Accueil de NIS2 Express

Que demande NIS2 pour la sécurité de la messagerie ?

La directive (UE) 2022/2555, dite NIS2, ne contient pas de règle propre à la messagerie électronique. Son article 21 impose aux entités essentielles et importantes des mesures de gestion des risques en matière de cybersécurité, fondées sur une approche « tous risques » ; plusieurs de ces mesures s'appliquent directement à une messagerie, qui fait partie de leurs réseaux et systèmes d'information.

Ce que dit le texte : l'article 21, paragraphe 2

Parmi les mesures que l'article 21, paragraphe 2, énumère « au moins », celles-ci concernent la messagerie :

• « la gestion des incidents » (point b) ;
• « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs » (point d), ce qui vise aussi le fournisseur de votre messagerie ;
• « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité » (point g) ;
• « des politiques et des procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement » (point h) ;
• « l'utilisation de solutions d'authentification à plusieurs facteurs ou d'authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d'urgence au sein de l'entité, selon les besoins » (point j).

Le texte ne nomme aucune technologie de messagerie : il fixe des objectifs, que chaque entité traduit selon son exposition aux risques et sa taille (article 21, paragraphe 1).

Ce que cela donne en pratique, pour une messagerie

Ce qui suit n'est pas écrit dans la directive. Ce sont des bonnes pratiques reconnues, qui servent couramment à mettre en œuvre les mesures ci-dessus :

• Authentification à plusieurs facteurs sur toutes les boîtes, en priorité celles des administrateurs et de la direction (en lien avec le point j).
• SPF, DKIM et DMARC publiés pour vos domaines, afin de limiter l'usurpation de votre adresse d'expédition. Ce sont des standards techniques reconnus ; la directive ne les cite pas.
• Sensibilisation à l'hameçonnage des utilisateurs, qui relève de la cyberhygiène et de la formation (point g).
• Journalisation des connexions et des actions d'administration, conservée assez longtemps pour reconstituer un incident (en lien avec le point b).
• Chiffrement des échanges en transit, et règles écrites sur l'envoi d'informations sensibles (en lien avec le point h).
• Examen du fournisseur de messagerie : ce qu'il prend en charge, et ce qui reste à votre main (en lien avec le point d).

Qui doit appliquer ces mesures, et quand

Ces obligations visent les entités essentielles et importantes des 18 secteurs de la directive, en règle générale à partir de la moyenne entreprise. Pour savoir si vous en êtes, voyez NIS2 : entité essentielle ou importante, comment savoir ? Les entreprises hors champ sont souvent concernées par ricochet : l'article 21, paragraphe 2, point d), fait entrer leurs fournisseurs et prestataires directs dans la gestion des risques des entités NIS2, et la messagerie est le premier canal par lequel une fraude ou une compromission passe d'une entreprise à l'autre.

Où en est la France, au 30 octobre 2026

La directive devait être transposée au plus tard le 17 octobre 2024 (article 41). En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui la transpose, a été adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025. Le 6 octobre 2026, la conférence des présidents de l'Assemblée l'a retiré de l'ordre du jour des séances des 7 et 9 octobre, sans nouvelle date. Le 8 juillet 2026, la Commission européenne avait saisi la Cour de justice de l'Union européenne contre la France, parmi quatre États, pour défaut de transposition complète. À la date de notre lecture, aucune loi n'est promulguée : les obligations nationales, leurs contrôles et leurs sanctions attendent ce texte et ses décrets, et aucun texte officiel ne fixe encore de date limite de mise en conformité. Le détail, date par date, est sur notre page Mon espace NIS2 : faut-il enregistrer votre entité ?

Ce que l'ANSSI attend, traduit pour une messagerie

Le Référentiel Cyber France (ReCyF) de l'ANSSI détaille, en 20 objectifs de sécurité, les mesures qu'elle recommande pour atteindre les objectifs de NIS2. Plusieurs touchent directement la messagerie :

• Objectif 8, accès distants : l'exigence 8.2, commune aux deux catégories, demande que les accès distants soient protégés par un mécanisme d'authentification « conforme aux mesures relatives à l'Authentification ». Le multifacteur n'y est exigé que des entités essentielles (exigence 8.3, marquée « EE ») ; pour une entité importante, le ReCyF 2.5 ne l'impose pas, et son exigence 10.B.1 admet un mécanisme « mono-facteur tel qu'un mot de passe ». Une messagerie en ligne est, par construction, consultée à distance.
• Objectif 9, codes malveillants : la protection contre les pièces jointes et les liens piégés, premier vecteur d'infection par messagerie.
• Objectif 10, identités et accès : identification des utilisateurs et facteurs d'authentification « conformes aux recommandations » de l'ANSSI (exigence 10.B.5).
• Objectif 11, comptes d'administration : les actions d'administration se font depuis des comptes dédiés, distincts de la boîte aux lettres de tous les jours.
• Objectif 12, incidents : l'exigence 12.3, commune aux deux catégories, demande « des mécanismes permettant d'analyser et de qualifier les événements remontés et d'identifier les incidents potentiels ou avérés ». L'exigence 12.6, qui demande de conserver les relevés techniques « pouvant être utilisés comme éléments de preuve en cas de judiciarisation », est libellée « EI/EE » mais son tableau la marque comme non attendue d'une entité importante : la version 2.5 se contredit sur ce point.

Ce que la configuration Microsoft 365 montre

Pour une messagerie Exchange Online, chacune de ces mesures correspond à un réglage du locataire que l'on peut lire et dater. Voici les principaux, avec ce qu'en dit Microsoft :

• Authentification multifacteur et protocoles hérités. Les paramètres de sécurité par défaut exigent l'inscription de tous les utilisateurs à l'authentification multifacteur et bloquent les protocoles d'authentification hérités, car « l'authentification héritée ne prend pas en charge l'authentification multifacteur ». Microsoft documente aussi l'abandon de l'authentification de base dans Exchange Online ; il reste à vérifier qu'aucune exception ni aucun usage ancien ne subsiste.
• Transfert automatique vers l'extérieur. Une règle de boîte de réception qui recopie le courrier vers une adresse externe est un classique après la compromission d'un compte. Le réglage par défaut, « Automatique, contrôlé par le système », ne se comporte pas de la même façon dans toutes les organisations ; Microsoft conseille donc de choisir explicitement d'activer ou de désactiver le transfert externe.
• SPF, DKIM et DMARC. Ces trois enregistrements publiés pour vos domaines limitent l'usurpation de votre adresse d'expédition. Microsoft documente leur configuration pour Microsoft 365 ; la directive, elle, ne les cite pas.
• Journaux. Selon Microsoft, l'audit des boîtes aux lettres est activé par défaut, et l'audit Standard conserve les enregistrements 180 jours. C'est ce qui permet de reconstituer qui a lu, déplacé ou transféré des messages, dans les délais de notification de l'article 23.
• Comptes d'administration. Microsoft recommande de limiter le rôle d'administrateur général à moins de cinq personnes et d'exiger l'authentification multifacteur sur tous les comptes d'administrateur.

Quand l'incident touche la messagerie : NIS2 et RGPD

Une boîte aux lettres compromise contient presque toujours des données personnelles. Deux régimes peuvent alors s'appliquer en même temps. Au titre de NIS2, une entité essentielle ou importante adresse à l'autorité une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le mois qui suit (article 23). Au titre du RGPD, la CNIL rappelle qu'une violation de données personnelles présentant un risque pour les personnes doit lui être notifiée dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. La directive prévoit en outre que l'autorité NIS2 informe l'autorité de protection des données lorsqu'un manquement peut entraîner une violation de données personnelles (article 35).

Et ensuite

Parmi ces mesures, l'authentification à plusieurs facteurs (point j), la journalisation et les règles de transfert se vérifient dans la configuration de votre locataire Microsoft 365. SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera cette configuration et vous donnera des faits datés utiles pour la gestion des risques de l'article 21. Pour aller vite sur les cas les plus fréquents, lisez si la double authentification est obligatoire sur Microsoft 365, que faire si votre boîte mail a été piratée et pourquoi des mails partent de votre adresse à votre insu.

Ce diagnostic ne garantit pas la conformité à NIS2, ne remplace pas un audit par un organisme tiers et ne couvre pas à lui seul les obligations de la directive.

SYAGA Audit pour votre Microsoft 365 : le diagnostic gratuit

Pour aller plus loin

• NIS2 : entité essentielle ou importante, comment savoir ?
• Mon espace NIS2 : faut-il enregistrer votre entité ?

Les sujets voisins : PSSI, charte, RGPD, AIPD

NIS2 ne vit pas seule. La politique de sécurité, la charte d'utilisation et la protection des données personnelles en sont les compagnons habituels, et chacun a sa propre page de référence :

• Comment mettre en place une PSSI dans son entreprise ? (la politique écrite que demande l'article 21, paragraphe 2, point a)
• Que doit contenir la PSSI d'une PME ?
• La charte informatique, adoptée dans les formes (les règles d'usage que la cyberhygiène du point g) suppose)
• Que doit faire une PME pour respecter le RGPD ?
• Quand une AIPD est-elle obligatoire ?

Sources

• Directive (UE) 2022/2555, articles 21, 23, 35 et 41 : EUR-Lex.
• ANSSI : page NIS 2 et comparateur ReCyF ; ReCyF version 2.5.
• Assemblée nationale : dossier législatif, relevé du 6 octobre 2026 ; Commission européenne : communiqué IP/26/1499.
• CNIL : violations de données personnelles.
• Microsoft Learn : transfert externe, DMARC, audit des boîtes aux lettres, paramètres de sécurité par défaut.

Faits relus le 30/10/2026 sur les sources officielles citées (EUR-Lex, ANSSI, Assemblée nationale, Commission européenne, CNIL, Microsoft Learn). Cette page informe ; elle ne constitue pas un conseil juridique.