Guide · NIS2 · Paris 3e
Une entreprise de taille intermédiaire du secteur de la santé découvre que ses dossiers de sécurité sont répartis entre une messagerie, un ancien prestataire et quelques tableurs. Dans le 3e, comme ailleurs, la difficulté n’est pas de manquer de mesures, mais de les rassembler pour qu’elles soient comprises et vérifiables. Cette page explique la démarche, dans quel ordre la conduire et quels critères retenir pour comparer les propositions.
Sommaire
Situations qui déclenchent un projet
- Des référentiels à réconcilier : RGPD, ISO 27001 et exigences NIS2 sont suivis séparément, avec des tâches dupliquées.
- Une incertitude sur le statut : l’entreprise ne sait pas si elle est assujettie, ni à quel titre.
- Une direction nouvellement responsable : les dirigeants doivent piloter les mesures sans disposer d’un état des lieux.
- Un signalement jamais formalisé : aucune procédure ne dit qui alerte, quand, ni avec quels éléments.
Mise en conformité NIS2, c’est quoi ?
La directive NIS2 fixe des obligations de cybersécurité pour des entités qui se répartissent entre entités essentielles et entités importantes. La transposition française en précise les secteurs et les critères de taille. Une entreprise peut aussi être concernée sans être assujettie, quand un client doit s’assurer que ses fournisseurs respectent des exigences. Une mise en conformité rigoureuse commence donc par une analyse d’assujettissement, suivie d’une analyse d’écart, puis de la mise en place d’une gouvernance et d’une gestion des risques. La norme ISO 27001 peut servir de repère pour une partie du travail, sans dispenser de la démarche propre à la directive.
Contexte local · Paris 3e
Contexte local : la mise en conformité NIS2 à Paris 3e
Le 3e arrondissement comprend le Haut Marais et le secteur des Arts-et-Métiers. Il jouxte les 1er, 2e, 4e, 10e et 11e arrondissements, si bien que les flux de clients et de fournisseurs franchissent souvent ces limites. Dans un immeuble ancien, les armoires techniques peuvent être dispersées sur plusieurs niveaux. Il faut alors établir une carte simple : quels étages abritent des équipements, quelles liaisons les relient et qui en détient les accès. Si l’entreprise utilise un local dans un arrondissement voisin, les systèmes partagés doivent figurer dans le même inventaire, avec leur administrateur. Lorsque des données sensibles transitent par des outils hébergés hors de Paris, le contrat de l’hébergeur mérite le même examen qu’un prestataire local. Le point pratique : demander à chaque fournisseur ses clauses de sécurité et la localisation de ses données avant la première réunion.
- Pôles et quartiers
- Haut Marais, Arts-et-Métiers
- Département
- Paris (75)
- Limitrophes
- Paris 1er, Paris 2e, Paris 4e, Paris 10e, Paris 11e
Ce que comprend une prestation
Avant : le statut et le périmètre
Le premier livrable établit si l’entreprise est concernée, à quel titre, et quelles entités du groupe entrent dans le périmètre. Il est remis par écrit.
Pendant : écart et gouvernance
L’analyse d’écart compare l’existant aux exigences. Elle débouche sur la désignation des responsables, la rédaction de la politique de sécurité et l’identification des risques du système d’information.
Après : incidents et prestataires
La procédure de détection et de signalement est testée sur un scénario réel. Les prestataires critiques font l’objet de la même évaluation, et le plan d’action final distingue obligations et bonnes pratiques.
Bien choisir son prestataire
Quatre questions permettent de départager les propositions. L’analyse d’assujettissement sera-t-elle écrite ? Le plan d’action distingue-t-il les obligations des bonnes pratiques ? La procédure de signalement des incidents sera-t-elle testée avant la fin de la mission ? Comment les fournisseurs critiques seront-ils évalués ?
Ce qui fait varier le prix
Le prix suit le travail réellement nécessaire, et il n’existe pas de forfait commun. Les facteurs les plus courants sont :
- la taille de l’entreprise et le secteur dans lequel elle opère ;
- la maturité de sa sécurité au moment de la demande ;
- le nombre de sites et de prestataires critiques à évaluer ;
- les référentiels existants, à réutiliser ou à compléter ;
- la forme de l’accompagnement, ponctuel ou dans la durée.
Pour comparer, vérifiez le périmètre d’entités et les livrables.
Les étapes de votre projet dans le 3e arrondissement de Paris
- Cadrer le périmètre : activité, effectifs, sites et clients concernés.
- Établir l’assujettissement par écrit, avec les pièces disponibles.
- Comparer l’existant aux exigences retenues.
- Organiser la gouvernance, avec un plan d’action daté et des responsables nommés.
- Structurer les incidents et l’évaluation des fournisseurs.
Pour approfondir, lisez la mise en conformité NIS2 expliquée en détail, la page mise en conformité NIS2 à Paris, puis les pages Paris 1er et Paris 2e. Pour démarrer, décrivez votre projet dans le formulaire : un spécialiste de la conformité NIS2 proche du 3e arrondissement vous recontacte, gratuitement et sans engagement.