Pour une administration ou une collectivité, la difficulté de NIS2 n'est pas doctrinale : c'est un problème de parc et de population. La directive (UE) 2022/2555 attend des mesures de gestion des risques citant l'authentification multifacteur ou continue, dans un environnement où coexistent des postes de guichet, des agents techniques sans adresse professionnelle, des élus, des prestataires et une DSI parfois mutualisée. Le chantier consiste moins à choisir une technologie qu'à couvrir des populations d'agents que rien n'unifie.
Lecture opérationnelle, pas avis juridique. La directive est transposée par chaque État membre : le périmètre exact et le rangement de votre entité parmi les entités essentielles ou importantes dépendent du droit national applicable et doivent être confirmés avec vos conseils.
Ce que le texte pose, et ce qu'il laisse ouvert
L'administration publique fait partie des secteurs couverts. La directive attend des mesures de gestion des risques mentionnant l'authentification multifacteur ou continue et demande de traiter le risque lié aux prestataires. Elle ne prescrit aucune solution : elle attend une adéquation entre le risque de l'action et le dispositif retenu, et la capacité à en rendre compte. Ce qu'elle laisse ouvert — granularité, modalités de contrôle, articulation avec les dispositifs nationaux — relève de la transposition applicable. La comparaison avec les autres textes européens figure dans la synthèse du cluster.
Un parc hétérogène, une politique unique
C'est le premier mur. Un même employeur public fait cohabiter des postes récents, des postes en fin de vie maintenus faute de crédits, des applications métier n'acceptant que des identifiants locaux, des délégations de service public avec leurs propres outils, et des services déportés dans des écoles ou des centres sociaux. Deux réflexes aident :
- Segmenter par risque d'usage, pas par direction. L'état civil, les données sociales, la paie et les régies n'appellent pas le niveau d'une réservation de salle. Une élévation d'exigence sur l'action sensible est plus soutenable qu'une friction uniforme.
- Accepter plusieurs méthodes. Chercher la méthode unique retarde le projet de plusieurs années. Un socle commun complété de variantes pour les populations atypiques se déploie bien plus vite, souvent en surcouche du fournisseur d'identité en place.
Les agents sans terminal professionnel
C'est la population la plus souvent oubliée des projets d'authentification publique, et l'une des plus nombreuses : services techniques, entretien, restauration scolaire, saisonniers, animateurs, agents itinérants. Trois principes se dégagent :
- Ne pas fonder la politique sur le téléphone personnel. Exiger l'installation d'une application sur un appareil privé pose une question sociale autant que juridique, et se heurte à un refus légitime qu'aucune note de service ne lèvera.
- Utiliser ce qui existe déjà. Beaucoup d'agents portent un badge d'accès aux bâtiments. Un support déjà distribué et géré est une base plus solide qu'un nouvel objet à financer.
- Prévoir la panne. Un badge oublié un lundi matin ne doit pas créer une file d'attente devant la DSI. Un parcours de secours qui ne dégrade pas la vérification est une condition de réussite, pas une option.
| Population d'agents | Équipement réellement disponible | Option d'authentification réaliste |
|---|---|---|
| Agent de guichet, poste fixe partagé | Poste bureautique, badge | Badge à l'ouverture, vérification renforcée sur consultation de données sensibles |
| Agent technique itinérant | Badge, parfois aucun terminal | Facteur sans objet transporté, ou support physique dédié |
| Cadre en mobilité | Ordinateur portable et terminal professionnel | Méthode résistante au relais, liée à l'origine |
| Agent saisonnier ou vacataire | Compte temporaire, pas de matériel dédié | Enrôlement rapide, date de fin appliquée automatiquement |
| Prestataire d'un marché | Outillage du titulaire | Accès nominatif fenêtré, journal conservé par la collectivité |
DSI mutualisées et groupements
Quand une structure porte le système d'information de plusieurs entités, la responsabilité devient la question centrale. Le groupement opère, mais chaque adhérent reste responsable de son périmètre — l'articulation dépend des statuts, des conventions et du droit applicable, et se traite avec vos conseils. Trois points méritent d'être écrits dans la convention de service : qui décide de la politique d'authentification et selon quelle procédure, qui détient les journaux d'accès, et comment un adhérent obtient les preuves nécessaires à ses propres obligations. Sans cela, chaque demande d'audit devient une négociation.
La continuité du service, contrainte non négociable
Une administration ne ferme pas son guichet parce que le service d'authentification est indisponible. Trois questions à instruire en amont : que fait un agent si la vérification échoue, ce mode dégradé est-il tracé et limité dans le temps, et la dépendance à un fournisseur externe est-elle acceptable pour un service dont la continuité est une obligation ? La dernière rejoint la souveraineté : localisation des données, juridiction applicable et hébergement en France relèvent de l'analyse de risque, pas de la préférence. Une solution conçue et hébergée en France comme HIAsecure, engagée dans une démarche de qualification SecNumCloud en cours, réduit une partie de cette exposition ; elle ne dispense pas d'écrire le mode dégradé.
Les marchés publics : la conformité se joue au cahier des charges
C'est le levier le plus puissant et le plus sous-utilisé : une exigence absente du dossier de consultation devient un avenant coûteux, ou n'existe jamais. Exprimez un résultat, pas un produit : nominativité des accès, résistance au rejeu, journalisation exploitable par l'acheteur, révocation dans un délai contractuel, information en cas de départ d'un intervenant. Puis prévoyez la réversibilité : la restitution des journaux et des comptes en fin de marché conditionne toute démonstration après un changement de titulaire.
Séquence pour un premier trimestre
- Recenser les populations d'agents avant les applications, avec l'équipement dont chacune dispose réellement.
- Identifier les traitements les plus sensibles — état civil, données sociales, paie, régies — et y concentrer l'effort.
- Rattacher les accès des prestataires aux marchés en cours.
- Écrire le mode dégradé du guichet et le tester une fois pour de vrai.
- Introduire les clauses d'accès dans les consultations à venir.
- Reprendre les parcours de réinitialisation en accueil et au support.
FAQ
Peut-on demander à un agent d'utiliser son téléphone personnel ?
C'est une base fragile pour une politique publique : le refus est légitime et fréquent, et il touche les populations les plus nombreuses. Mieux vaut construire sur ce que l'employeur distribue déjà, ou sur un facteur qui ne suppose aucun objet transporté.
Une DSI mutualisée porte-t-elle les obligations de ses adhérents ?
Elle opère, mais chaque entité conserve la responsabilité de son périmètre. Le partage précis relève des conventions et du droit national, à instruire avec vos conseils. Certain, en revanche : la convention doit dire qui détient les journaux et comment un adhérent y accède.
Comment écrire une exigence d'authentification sans nommer une technologie ?
En décrivant le résultat attendu : accès nominatif, méthode non rejouable, journal exploitable par l'acheteur, délai de révocation, information en cas de départ d'un intervenant. La formulation reste ouverte à la concurrence tout en écartant les dispositifs qui ne tiennent pas.
Que faire des comptes d'élus et des mandats courts ?
Les traiter comme des identités à durée déterminée : périmètre restreint dès l'ouverture, échéance alignée sur le mandat, revue à chaque renouvellement. Le risque principal n'est pas l'usage pendant le mandat, c'est le compte actif longtemps après.
Aller plus loin : le pilier : authentification cognitive · SecNumCloud et le secteur public · eIDAS 2 pour les administrations · le credential stuffing en collectivité