Conformité NIS2 avec des logiciels libres. Sans licence
Conformité NIS2 avec des logiciels libres.
Sans licence, sans verrouillage.
La directive NIS2 (UE 2022/2555) impose des exigences strictes en matière de cybersécurité aux entités essentielles et importantes. Des outils comme Wazuh, Ansible et OpenVAS couvrent la majorité des mesures techniques de l'article 21 — gratuitement. Ce guide explique ce qu'ils couvrent, ce qu'ils ne couvrent pas et où se situe le vrai risque organisationnel.
En Belgique, la loi du 26 avril 2024 transpose NIS2 en droit national. Si votre organisation opère dans un secteur essentiel ou important — ou si vous fournissez des services technologiques à une entité qui le fait — vous êtes concerné. Les amendes atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Et pourtant, de nombreuses organisations paient des licences à six chiffres pour des outils que des alternatives open source reproduisent sans frais.
Chez SIXE, nous déployons Wazuh, Ansible, OpenVAS et Keycloak en environnements de production pour des clients opérant dans des secteurs réglementés NIS2. Ce guide distille ce que nous avons appris : quels contrôles les outils libres couvrent réellement, lesquels ils ne couvrent pas, et ce qui distingue une organisation qui passe l'audit de celle qui installe les mêmes outils et échoue.
NIS2 vous concerne-t-il ? Et quel cadre choisir en Belgique ?
NIS2 s'applique aux entités essentielles (énergie, transports, banques, santé, eau, infrastructures numériques, administration publique, espace) et aux entités importantes (fabrication, alimentation, services postaux, gestion des déchets, chimie, fournisseurs numériques). Si vous fournissez des technologies à l'un de ces secteurs, les exigences de sécurité de la chaîne d'approvisionnement (article 21.2.d) peuvent vous concerner via vos clients.
Belgique : la loi du 26 avril 2024 est en vigueur. L'auto-évaluation devait être soumise au CCB avant le 18 avril 2026 via le cadre CyberFundamentals (CyFun®) ou ISO 27001.
France : la transposition est en retard. Le projet de loi Résilience (NIS2 + directive REC + DORA) a été adopté en première lecture au Sénat en mars 2025. L'entrée en vigueur est attendue courant 2026. L'autorité compétente sera l'ANSSI.
Calculateur de catégorie NIS2
Trois questions pour identifier votre catégorie et les priorités techniques qui en découlent :
Ce résultat est indicatif. Votre classification exacte dépend de la loi nationale de transposition et, dans certains cas, d'une désignation explicite par l'autorité compétente. En Belgique, vérifiez auprès du CCB.
Quel outil couvre quelles mesures NIS2 ?
Sélectionnez un outil pour voir sa couverture NIS2 et les mesures spécifiques de l'article 21 qu'il adresse. Le pourcentage reflète sa part des contrôles techniques — pas la conformité totale, qui inclut toujours une couche organisationnelle qu'aucun outil ne remplace.
Aucun outil — libre ou commercial — ne couvre 100 % des mesures de l'article 21 à lui seul. Le stack technique est nécessaire mais pas suffisant. La gestion des risques, les procédures de réponse aux incidents, les contrats fournisseurs et la responsabilité de la direction sont organisationnels — aucun produit ne les livre.
Installer les outils n'est pas être conforme à NIS2
C'est l'erreur la plus fréquente et la plus coûteuse. Arriver à un audit avec Wazuh fraîchement déployé, sans processus de gestion des risques documenté, sans plan de réponse aux incidents et sans gouvernance de sécurité au niveau de la direction : les outils ne vous sauveront pas.
Les logiciels libres couvrent le quoi technique. NIS2 exige aussi le comment organisationnel :
- Politique de gestion des risques — formelle, révisée annuellement, approuvée par la direction
- Procédure de réponse aux incidents — qui reçoit l'alerte, comment les incidents sont triés, comment respecter les délais 24 h / 72 h / 1 mois
- Sécurité de la chaîne d'approvisionnement — clauses de sécurité contractuelles avec tous vos fournisseurs technologiques (art. 21.2.d)
- Responsabilité de la direction — l'article 20 rend les dirigeants personnellement responsables en cas de manquement à NIS2
- Plan de continuité — avec restauration testée et documentée, pas supposée
- Formation du personnel — avec registre de présence. Nos formations LPIC-1 et LPIC-2 couvrent les compétences Linux que les auditeurs attendent de l'équipe qui opère le stack de sécurité
La conformité est un système de gestion continu : révisions régulières des risques, mise à jour du registre d'incidents, réévaluation de la chaîne d'approvisionnement, ajustement des outils. Si vos outils génèrent des alertes que personne ne consulte et sur lesquelles personne n'agit, c'est une caméra de surveillance avec l'écran éteint.
Où en êtes-vous réellement ?
Cochez uniquement ce que vous avez en production et documenté — pas ce qui est en cours ou prévu :
Linux est la base de votre stack NIS2. Maîtrisez-la.
Wazuh tourne sur Linux. OpenVAS tourne sur Linux. Ansible administre des serveurs Linux. Keycloak se déploie sur Linux. Tout le stack de sécurité open source repose sur Linux — et un système d'exploitation mal administré invalide chaque outil qui tourne dessus.
Chez SIXE, nous proposons deux services qui répondent directement aux exigences NIS2 :
- Support Debian — maintenance proactive, application des correctifs de sécurité, durcissement CIS et documentation des changements. Tout ce que NIS2 exige pour la gestion du cycle de vie du système d'exploitation et la traçabilité des correctifs.
- Formation LPIC-1 et LPIC-2 — certification internationale couvrant l'administration, la sécurité, les réseaux et l'automatisation Linux. Les auditeurs NIS2 attendent de l'équipe opérant le stack de sécurité qu'elle détienne des compétences accréditées et démontrables. Les badges Credly servent de preuves.
Pour le durcissement automatisé : notre service de déploiement Ansible applique les profils de sécurité CIS sur toute votre flotte, génère des preuves de conformité et laisse la configuration sous forme de code versionné dans Git — exactement ce qu'un auditeur souhaite trouver pour la gestion systématique des risques.
L'essentiel, pour ceux qui manquent de temps
→ Wazuh couvre le cadre opérationnel : gestion des journaux, détection d'intrusions, FIM, analyse des vulnérabilités.
→ Ansible + OpenSCAP automatise le durcissement et le rend reproductible et auditable.
→ OpenVAS / GVM gère les vulnérabilités avec des analyses planifiées et traçables.
→ Keycloak centralise les identités et impose le MFA pour les accès privilégiés et distants.
→ BorgBackup + LUKS couvre la continuité des activités et le chiffrement au repos.
→ Tout cela sans politique de gestion des risques, plan de réponse aux incidents et cadre de gouvernance : l'audit ne passera pas.
Questions fréquentes sur NIS2 et les logiciels libres
Oui. La directive NIS2 prescrit des résultats, pas des produits. Wazuh, Ansible, OpenVAS, Keycloak et pfSense couvrent la grande majorité des mesures techniques de l'article 21 — sans frais de licence.
Non. Wazuh adresse une partie importante du cadre opérationnel — gestion des journaux, détection d'intrusions, FIM et détection de vulnérabilités. Mais NIS2 exige également une IAM avec MFA, des sauvegardes chiffrées, la segmentation réseau, une gestion des risques formelle et la responsabilité de la direction qu'aucun outil ne fournit seul.
CyberFundamentals (CyFun®) est le cadre de cybersécurité du CCB belge comme voie pratique vers la conformité NIS2. Il comporte 4 niveaux (Small, Basic, Important, Essential) et 75 % des entités enregistrées en Belgique l'ont choisi plutôt qu'ISO 27001.
Pas encore. Le projet de loi Résilience (NIS2 + directive REC + DORA) a été adopté en première lecture au Sénat en mars 2025 et son entrée en vigueur est attendue courant 2026. En Belgique, la loi du 26 avril 2024 est déjà en vigueur.
Avec une base de sécurité existante, 4 à 6 mois est réaliste pour une entité importante. Les entités essentielles ont généralement besoin de 8 à 14 mois. Le déploiement technique est la phase la plus courte — l'ajustement des outils, la documentation et la gouvernance prennent le plus de temps.
Trois étapes : alerte précoce sous 24 heures, notification complète sous 72 heures, rapport final sous un mois. Wazuh fournit les capacités de détection et de journalisation pour respecter ces délais, mais le signalement à l'autorité compétente (CCB en Belgique, ANSSI en France) est un processus organisationnel.
Réglementation et ressources citées
Directive (UE) 2022/2555 (NIS2). EUR-Lex
Loi belge du 26 avril 2024 — transposition NIS2. CCB Belgique
CyberFundamentals (CyFun®) — cadre de conformité du CCB. Safeonweb@Work
ANSSI — cybersécurité et transposition NIS2 en France. anssi.fr
Wazuh — Ensuring NIS2 compliance. wazuh.com
Greenbone — GVM Community Edition. greenbone.net
Wazuh — documentation officielle. documentation.wazuh.com
Publié : · Dernière mise à jour :
Nous déployons des stacks NIS2 open source en production
Session technique de 30 minutes, sans engagement. Dites-nous votre catégorie NIS2, ce que vous avez en place et où se situent vos lacunes. Nous ressortons avec une esquisse d'architecture et les prochaines étapes concrètes.
