Logiciel NIS2 : applicabilité, mise en œuvre et preuve dans un seul système
Complaica réunit les exigences du §30 BSIG avec votre SMSI, vos risques et vos preuves — sur le même jeu de données qu’ISO 27001.
Applicabilité
Le secteur, la taille et la catégorie déterminent les obligations applicables.
| Secteur | Seuil | Catégorie |
|---|---|---|
| Énergie, transport, eau, santé | à partir de 50 salariés ou 10 M€ de chiffre d’affaires | entité importante |
| Énergie, transport, eau, santé | à partir de 250 salariés ou 50 M€ de chiffre d’affaires | entité essentielle |
| Infrastructure numérique, services TIC | indépendamment de la taille dans certains segments | entité essentielle |
| Exploitants d’installations critiques (KRITIS) | seuils selon BSI-KritisV | preuve §8a en complément |
Base juridique : directive NIS2 (UE) 2022/2555 · BSIG · BSI
Les dix exigences du §30 BSIG
Structure des exigences et module par lequel Complaica les couvre. Pas de texte normatif — uniquement structure et preuve.
| N° | Exigence | Module | Preuve | Statut |
|---|---|---|---|---|
| 01 | Analyse des risques et politiques de sécurité | Gestion des risques | Registre des risques, évaluation brute/nette | ● couvert |
| 02 | Traitement des incidents de sécurité | Gestion des incidents | Chaîne de notification, délais, journaux | ● couvert |
| 03 | Continuité d’activité, sauvegarde | PCA (BSI 200-4) | BIA, plans de secours, comptes rendus d’exercice | ● couvert |
| 04 | Sécurité de la chaîne d’approvisionnement | Gestion des fournisseurs | Évaluation, contrats, preuves | ● couvert |
| 05 | Sécurité du développement et de la maintenance | Exigences du SMSI | Mesures avec date de revue | ● couvert |
| 06 | Évaluation de l’efficacité | Indicateurs et rapports | Niveau de maturité, rapport d’audit | ● couvert |
| 07 | Formation et hygiène numérique | Gestion de la formation | Attestations de participation | ● couvert |
| 08 | Cryptographie et chiffrement | Catalogue de mesures | Configurations de référence | ● couvert |
| 09 | Contrôle d’accès et gestion des actifs | Périmètre et actifs | Inventaire des actifs, rôles | ● couvert |
| 10 | Authentification, communication sécurisée | Catalogue de mesures | Preuves techniques | ● couvert |
Synergies
Qui exploite déjà ISO 27001 satisfait une grande partie du §30 BSIG — reste à savoir laquelle.
Complaica rattache chaque exigence à toutes les normes qu’elle concerne. Ligne par ligne, vous voyez pour quoi la mesure compte — et quelles exigences NIS2 sont encore sans preuve.
Incident, délai, journal
Les obligations de notification sont des activités avec délais et responsables — pas une boîte aux lettres à part.
| Compte rendu de revue SIEM T1/2026 | 12.03.2026 | ✓ valide | |
| Attestations de formation, exploitation | XLSX | 02.02.2026 | ✓ valide |
| Configuration de référence du pare-feu | 28.01.2026 | ⚠ expire bientôt |
Questions fréquentes
Sommes-nous concernés par NIS2 ?
L’applicabilité découle du secteur, de la taille et de l’activité. Le test d’applicabilité vous conduit à une estimation fiable en six à huit questions — sans inscription.
Une certification ISO 27001 suffit-elle pour NIS2 ?
Elle couvre une part importante des exigences du §30 BSIG, mais ne remplace ni l’enregistrement ni les obligations de notification et de preuve. Complaica présente l’écart sous forme de liste d’exigences ouvertes.
Comment les obligations de notification sont-elles prises en charge ?
Les incidents sont enregistrés avec horodatage, délais et responsables ; la chaîne de notification est consignée comme activité et journalisée.
Qu’en est-il de l’enregistrement auprès du BSI ?
L’obligation d’enregistrement existe indépendamment du logiciel. Complaica conserve les informations nécessaires sur l’entité, le secteur et les interlocuteurs.
La direction est-elle personnellement responsable ?
La BSIG s’adresse expressément au niveau de direction, y compris pour les obligations de surveillance et de formation. Le rapport de situation est donc conçu pour une vue de direction.
Combien de temps dure la mise en place ?
Pour un périmètre défini, les premiers rapports de situation fiables sont généralement disponibles après quelques semaines. La migration des tableurs existants est comprise dans le prix.