La directive NIS2 n’impose aucun outil d’IAM. Elle impose des résultats : des politiques de contrôle d’accès, une gestion des droits maîtrisée et, « selon le cas », de l’authentification multifacteur. Cet article lit l’article 21 de la directive du point de vue de celui qui doit les mettre en œuvre. C’est un satellite du silo Conformité UE/FR.

⚠ Statut de la transposition française (à jour des sources consultées, printemps 2026). La directive (UE) 2022/2555 devait être transposée avant le 17 octobre 2024. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été déposé au Sénat le 15 octobre 2024 et adopté par celui-ci en première lecture le 12 mars 2025 ; la commission spéciale de l’Assemblée nationale l’a adopté à l’unanimité les 9 et 10 septembre 2025. À la date des dernières sources consultées, il n’était pas promulgué. L’ANSSI a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), diffusé comme document de travail et rattaché à l’article 14 du projet de loi. Les obligations décrites ci-dessous sont celles de la directive ; leur déclinaison française définitive dépendra du texte promulgué et de ses décrets.

Ce que dit l’article 21 sur l’identité et les accès

L’article 21 demande aux entités essentielles et importantes de prendre des mesures techniques, opérationnelles et organisationnelles « appropriées et proportionnées » pour gérer les risques de leurs réseaux et systèmes d’information. Le paragraphe 2 liste au minimum dix domaines. Trois touchent directement l’IAM :

Alinéa (art. 21, §2)	Formulation de la directive	Ce que cela recouvre en IAM
(i)	sécurité des ressources humaines, politiques de contrôle d’accès et gestion des actifs	Mouvements d’arrivée, de mobilité et de départ ; politique d’accès ; inventaire de ce à quoi l’on accède
(j)	utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes de communication d’urgence sécurisés, « selon les besoins »	MFA, authentification adaptative, canaux de crise
(g)	pratiques de base en matière de cyberhygiène et formation	Hygiène des comptes, sensibilisation des utilisateurs

Trois constats utiles pour cadrer un projet.

Le texte ne cite ni PAM, ni IGA, ni SCIM, ni certification des droits. Ces dispositifs sont des moyens d’atteindre l’objectif de l’alinéa (i), pas des exigences de la directive. Présenter « NIS2 impose une solution de PAM » est une extrapolation, pas une lecture du texte.

Le MFA est conditionné. L’alinéa (j) dit « selon les besoins » : la directive ne rend pas le MFA universel. Le choix des périmètres (accès distants, comptes à privilèges, applications exposées) relève de l’analyse de risque de l’entité, qui doit pouvoir la justifier.

La proportionnalité est un critère de conformité. L’article 21 §1 impose de tenir compte de l’état de l’art, des coûts de mise en œuvre, de la taille de l’entité et de la probabilité et de la gravité des incidents. Deux entités soumises peuvent donc légitimement avoir des dispositifs d’accès très différents.

Traduire l’exigence : partir des droits, pas des comptes

Une politique de contrôle d’accès au sens de l’alinéa (i) répond à une question simple : qui a le droit de faire quoi, sur quoi, pourquoi, et qui l’a décidé ? Le compte n’est que le véhicule technique de ce droit. Pour une entité soumise, cela donne des questions de conformité concrètes, et non une liste d’outils.

1. Existe-t-il une politique écrite, approuvée et appliquée ? Elle définit les principes (moindre privilège, besoin d’en connaître), les responsables de décision d’accès et les cas particuliers (accès d’urgence, comptes techniques, prestataires).
2. Les mouvements de personnes déclenchent-ils des changements de droits ? L’alinéa (i) associe explicitement sécurité des ressources humaines et contrôle d’accès : arrivée, mobilité et départ doivent produire des attributions, des modifications et des retraits de droits, et pas seulement des créations de comptes.
3. Peut-on prouver qui a quels droits à une date donnée ? La directive demande des mesures « appropriées » ; face à un contrôle, la preuve repose sur des revues de droits datées, des décisions tracées et des écarts traités.
4. Le périmètre du MFA est-il justifié par l’analyse de risque ? Accès distants, administration, applications exposées : la décision d’inclure ou d’exclure un périmètre doit être documentée.
5. Les comptes à privilèges sont-ils identifiés et encadrés ? Le mot « privilège » n’est pas dans l’alinéa (i), mais une politique de contrôle d’accès qui ignore les administrateurs ne tiendrait pas devant un audit fondé sur le risque.

Fait ou préconisation ? Les points 1 à 3 se rattachent au texte de l’alinéa (i). Les points 4 et 5 relient l’alinéa (j) et le principe de gestion des risques ; la forme exacte attendue (fréquence de revue, périmètre minimal du MFA) n’est pas fixée par la directive. En France, elle sera précisée par le référentiel mentionné à l’article 14 du projet de loi (le ReCyF, encore document de travail à la date des sources consultées). Pour certaines catégories d’entités numériques (fournisseurs cloud, prestataires de services managés, par exemple), un règlement d’exécution européen adopté en 2024 précise déjà les mesures techniques, dont le contrôle d’accès : si votre organisation en fait partie, c’est ce texte, et non la seule directive, qui fait référence.

Fournisseurs, gouvernance et ce qui reste ouvert

L’article 21 §2 (d) vise la sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs directs. En IAM, cela revient à traiter les identités externes (prestataires, infogéreurs, éditeurs avec accès de maintenance) avec le même niveau d’exigence que les identités internes : sponsor identifié, durée d’accès bornée, retrait à la fin de la mission. C’est une conséquence pratique de l’obligation, pas une formule imposée par le texte. Cette logique rejoint celle d’une démarche de gouvernance des identités (IGA).

L’article 20 place par ailleurs la responsabilité chez les organes de direction, qui doivent approuver les mesures de gestion des risques et en superviser la mise en œuvre. Une politique d’accès sans validation formelle de la direction ne répond donc pas à l’esprit du texte.

FAQ

NIS2 impose-t-elle le MFA à tous les utilisateurs ? Non. L’alinéa (j) de l’article 21 §2 parle d’authentification à plusieurs facteurs ou continue « selon les besoins ». Le périmètre dépend de l’analyse de risque.

NIS2 impose-t-elle une solution de PAM ou d’IGA ? Non, ces termes ne figurent pas dans la directive. Ce sont des moyens d’atteindre l’objectif de contrôle d’accès et de gestion des droits.

La loi française est-elle déjà applicable ? À la date des dernières sources consultées (printemps 2026), le projet de loi Résilience n’était pas promulgué. Vérifier le statut à la date de lecture auprès des sources officielles.

Conclusion

NIS2 fixe un objectif (des accès maîtrisés, justifiés et prouvables) et laisse le choix des moyens. Le bon premier pas n’est pas un achat d’outil : c’est de répondre, pour chaque population d’utilisateurs et chaque application critique, à la question « qui a quel droit, et sur quelle décision ? ».

Sources

• Directive (UE) 2022/2555 (NIS2), articles 20 et 21 — texte de référence au Journal officiel de l’Union européenne (EUR-Lex).
• ANSSI — La directive NIS 2 : mention du ReCyF et de son statut de document de travail (17 mars 2026).
• nis2-pro.fr — Loi Résilience : jalons parlementaires (source secondaire, mise à jour printemps 2026).