Article 21 de NIS2 : la liste de contrôle européenne des accès à privilèges

NIS2 fait de la gestion des accès à privilèges un enjeu de gouvernance dans toute l'UE. Les organisations classées comme entités essentielles ou entités importantes doivent contrôler qui peut accéder aux systèmes critiques, comment ces personnes s'authentifient, ce qu'elles peuvent faire, comment les identifiants sont protégés et quelles preuves restent disponibles ensuite. Cette liste de contrôle traduit les éléments de l'article 21(2) pertinents pour PAM en mesures concrètes que les équipes de sécurité, d'informatique, de gestion des risques et d'audit peuvent mettre en œuvre avant le début de l'application intégrale et des amendes administratives, en avril 2027.

À qui NIS2 s'applique-t-elle dans l'UE

NIS2 couvre les organisations classées comme entités essentielles ou entités importantes au titre du cadre européen et des cadres nationaux applicables. Sa portée est bien plus large que celle de la directive NIS d'origine et inclut de nombreuses organisations de taille moyenne, pas seulement les opérateurs traditionnellement considérés comme des infrastructures critiques.

La liste élargie des secteurs comprend notamment des organisations relevant des domaines suivants :

• Fabrication — en particulier lorsque la production, les systèmes industriels ou les chaînes d'approvisionnement dépendent d'un accès administratif à privilèges
• Services informatiques — y compris les équipes et les prestataires qui administrent l'infrastructure, les plateformes, les réseaux ou les environnements clients
• Santé — lorsque des comptes à privilèges peuvent accéder à des systèmes cliniques, à des dossiers sensibles et à une infrastructure connectée
• Services financiers — lorsque les administrateurs et les comptes de service peuvent affecter des systèmes qui prennent en charge des activités réglementées
• Administration publique — lorsque les accès à privilèges permettent d'accéder aux services aux citoyens, aux systèmes internes et aux données du secteur public

La classification comme entité essentielle ou importante compte pour la supervision et l'application des règles, mais le problème opérationnel de PAM est similaire dans les deux catégories. Les administrateurs, prestataires, équipes d'assistance et comptes de service disposent souvent d'accès permettant de modifier des configurations, de lire des données sensibles, de désactiver des contrôles ou d'interrompre des services. NIS2 exige que ce risque soit maîtrisé au moyen de mesures techniques, opérationnelles et organisationnelles appropriées.

La portée exacte et les procédures de supervision dépendent de la transposition par chaque État membre et de la situation de l'organisation. Cet article fournit une base de référence commune à l'échelle de l'UE. Les organisations opérant en Pologne peuvent également consulter le guide polonais consacré à NIS2 et à PAM pour obtenir un contexte local.

Les contrôles de l'article 21(2) pertinents pour les accès à privilèges

L'article 21 est plus vaste que PAM. Il couvre les mesures de gestion des risques de cybersécurité liées aux politiques, à la gestion des incidents, à la maintenance sécurisée, à l'authentification, à la cryptographie, aux personnes, aux accès et aux actifs. Les sept points suivants constituent la correspondance de référence entre les exigences pertinentes et PAM.

Article	Exigence	Correspondance de référence avec PAM
Art. 21(2)(a)	Analyse des risques et politiques de sécurité des systèmes d'information	Piste d'audit et enregistrement de sessions à privilèges pour tous les accès à privilèges. Rapports de risques exportables.
Art. 21(2)(b)	Gestion des incidents	Alertes en temps réel sur les sessions à privilèges suspectes. Relecture intégrale des sessions aux fins d'enquête sur les incidents.
Art. 21(2)(e)	Sécurité lors de l'acquisition, du développement et de la maintenance des systèmes de réseau et d'information, y compris la gestion et la divulgation des vulnérabilités	SBOM, SAST/SCA à chaque version, test d'intrusion annuel. L'accord de niveau de service (SLA) des correctifs est appliqué dans la chaîne CI.
Art. 21(2)(g)	Authentification multifacteur ou solutions d'authentification continue	TOTP, FIDO2/WebAuthn, SAML 2.0 SSO avec application de MFA au niveau de la session.
Art. 21(2)(h)	Gestion des accès à privilèges — communications sécurisées, communications d'urgence	Mise à disposition des identifiants juste à temps, sessions limitées dans le temps, absence de privilèges permanents. Contrôle d'accès basé sur les rôles (RBAC) avec journal d'audit.
Art. 21(2)(i)	Politiques et procédures concernant l'utilisation de la cryptographie et du chiffrement	AES-256-GCM au repos, TLS 1.3 en transit. La politique de rotation des clés est appliquée. Aucun identifiant n'est stocké en clair.
Art. 21(2)(j)	Sécurité des ressources humaines, politiques de contrôle d'accès et gestion des actifs	RBAC avec isolation des environnements clients. Gestion automatisée des départs par révocation des autorisations de session et rotation des identifiants.

Cette correspondance montre pourquoi un programme PAM ne peut pas se limiter à ajouter MFA aux connexions des administrateurs. L'authentification n'est qu'un contrôle. Un programme efficace exige aussi une autorisation limitée dans le temps, une gestion sécurisée des identifiants, l'enregistrement des activités, des données pour l'enquête sur les incidents, une suppression rapide des droits et la preuve que les contrôles continuent de fonctionner.

Elle montre également que les outils ne sont qu'une partie de la solution. L'article 21(2)(a), par exemple, relie les enregistrements techniques à l'analyse des risques et à la politique de sécurité. L'article 21(2)(b) exige un processus de gestion des incidents qui peut exploiter les alertes et les données de relecture. L'article 21(2)(j) relie le contrôle d'accès aux événements des ressources humaines et à la responsabilité des actifs. Un enregistrement de session que personne n'examine, ou une procédure de gestion des départs qui ne déclenche aucune révocation, laisse une lacune opérationnelle.

Calendrier d'application à prendre en compte

Utilisez le calendrier publié sur la page de conformité de VaultPAM comme base de référence commune pour la planification :

• Octobre 2024 — NIS2 est en vigueur. La directive n'est plus une exigence future. Les organisations devraient déjà identifier leur périmètre, les responsables, les actifs critiques et les chemins d'accès à privilèges.
• Maintenant — fenêtre de mise en œuvre et de constitution des preuves. Donnez la priorité aux accès à haut risque, démontrez que les contrôles fonctionnent et répétez le processus dans le reste de l'environnement.
• Avril 2027 — application intégrale et amendes administratives. À cette date, les contrôles devraient être opérationnels et les preuves disponibles pour examen, plutôt que créées après réception d'une demande.

Ne considérez pas avril 2027 comme une date de début. La rotation des identifiants, la refonte des accès, la couverture des enregistrements, la conservation et l'intégration de la gestion des départs nécessitent toutes des tests. Les preuves d'audit sont aussi plus solides lorsqu'elles démontrent un fonctionnement cohérent dans le temps.

Liste de contrôle pour la mise en œuvre de NIS2 PAM

1. Recensez chaque chemin d'accès à privilèges

Commencez par les systèmes, et non par les intitulés de poste. Dressez la liste des serveurs, bases de données, équipements réseau, consoles d'informatique en nuage, applications administratives et autres actifs critiques. Pour chaque cible, consignez :

• Qui peut l'administrer, y compris les employés, les prestataires, les tiers et les comptes de service
• Le protocole ou l'interface qu'ils utilisent
• Si l'accès est direct ou assuré par un intermédiaire
• L'identifiant utilisé et les personnes qui le connaissent
• Si MFA, l'approbation, la journalisation et l'enregistrement s'appliquent
• Qui est responsable de cette cible et qui examine les accès correspondants

Marquez les réponses inconnues comme des lacunes. Un inventaire complet est la base de l'analyse des risques au titre de l'article 21(2)(a) et de la gestion des actifs et des accès au titre de l'article 21(2)(j).

2. Appliquez MFA aux sessions à privilèges

Exigez MFA au point où l'accès à privilèges est accordé, et non seulement lors de la connexion à la messagerie, au VPN ou au poste de travail. Couvrez l'accès administratif interactif ainsi que les consoles utilisées pour demander ou approuver cet accès. Éliminez les contournements, documentez l'accès d'urgence et testez les procédures de récupération.

Les preuves doivent montrer la politique, les utilisateurs inscrits, l'état d'application et des exemples d'événements d'authentification. Examinez les exceptions selon un calendrier défini ; une exception non documentée devient un risque permanent.

3. Supprimez les privilèges permanents

Remplacez l'accès administrateur permanent par un accès à la demande limité dans le temps. Définissez les cibles auxquelles un utilisateur peut accéder, le motif, la durée et la nécessité éventuelle d'une approbation. L'accès doit expirer automatiquement à la fin de la fenêtre approuvée.

Commencez par la production et les autres cibles à fort impact. Incluez ensuite l'accès des prestataires et les comptes opérationnels partagés. L'état recherché est simple : aucun utilisateur ne conserve d'accès à privilèges uniquement parce qu'il en a eu besoin une fois.

4. Enregistrez et examinez les sessions à privilèges

Faites passer les sessions à privilèges par un chemin d'accès contrôlé et enregistrez l'activité nécessaire à la traçabilité et aux enquêtes. Capturez l'identité de la personne connectée, la cible atteinte, les heures de début et de fin de session, ainsi que la trace de la session ou le journal d'activité. Protégez les traces contre toute modification inaperçue et limitez leur accès.

Testez la consultation avant un incident. Choisissez une session passée par utilisateur, cible et date ; confirmez que l'équipe peut la localiser, la rejouer ou l'examiner et la rattacher à la décision d'accès correspondante. Définissez les personnes chargées d'examiner les alertes et les sessions suspectes afin que les preuves appuient la gestion des incidents au titre de l'article 21(2)(b).

5. Sécurisez les identifiants à privilèges et effectuez leur rotation

Retirez les identifiants à privilèges des tableurs, messageries instantanées, demandes d'assistance, programmes d'automatisation et gestionnaires de mots de passe individuels. Conservez-les chiffrés, empêchez les utilisateurs d'y accéder lorsque le courtage de sessions est possible et effectuez leur rotation conformément à la politique. Effectuez immédiatement leur rotation après une exposition présumée, une utilisation d'urgence ou un événement de départ susceptible d'avoir divulgué un identifiant.

Incluez les comptes de service et les identités non humaines dans l'inventaire. Attribuez un responsable, consignez où chaque identifiant est utilisé et vérifiez que la rotation ne perturbe pas les systèmes dépendants.

6. Faites en sorte que la gestion des départs révoque entièrement les accès

Reliez les événements RH et du cycle de vie des prestataires à la suppression des accès à privilèges. Lorsqu'une personne part, change de rôle ou termine un projet :

1. Révoquez sa capacité à démarrer de nouvelles sessions à privilèges.
2. Mettez fin aux sessions actives si nécessaire.
3. Supprimez ses politiques, ses appartenances à des groupes et ses approbations.
4. Effectuez la rotation de tout identifiant qu'elle a pu connaître ou manipuler.
5. Consignez l'heure, l'auteur de l'action, les cibles concernées et le résultat.

Exécutez un test de départ, de la notification à la révocation vérifiée. L'article 21(2)(j) devient ainsi non plus une procédure écrite, mais un contrôle que vous pouvez démontrer.

7. Constituez le dossier de preuves d'audit pendant que les contrôles fonctionnent

Pour chaque contrôle, désignez un responsable, définissez la fréquence d'examen et identifiez la source de preuve. Un dossier de preuves pratique doit comprendre :

• L'inventaire des comptes à privilèges et des cibles
• La politique MFA, l'état des inscriptions et les enregistrements d'authentification
• Les demandes d'accès, les approbations, les limites de temps et les enregistrements d'expiration automatique
• Les journaux de session, les enregistrements, les alertes et les dossiers d'enquête
• La politique de stockage et de rotation des identifiants, avec les événements de rotation
• Les examens d'accès et les mesures correctives
• Les enregistrements de gestion des départs montrant la révocation et la rotation des identifiants
• Les politiques de sécurité pertinentes, les responsables d'actifs, les règles de conservation et les approbations d'exception

Sélectionnez périodiquement des échantillons et reconstituez-les comme si une autorité de contrôle ou un auditeur les avait demandés. Consignez les données manquantes, attribuez les mesures correctives et testez à nouveau. L'objectif n'est pas un dossier ponctuel de captures d'écran, mais une chaîne reproductible reliant la politique, le contrôle, l'événement, l'examen et la mesure corrective.

Une définition pratique de la préparation

Une organisation est nettement mieux préparée lorsqu'elle peut répondre à six questions sans devoir rechercher dans des enregistrements informels :

1. Qui dispose actuellement d'un accès à privilèges à chaque cible critique ?
2. Chaque utilisateur à privilèges est-il fortement authentifié ?
3. L'accès n'est-il accordé que pour un motif approuvé et une durée limitée ?
4. L'organisation peut-elle reconstituer ce qui s'est passé lors d'une session à privilèges ?
5. Les identifiants sont-ils chiffrés, contrôlés et soumis à une rotation sans être exposés aux utilisateurs ?
6. L'accès peut-il être révoqué et les preuves produites rapidement lorsqu'une personne part ou qu'un incident survient ?

Si l'une de ces réponses n'est pas claire, elle définit la prochaine priorité de mise en œuvre. Utilisez la correspondance entre VaultPAM et l'article 21 de NIS2 pour aligner les contrôles sur le cadre de référence de l'entreprise, et consultez les questions fréquentes de VaultPAM pour les questions pratiques de déploiement et de produit.