NIS2 sur Azure
Conformité Azure NIS2, cartographiée à l'Article 21 avec des preuves d'audit à la demande
Microsoft vous montre ce qui est mal configuré. NIS2 vous demande ce que cela implique pour l'Article 21, qui en est responsable et quelles preuves vous pouvez présenter à un auditeur. Cloudivence, anciennement Governator, s'intercale entre les deux.
Ce que NIS2 exige réellement de votre environnement Azure
La directive NIS2 (UE 2022/2555) est entrée en application en Belgique le 18 octobre 2024. Pour les organisations qui exploitent une infrastructure cloud, le texte qui compte au quotidien est l'Article 21, qui énumère dix mesures techniques et organisationnelles que toute entité essentielle ou importante doit mettre en œuvre et documenter. Il n'y a pas d'annexe avec une checklist : les mesures sont formulées en termes de résultats à atteindre, et la charge de la preuve repose sur vous.
Sur Microsoft Azure, les contrôles sous-jacents existent généralement quelque part : Defender for Cloud, Azure Policy, Conditional Access, Key Vault, Sentinel, Azure Backup. Ce qui n'existe pas par défaut, c'est la couche qui relie ces contrôles techniques aux mesures de l'Article 21, la traçabilité des responsabilités et le dossier d'audit qu'un régulateur peut parcourir en cinq minutes.
Cloudivence est conçu pour combler cet écart. Il lit les constats et la configuration de votre environnement Azure, les rattache aux mesures de l'Article 21, vous permet de donner un responsable à chaque constat et de suivre sa correction, et produit un dossier de preuves Excel quand vous en avez besoin.
Comment Cloudivence relie Azure à l'Article 21 de NIS2
Chaque mesure de l'Article 21 appelle ses propres preuves Azure. Le tableau montre ce qu'une mesure demande, et ce que Cloudivence lit aujourd'hui pour elle à chaque exécution d'une évaluation. Plusieurs mesures demandent aussi des preuves extérieures à Azure, qui font l'objet d'une attestation.
| Référence | Mesure | Preuves Azure attendues pour la mesure | Ce que Cloudivence lit aujourd'hui |
|---|---|---|---|
| Article 21(2)(a) | Analyse des risques et politiques de sécurité des systèmes d'information | Affectations Azure Policy, tableau de bord regulatory compliance de Defender for Cloud, registre d'exemptions avec justification métier. | Recommandations Defender sur la politique et la posture de sécurité, le Secure Score, et les titulaires des rôles Security Admin et Security Reader. |
| Article 21(2)(b) | Gestion des incidents | Incidents Sentinel, workflow d'alertes Defender, attestations de runbooks, preuves de revues post-incident. | Recommandations Defender sur le logging et l'alerting, et affectations des rôles de monitoring. Les incidents eux-mêmes ne sont pas lus. |
| Article 21(2)(c) | Continuité d'activité et gestion de crise | Politiques de coffres Azure Backup, configuration Azure Site Recovery, stockage géo-redondant, attestation de runbook DR testé. | Recommandations Defender sur la reprise, soft delete, purge protection et rétention des Key Vault, et protection par sauvegarde de chaque ressource. |
| Article 21(2)(d) | Sécurité de la chaîne d'approvisionnement | Inventaire des service principals, affectations RBAC tierces, audit d'identités fédérées, revue de délégations Lighthouse. | Recommandations Defender sur les comptes externes, principals étrangers disposant de rôles privilégiés, et service principals avec Owner ou Contributor. |
| Article 21(2)(e) | Sécurité de l'acquisition, du développement et de la maintenance | Versions de modules AVM, scanning de secrets dans les pipelines, constats Defender for DevOps, preuves de revue IaC. | Recommandations Defender sur la configuration sécurisée, et paramètres de stockage comme la version TLS minimale, HTTPS uniquement et l'accès public. |
| Article 21(2)(f) | Efficacité des mesures de gestion des risques cyber | Tendance du Secure Score, métriques d'efficacité des contrôles, taux de décrochage des exemptions, MTTR par catégorie de constat. | Le Secure Score et la tendance des constats ouverts. Il n'y a pas de contrôle dédié à cette mesure. |
| Article 21(2)(g) | Hygiène cyber et formation | Posture Conditional Access, couverture MFA, activations Privileged Identity Management, registre d'attestations de formation. | Comptes désactivés dans Entra ID qui détiennent encore des rôles, et conformité des tags. La formation est attestée par une personne. |
| Article 21(2)(h) | Cryptographie | Inventaire Key Vault, politique de version TLS minimale, couverture des clés gérées par le client (CMK), monitoring d'expiration des certificats. | Recommandations Defender sur le chiffrement, paramètres TLS et HTTPS du stockage, et modèle d'accès des Key Vault. |
| Article 21(2)(i) | Ressources humaines, contrôle d'accès, gestion des actifs | Affectations RBAC, preuves du processus joiner-mover-leaver, cycle de vie des service principals, journaux d'accès just-in-time. | Recommandations Defender sur les accès, nombre de propriétaires par abonnement, et affectations de rôles via des groupes par rapport aux affectations directes. |
| Article 21(2)(j) | Authentification multifacteur et communications sécurisées | Rapports Entra Conditional Access, couverture d'inscription MFA, inventaire Private Link & private endpoints, analyse d'exposition publique. | Utilisateurs qui détiennent directement des rôles privilégiés, et paramètres Defender de contact de sécurité et de notification des alertes. La MFA elle-même n'est pas lue, car Conditional Access n'est pas collecté. |
Le calendrier NIS2 belge
La Belgique a transposé NIS2 par la loi du 26 avril 2024, le CCB (Centre pour la Cybersécurité Belgique) jouant le rôle d'autorité de supervision. Le CCB a aligné l'application de NIS2 sur le framework CyberFundamentals : une organisation démontre sa conformité à l'Article 21 en atteignant le niveau d'assurance CyFun adapté à son profil (Basic, Important ou Essential).
- Échéance d'enregistrement : 18 mars 2025 (passée). Toutes les entités concernées doivent être enregistrées auprès du CCB.
- Auto-évaluation CyFun à rendre : 18 avril 2026 (échue). La plupart des entités "importantes" travaillent vers CyFun Important ; les entités "essentielles" ont besoin de CyFun Essential.
- Reclassification : les entités critiques deviennent des entités essentielles le 17 juillet 2026.
- Rapport d'avancement à rendre : 18 avril 2027.
Si vous fonctionnez sur Azure et que votre auto-évaluation CyFun est inscrite au calendrier, c'est Cloudivence qui fait correspondre les constats Defender, la conformité aux policies et les affectations de rôles au référentiel CyFun. La page dédiée CyFun sur Azure détaille la cartographie par niveau d'assurance.
Ce que Microsoft fournit, et ce qu'il ne fournit pas
Ce que Microsoft fournit
- ✓Le tableau de bord regulatory compliance de Defender for Cloud avec initiative NIS2
- ✓Le Secure Score et le moteur de recommandations
- ✓L'état de conformité Azure Policy par affectation
- ✓Sentinel pour le logging d'incidents et la détection
- ✓L'Activity Log avec une rétention de 90 jours par ressource
Ce que Microsoft ne fournit pas
- ✓Le rattachement de chaque constat aux mesures de l'Article 21 (a)–(j)
- ✓Un responsable et une échéance par constat, et son ancienneté comparée à une cible par sévérité
- ✓Des attestations, des exceptions de contrôle avec date d'expiration et des liens de preuve par contrôle
- ✓Un export par niveau d'assurance CyFun avec matrice de preuves
- ✓Une vue d'assurance des points bloquants et des échéances
La vue NIS2 de Defender vous dit quels contrôles Azure sont techniquement configurés. Ce qu'elle ne vous dit pas : ce que l'écart implique pour votre obligation Article 21, qui doit prendre en charge la remédiation, ni ce que votre auditeur acceptera comme preuve. C'est cette couche qu'apporte Cloudivence.
Par où commencer
La plupart des organisations commencent par une évaluation d'audit-readiness NIS2 : une mission ponctuelle dans laquelle GenioCT utilise Cloudivence pour établir une image à un instant T, accompagnée d'une interprétation experte, d'une liste d'écarts hiérarchisés par risque et d'une roadmap cadrée. Une fois cette évaluation derrière elles, les organisations peuvent continuer avec Cloudivence dans un pilote accompagné, sur leurs propres abonnements Azure.
Commencez par un Azure Health Check
Pas sûr par où commencer ? Une revue rapide d'architecture vous donne une image claire. Sans engagement.
- ✓ Scorecard des risques : identité, réseau, gouvernance et sécurité
- ✓ Top 10 des problèmes classés par impact et effort
- ✓ Feuille de route 30-60-90 jours avec quick wins