L'authentification multifacteur est-elle utilisée pour l'accès aux systèmes de l'entreprise ?

L'AMF est la dixième mesure explicite de l'article 21, paragraphe 2

Oui, cette question porte sur un élément littéralement nommé dans la liste NIS2 : l'article 21, paragraphe 2, point j mentionne « l'utilisation de solutions d'authentification multifacteur ou d'authentification continue » par son nom. Cela rend cette question différente de la plupart des autres figurant sur une telle liste — il n'y a pas d'espace d'interprétation sur ce qui est entendu, seulement sur la question de savoir si cela a été mis en œuvre et où.

La pratique réside dans la couverture, non dans le principe. Un client qui demande si l'AMF est utilisée signifie généralement : cela s'applique-t-il à tous les accès aux systèmes informatiques de l'entreprise, ou seulement à une partie ? L'AMF sur le VPN mais pas sur les applications cloud, ou bien sur les comptes d'administration mais pas sur les utilisateurs ordinaires, est une réponse différente d'un simple oui. Cet élément est donc étroitement lié à la politique d'accès documentée et la gestion des actifs informatiques : sans un aperçu des systèmes existants et de qui y a accès, « l'AMF est-elle utilisée » n'est pas une question binaire mais une question avec un pourcentage. Celui qui ne connaît la réponse que pour son propre ordinateur portable et non pour l'environnement serveur répond en fait à propos d'un sous-ensemble.

Où cela figure dans la directive : article 21, paragraphe 2, point j

L'article 21, paragraphe 2 de la Directive (UE) 2022/2555 énumère dix mesures que les entités doivent prendre dans le cadre de leur gestion des risques ; le point j mentionne spécifiquement l'authentification multifacteur ou l'authentification continue, à côté de la communication chiffrée et de la communication de secours sécurisée. Cette mesure ne figure pas isolément : le paragraphe 1 du même article exige que l'ensemble soit proportionné au risque, à la taille et à la probabilité d'incidents, ce qui laisse une marge pour un déploiement progressif à condition que cela soit formellement documenté. Que l'AMF soit obligatoire pour l'entreprise qui remplit le formulaire dépend de de savoir si l'entreprise relève de la directive en tant qu'entité — un fournisseur qui ne relève pas lui-même de NIS2 ne reçoit cette question que parce que son client en relève, et la chaîne d'approvisionnement doit être interrogée.