NIS2 et hébergement web : ce qui change pour votre site

La directive européenne NIS2 place la cybersécurité au cœur des responsabilités des organisations qui fournissent des services essentiels à l’économie et à la société. Pour un propriétaire de site web, ce texte peut sembler lointain, voire réservé aux grandes entreprises. Pourtant, il concerne potentiellement certains acteurs de l’hébergement, du cloud, des centres de données ou des services DNS.

La bonne nouvelle : posséder un site vitrine, un blog ou une petite boutique en ligne ne signifie pas automatiquement devoir respecter toutes les obligations de NIS2. En revanche, la directive rappelle des principes très utiles à tous : disposer de sauvegardes fiables, protéger les accès d’administration, mettre à jour ses logiciels et savoir réagir en cas d’incident.

Voici ce que NIS2 change réellement pour votre hébergeur et les actions simples à mener pour votre site.

NIS2 : comprendre la directive européenne sans jargon

NIS2 est le nom courant de la directive (UE) 2022/2555 du Parlement européen et du Conseil. Elle remplace la première directive NIS, adoptée en 2016, afin d’élever le niveau de cybersécurité dans l’Union européenne.

Son objectif est simple : les organisations dont une défaillance informatique pourrait avoir des conséquences importantes doivent mieux prévenir les attaques, mieux protéger leurs systèmes et signaler certains incidents graves aux autorités compétentes.

La directive est entrée en vigueur en janvier 2023. Les États membres devaient la transposer dans leur droit national avant le 17 octobre 2024. En pratique, les modalités applicables à une entreprise donnée dépendent donc aussi de la loi nationale de transposition, des autorités désignées et de la qualification exacte de son activité.

Le texte ne vise pas uniquement les entreprises du numérique. Il couvre notamment des secteurs tels que :

l’énergie, les transports, la santé et l’eau ;
les infrastructures numériques ;
les administrations publiques concernées ;
certains services postaux, industriels, alimentaires ou de gestion des déchets ;
des prestataires numériques comme les fournisseurs de services cloud, les centres de données ou certains services gérés.

Le texte distingue les entités essentielles et les entités importantes. Cette distinction influe notamment sur les modalités de supervision et le niveau des sanctions possibles. Elle ne signifie pas qu’une catégorie peut négliger la sécurité : les deux sont tenues d’appliquer des mesures de gestion des risques adaptées.

Pour lire le texte à la source, vous pouvez consulter la directive (UE) 2022/2555 sur EUR-Lex. Pour le contexte français, l’ANSSI reste une source de référence sur la cybersécurité et les obligations applicables en France.

Petits sites : êtes-vous directement concerné par NIS2 ?

Dans la majorité des cas, un blog personnel, le site d’un artisan, un portfolio ou une petite boutique ne sont pas directement soumis à NIS2 du seul fait d’être en ligne.

La directive cible en principe des organisations opérant dans les secteurs listés et répondant au critère de taille d’une moyenne entreprise. Le seuil généralement retenu par le texte européen correspond à au moins 50 salariés et à un chiffre d’affaires annuel ou un total de bilan annuel supérieur à 10 millions d’euros. Des exceptions existent toutefois : certaines entités peuvent être incluses indépendamment de leur taille lorsqu’elles jouent un rôle particulier ou présentent un risque élevé.

Il faut surtout distinguer deux situations :

Vous exploitez simplement votre propre site

Si vous êtes indépendant, association, TPE ou créateur de contenu, vous utilisez probablement un hébergement mutualisé, un serveur VPS ou une plateforme gérée pour publier votre site. Vous êtes alors client d’un prestataire d’hébergement, pas fournisseur d’une infrastructure numérique à grande échelle.

Vous pouvez avoir d’autres obligations légales, par exemple en matière de protection des données personnelles si votre site collecte des données. Le RGPD et NIS2 sont deux cadres distincts : le premier porte principalement sur les données personnelles, tandis que NIS2 traite de la sécurité des réseaux et des systèmes d’information.

Vous fournissez des services numériques à des clients

La situation mérite une analyse plus attentive si votre entreprise fournit elle-même du cloud, de l’hébergement, de l’infogérance, de la gestion de serveurs, un CDN, des services DNS ou des services de sécurité managés. Selon la nature précise du service, son importance et votre taille, NIS2 peut vous concerner.

Un hébergeur web classique n’est donc pas automatiquement concerné uniquement parce qu’il emploie le mot « hébergement ». Il faut examiner la réalité de son offre et la catégorie juridique applicable. Un fournisseur de cloud, un opérateur de centre de données, un prestataire DNS ou un prestataire de services managés peut relever de catégories expressément citées par la directive.

NIS2 ne transforme pas chaque propriétaire de site en opérateur critique. Elle incite en revanche tous les acteurs du web à mieux évaluer leurs dépendances : hébergeur, nom de domaine, DNS, messagerie, sauvegardes et comptes administrateurs.

Ce que votre hébergeur doit mieux sécuriser

Lorsqu’un fournisseur entre dans le champ de NIS2, la directive prévoit des mesures de gestion des risques de cybersécurité. Elle ne donne pas une liste de logiciels obligatoires ni une configuration unique à appliquer : l’approche est fondée sur le risque, la taille de l’organisation, son exposition et les conséquences possibles d’un incident.

L’article 21 de la directive cite notamment les domaines suivants :

l’analyse des risques et des politiques de sécurité ;
la gestion des incidents ;
la continuité d’activité, les sauvegardes, la reprise après sinistre et la gestion de crise ;
la sécurité de la chaîne d’approvisionnement ;
la sécurité lors de l’acquisition, du développement et de la maintenance des systèmes ;
la gestion et la divulgation des vulnérabilités ;
la formation et l’hygiène numérique des équipes ;
le contrôle des accès, la gestion des actifs et, lorsque nécessaire, le chiffrement ;
l’usage de l’authentification multifacteur ou de mécanismes d’authentification continue lorsque cela est approprié.

Concrètement, pour un client d’hébergement, cela peut se traduire par une meilleure préparation du prestataire : surveillance de l’infrastructure, procédures internes en cas d’attaque, contrôle des accès à privilèges, restauration documentée des données, traitement plus rigoureux des failles et gestion des fournisseurs techniques.

Attention toutefois : NIS2 ne garantit pas l’absence de panne ni l’invulnérabilité d’un hébergeur. Une promesse de disponibilité à 100 % doit toujours être examinée avec prudence, comme nous l’expliquons dans notre article sur les limites de la promesse d’uptime à 100 %. La conformité réglementaire ne remplace ni l’architecture technique, ni les tests, ni la préparation face aux incidents.

Signalement des incidents : pourquoi cela peut aussi vous toucher

NIS2 prévoit un mécanisme de notification pour les incidents significatifs affectant les entités concernées. La directive fixe notamment un calendrier avec une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final, en principe, dans le mois suivant la notification.

Ces notifications sont adressées aux autorités ou équipes de réponse compétentes, selon l’organisation retenue par chaque État membre. Elles ne signifient pas nécessairement qu’un hébergeur doit prévenir chaque client dans les mêmes délais ni par le même canal. Les obligations contractuelles d’information client peuvent être différentes.

En tant que client, vous avez néanmoins intérêt à savoir comment votre prestataire communique lors d’un problème majeur. Cherchez notamment :

une page de statut publique ou un tableau d’incidents ;
un canal d’assistance clairement identifié ;
une documentation sur les sauvegardes et la restauration ;
des conditions de service précisant les responsabilités de chacun ;
une procédure de notification en cas d’incident de sécurité affectant vos données ou votre service.

Les grands incidents d’infrastructure ne sont pas les seuls risques. Un simple vol de mot de passe WordPress, une extension non mise à jour ou la perte du compte associé au nom de domaine peuvent rendre votre site inaccessible. C’est pourquoi les mesures de sécurité du fournisseur doivent être complétées par vos propres pratiques.

Les 6 vérifications simples à faire dès maintenant

Même si votre site n’est pas directement visé par NIS2, les six actions suivantes sont accessibles à une TPE ou à un administrateur débutant. Elles réduisent les risques les plus courants sans exiger de devenir expert en cybersécurité.

1. Identifier clairement qui fait quoi

Listez les services indispensables à votre présence en ligne : hébergeur, registraire de nom de domaine, fournisseur DNS, messagerie professionnelle, CDN éventuel, outil de sauvegarde et agence web si vous en avez une.

Ne supposez pas que « l’hébergeur s’occupe de tout ». Sur un hébergement mutualisé, le prestataire protège généralement l’infrastructure, mais les mises à jour de WordPress, les extensions, les comptes utilisateurs et le contenu du site relèvent souvent de votre responsabilité. Lisez les conditions du service et posez des questions au support si ce partage n’est pas clair.

2. Activer l’authentification à deux facteurs

Activez l’authentification multifacteur, aussi appelée 2FA, sur le compte client de votre hébergeur, sur le compte du registraire et sur votre administration WordPress si cette option est disponible.

Un mot de passe robuste reste nécessaire, mais il ne suffit pas toujours face au phishing ou à une fuite de données. Une application d’authentification compatible TOTP, telle que Google Authenticator, Microsoft Authenticator, Authy ou 1Password, ajoute une barrière utile. Conservez les codes de récupération dans un emplacement sûr.

Les méthodes de connexion évoluent également : découvrez pourquoi les passkeys peuvent améliorer la sécurité des comptes d’hébergement lorsqu’elles sont proposées par un service.

3. Vérifier vos sauvegardes et tester une restauration

Une sauvegarde qui n’a jamais été restaurée est une promesse, pas une protection démontrée. Vérifiez la fréquence des sauvegardes proposées par votre hébergeur, leur durée de conservation et la facilité de restauration.

Pour un site WordPress, une sauvegarde utile doit normalement inclure les fichiers et la base de données. Conservez aussi une copie indépendante, par exemple dans un espace de stockage distinct de votre compte d’hébergement. Cela limite le risque qu’une erreur de compte, un incident chez le prestataire ou une suppression accidentelle affecte à la fois le site et son unique sauvegarde.

Notre guide sur les sauvegardes immuables dans l’hébergement permet d’aller plus loin sur la protection contre les modifications ou suppressions non autorisées.

4. Mettre à jour le site et supprimer ce qui ne sert plus

Maintenez à jour le CMS, les extensions, les thèmes et les composants serveur que vous administrez. WordPress, Joomla!, Drupal et PrestaShop publient régulièrement des correctifs de sécurité. Les extensions abandonnées ou inutilisées augmentent inutilement votre surface d’attaque.

Avant une mise à jour majeure, réalisez une sauvegarde. Si votre site est important pour votre activité, testez les changements sur un environnement de préproduction lorsque votre hébergement le permet. Le but n’est pas de mettre à jour sans réfléchir, mais d’éviter de rester durablement sur une version vulnérable.

5. Protéger le nom de domaine et le DNS

Le nom de domaine est une pièce critique de votre site. Si un tiers prend le contrôle de votre compte chez le registraire, il peut modifier les serveurs DNS, rediriger vos visiteurs ou empêcher le renouvellement du domaine.

Activez donc la 2FA chez le registraire, utilisez une adresse e-mail de récupération encore accessible et vérifiez la date de renouvellement. Contrôlez également qui peut modifier votre zone DNS. Les DNS Anycast peuvent contribuer à la résilience d’un service, mais ils ne remplacent pas la protection des accès : notre article DNS Anycast : est-ce utile pour un petit site ? détaille cette nuance.

6. Préparer une réponse simple en cas d’incident

Vous n’avez pas besoin d’un plan de crise de plusieurs dizaines de pages. Une fiche d’une page peut déjà faire la différence. Notez les coordonnées du support de l’hébergeur, l’accès au registraire, l’emplacement des sauvegardes, les personnes à prévenir et les étapes de restauration.

Prévoyez aussi comment informer vos clients si votre activité dépend du site : message sur les réseaux sociaux, e-mail de contact alternatif ou page de statut. En cas de compromission suspectée, changez les mots de passe concernés, révoquez les accès inutiles, contactez votre prestataire et évitez de supprimer des éléments qui pourraient aider à comprendre l’incident.

Comment choisir un hébergeur dans un contexte NIS2 ?

NIS2 ne doit pas devenir un argument marketing flou. Un hébergeur sérieux ne se résume pas à l’affichage d’un logo, d’une promesse de conformité ou d’un terme technique. Pour un petit site, les éléments concrets comptent davantage.

Lors de votre comparaison, regardez notamment si le prestataire propose :

une 2FA pour l’espace client ;
des sauvegardes clairement documentées ;
des certificats TLS faciles à gérer ;
un support accessible et une base de connaissances utile ;
une page de statut ou une communication transparente sur les incidents ;
des informations lisibles sur la localisation des données et les sous-traitants ;
des offres adaptées à votre niveau technique réel.

Les performances restent importantes, mais elles ne suffisent pas. Un stockage NVMe, HTTP/3 ou un CDN intégré peuvent améliorer l’expérience de navigation selon votre projet ; ils ne dispensent pas de sauvegardes, de mises à jour et de gestion des accès. Pour faire le tri entre les critères essentiels et les options secondaires, consultez notre comparatif des critères pour choisir un hébergeur web.

Conclusion : NIS2, un repère utile pour sécuriser votre présence en ligne

NIS2 impose surtout de nouvelles exigences aux organisations numériques et aux secteurs jugés importants ou critiques. Un petit propriétaire de site n’est généralement pas directement concerné, mais il dépend d’acteurs qui peuvent l’être : hébergeur, fournisseur cloud, DNS ou prestataire d’infogérance.

La leçon pratique est claire : choisissez un prestataire transparent, activez la 2FA, gardez des sauvegardes testées, maintenez votre CMS à jour et protégez votre nom de domaine. Ces quelques habitudes répondent aux risques les plus fréquents, bien avant toute question de conformité formelle.

Avant de renouveler votre offre ou de migrer votre site, prenez quelques minutes pour vérifier ces six points : c’est souvent le moyen le plus simple de gagner en sérénité sans alourdir votre gestion quotidienne.