contrôle.
Mise en œuvre pragmatique pour PME et ETI
- cartographier les obligations et les risques applicables ;
- créer un registre centralisé des preuves (catégorie, source, durée, responsable) ;
- nommer un data custodian par catégorie (logs, sauvegardes, politiques...) ;
- automatiser la collecte : scripts cron qui hashent puis poussent vers S3 Object Lock ;
- activer l'horodatage qualifié pour chaque artefact majeur ;
- planifier vérifications mensuelles des hashes et tests de restauration trimestriels ;
- simuler un audit interne par trimestre pour valider la réactivité.
Ce que ChronoVault apporte
ChronoVault fournit nativement les briques exigées par NIS2 : versionnage automatique de chaque objet, immutabilité WORM configurable, horodatage précis, traçabilité complète des accès et export auditable en un clic. La chaîne de preuves n'est plus un projet à construire, mais une propriété du stockage lui-même.
Avertissement : cet article constitue une analyse éditoriale à visée d'information et ne remplace pas un conseil juridique. Les exigences précises (durées de conservation, horodatage, périmètre) dépendent des textes nationaux de transposition et du secteur concerné. ChronoVault est un produit édité par StratoSentry ; les références à ce produit ont une finalité commerciale.
Pour aller plus loin
Pour comprendre comment le stockage temporel devient un socle de conformité :