Le 7 octobre 2026, l’Assemblée nationale doit examiner en séance publique le projet de loi Résilience, qui transpose la directive NIS2 en droit français. Pour les quelque 15 000 entités concernées, l’échéance se rapproche. Il leur faudra bientôt démontrer, pièces à l’appui, que leurs mesures de sécurité existent et qu’elles sont appliquées.
Cette exigence de preuve place la gestion documentaire au cœur du sujet. Politiques approuvées, comptes rendus de comité, plans de continuité, dossiers fournisseurs : une démarche NIS2 produit un corpus que l’organisation doit tenir à jour et retrouver sans délai.
Beaucoup d’éditeurs présentent pourtant la GED comme un raccourci vers la conformité. Cet article détaille l’apport réel d’une gestion documentaire organisée, avec ses limites. Une méthode en cinq étapes permet ensuite de s’y préparer dans Microsoft 365.
Où en est NIS2 en France ?
La directive (UE) 2022/2555 devait être transposée avant le 17 octobre 2024. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l’Assemblée nationale le 10 septembre 2025. Son examen en séance publique est inscrit au 7 octobre 2026.
Le texte n’est donc pas encore en vigueur. Les décrets d’application restent à publier, et l’ANSSI précise que NIS2 s’appliquera une fois l’ensemble des textes de transposition promulgués.
Dans l’intervalle, l’ANSSI a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF). Non obligatoire par défaut, il décrit les mesures recommandées pour atteindre les objectifs de NIS2, et les organisations qui l’appliquent pourront s’en prévaloir en cas de contrôle. C’est aujourd’hui le meilleur point de départ pour structurer sa documentation.
Ce que NIS2 demande aux organisations
Trois articles de la directive encadrent l’essentiel des obligations :
- Article 20 : les organes de direction approuvent les mesures de gestion des risques et en supervisent la mise en œuvre. Leur responsabilité peut être engagée en cas de manquement.
- Article 21 : l’entité applique des mesures de gestion des risques proportionnées. La liste couvre notamment l’analyse des risques, la gestion des incidents, la continuité d’activité, la sécurité des fournisseurs, l’évaluation de l’efficacité des mesures, la formation, la cryptographie, le contrôle des accès et l’authentification multifacteur.
- Article 23 : les incidents importants font l’objet d’une alerte précoce sous 24 heures et d’une notification sous 72 heures. Un rapport final suit dans le mois.
La directive n’impose l’achat d’aucun outil. Elle oblige l’organisation à appliquer des mesures documentées et à pouvoir en rendre compte. Sur ce dernier point, la qualité de la gestion documentaire fait toute la différence.
Ce qu'une GED apporte concrètement
Un référentiel unique pour le corpus de conformité
Une démarche NIS2 génère des dizaines de documents : politique de sécurité, analyse de risques, procédures, plans d’action, résultats d’exercices de crise, dossiers fournisseurs. Sans plan de classement partagé, ils se dispersent entre répertoires réseau, boîtes mail et espaces personnels.
Une GED rattache chaque document à un propriétaire, une catégorie, un niveau de sensibilité et une échéance de révision. Les politiques arrivées à échéance remontent d’elles-mêmes, et les contrôles dépourvus de preuve deviennent visibles.
Un historique fiable des décisions
Détenir une politique de sécurité ne suffit pas. Un auditeur voudra savoir qui l’a approuvée et quelle version s’appliquait à une date donnée. Le versioning et les circuits de validation horodatés répondent à ces questions sans reconstitution a posteriori.
Cet historique permet par exemple de montrer que la direction a validé la politique de sécurité, ce qui répond directement à l’article 20. Il retrace aussi la révision d’une procédure après un incident. Pour les documents à forte valeur probante, un système d’archivage électronique et un horodatage qualifié complètent la GED.
Des accès maîtrisés aux documents sensibles
Les dossiers de cybersécurité contiennent des informations qu’un attaquant rêverait d’obtenir : schémas d’architecture, vulnérabilités connues, comptes rendus d’incident, contacts de crise. Les centraliser n’a de sens que si les droits sont définis avec précision.
La GED applique des rôles et limite les partages externes. Chaque consultation ou modification laisse une trace. Les revues périodiques des droits et la révocation lors d’un départ restent des processus organisationnels : l’outil les facilite à condition que les responsabilités soient clairement attribuées.
Des audits préparés en continu
Lors d’un contrôle, les organisations manquent rarement de mesures. Elles peinent surtout à en réunir les preuves dans les délais. Une GED bien paramétrée regroupe, pour chaque contrôle, la politique de référence, son approbation, les résultats d’exécution et les actions correctives. Elle permet aussi de préparer un export ciblé sans ouvrir à l’auditeur l’ensemble du patrimoine documentaire.
Cette logique prolonge celle de la preuve continue de conformité, déjà appliquée aux audits qualité.
Les correspondances entre NIS2 et la GED
| Besoin NIS2 | Capacités documentaires | Exemples de preuves |
|---|---|---|
| Gouvernance (art. 20) | Validation, versioning, échéances de revue | PSSI approuvée, procès-verbaux de comité, plans d’action |
| Contrôle des accès (art. 21) | Rôles, authentification multifacteur, revues de droits, journaux | Matrice des droits, rapports de revue, traces d’accès |
| Gestion des incidents (art. 23) | Workflow, dossier chronologique, pièces jointes | Fiche d’incident, décisions, rapport final |
| Continuité d’activité (art. 21) | Copies protégées, accès en mode dégradé, rétention | Résultats de restauration, versions des plans |
| Fournisseurs (art. 21) | Dossiers contractuels, alertes d’échéance, historique | Clauses de sécurité, certifications, plans de réversibilité |
| Évaluation des mesures (art. 21) | Classement des contrôles et de leurs résultats | Rapports d’audit, tests, écarts et remédiations |
Les limites à garder en tête
Une GED ne détecte pas une intrusion sur le réseau et ne remplace ni un EDR ni un SIEM. Ses journaux portent sur les opérations documentaires : ils complètent les journaux techniques collectés par les outils de supervision.
Elle ne tient pas lieu de sauvegarde. Une synchronisation ou une réplication propage une suppression malveillante aussi fidèlement qu’une modification légitime. La continuité documentaire exige des copies isolées ou immuables et des tests réguliers de restauration, sujet de notre prochain article de cette série.
Enfin, la mention « conforme NIS2 » sur la plaquette d’un éditeur n’engage que lui. Votre prestataire de GED fait partie de votre chaîne d’approvisionnement. Son hébergement et ses engagements contractuels s’évaluent comme ceux de tout autre fournisseur.
Dans Microsoft 365, partir de l'existant
Pour les organisations équipées de Microsoft 365, une partie des briques existe déjà. SharePoint conserve l’historique des versions et Microsoft Entra ID gère l’authentification multifacteur. Selon le niveau de licence, Microsoft Purview ajoute le journal d’audit et les étiquettes de rétention.
Ces briques restent techniques. Elles ne disent pas quel document fait foi ni qui doit le valider avant diffusion. Sans plan de classement ni règles de gestion, un tenant accumule les versions sans produire de preuve exploitable, comme le rappellent les risques d’un stockage documentaire non maîtrisé.
Une GED native Microsoft 365 comme Sodoc ajoute cette couche de gouvernance directement dans SharePoint, Teams et Outlook : plan de classement, métadonnées, workflows de validation, gestion du cycle de vie. Les documents restent dans le tenant de l’organisation, ce qui évite d’ajouter à la chaîne d’approvisionnement un hébergeur supplémentaire à évaluer. Pour aller plus loin sur ce cadre, consultez notre guide de la gouvernance documentaire Microsoft 365.
Une méthode en cinq étapes
1. Définir le périmètre documentaire
Recensez les documents nécessaires à la gouvernance, à la gestion des risques, aux incidents, à la continuité et au suivi des fournisseurs. Repérez ensuite ceux qui contiennent des informations sensibles ou qui doivent rester disponibles en situation de crise.
2. Attribuer les responsabilités
Nommez un propriétaire pour chaque famille documentaire. Précisez qui rédige, qui approuve, qui révise et qui peut consulter. Ces rôles suivent l’organisation de la sécurité ; l’administrateur de la GED n’a pas vocation à les porter seul.
3. Configurer les règles de gestion
Paramétrez les métadonnées, les droits, les circuits de validation, les durées de conservation et les alertes de révision. Pour les documents critiques, précisez les exigences d’intégrité et d’horodatage.
4. Relier les documents aux contrôles
Associez chaque mesure de sécurité au document qui la décrit et aux preuves de son exécution. La politique fixe l’exigence ; le rapport d’exécution atteste qu’elle est appliquée. Cette correspondance doit rester lisible par une personne extérieure au projet.
5. Tester la disponibilité et les exports
Vérifiez régulièrement que les documents de crise restent accessibles en mode dégradé et que les preuves s’exportent sans altération. Chaque test doit produire un résultat daté, rattaché le cas échéant à une action corrective. La traçabilité documentaire repose sur ces mêmes réflexes.
Six questions à poser dès maintenant
- Savons-nous quelle version de chaque politique était applicable à une date donnée ?
- Pouvons-nous prouver l’approbation et la révision régulière des documents de sécurité ?
- Les accès aux dossiers sensibles sont-ils revus et leurs modifications journalisées ?
- Les plans et contacts de crise restent-ils disponibles si l’environnement principal est indisponible ?
- Pouvons-nous réunir rapidement les pièces d’un dossier d’incident ou d’un contrôle fournisseur ?
- Nos sauvegardes documentaires sont-elles isolées et réellement restaurables ?
Conclusion
La gestion documentaire soutient une démarche NIS2 lorsqu’elle maîtrise le cycle de vie des documents et conserve un historique exploitable. Elle relie les politiques aux contrôles réalisés et à leurs preuves.
Sa contribution reste circonscrite. La GED organise le corpus et facilite la démonstration. La protection du système d’information relève d’autres outils, et les arbitrages relèvent de la direction.
L’examen du projet de loi à l’Assemblée nationale laisse encore quelques mois avant les premiers contrôles. C’est le bon moment pour cartographier les documents nécessaires à votre sécurité numérique et vérifier que votre organisation Microsoft 365 permet d’en apporter la preuve.
Vous souhaitez évaluer votre gestion documentaire Microsoft 365 au regard des exigences de NIS2 ? Échangez avec un expert Sodoc
Pour aller plus loin
Donnez un cadre clair à votre gestion documentaire
Découvrez comment SoDoc Gouvernance aide à organiser les référentiels, les règles et le pilotage documentaire dans Microsoft 365.
