NIS2 article 21 : pourquoi l'inventaire de ce que vous exposez est
une obligation

L'article 21 de la directive NIS2 est le cœur technique du texte. Son paragraphe 2 énumère dix mesures minimales de gestion du risque, dont deux se répondent directement : les politiques d'analyse des risques (a) et la gestion des actifs (i). Le problème tient en une phrase : on ne mène pas d'analyse de risques crédible, et on ne "gère" pas ses actifs, sur un périmètre qu'on ne connaît pas. Or la moitié de ce périmètre est souvent constituée d'actifs fantômes que personne n'a inventoriés.

C'est exactement le point de bascule où l'EASM (External Attack Surface Management, gestion de la surface d'attaque externe) cesse d'être un gadget de SOC mature pour devenir un prérequis réglementaire. L'article 21 ne prononce jamais le mot EASM, mais sa logique l'impose en filigrane : la cartographie des actifs exposés est le socle sur lequel repose tout le reste.

Pour le panorama complet de la directive (statuts d'entité essentielle et importante, obligations de notification, sanctions, calendrier de transposition), on renvoie au guide complet de la directive NIS2 et, côté PME touchées par ruissellement, à ce qu'implique NIS2 pour les PME. Ici, on reste sur un point précis : pourquoi l'obligation de gérer ses actifs revient à savoir ce qu'on expose, et comment l'EASM y répond.

Les deux mesures de l'article 21 qui parlent d'exposition

Reprenons les deux mesures qui nous intéressent, telles que les liste l'article 21(2). Elles imposent des mesures "techniques, opérationnelles et organisationnelles appropriées et proportionnées", selon une approche dite "tous risques" :

• (a) les politiques d'analyse des risques et de sécurité des systèmes d'information ;
• (i) la sécurité des ressources humaines, les politiques de contrôle d'accès et la gestion des actifs.

Le mot "proportionnées" est piégeux : la proportionnalité se mesure par rapport à l'exposition réelle, pas à l'exposition documentée. Une entité qui pense exposer douze services et en expose quarante n'a pas dimensionné ses mesures au bon périmètre. La gestion des actifs de l'alinéa (i) n'est donc pas un exercice de tenue de registre : c'est la condition pour que l'analyse de risques de l'alinéa (a) porte sur quelque chose de vrai.

L'EASM, ce que voit l'attaquant

L'External Attack Surface Management est la discipline qui consiste à découvrir, inventorier et surveiller en continu tout ce que votre organisation expose sur Internet, du point de vue de l'attaquant. Pas depuis votre réseau interne, pas depuis votre CMDB : depuis l'extérieur, comme le ferait quelqu'un qui prépare une intrusion. La nuance est capitale. Si vous découvrez la discipline, on en fait le tour complet dans le guide qu'est-ce que l'EASM ; ici, on se concentre sur son articulation avec l'article 21.

Concrètement, une plateforme EASM enchaîne plusieurs étapes :

1. Découverte : à partir de quelques graines (nom de domaine, marque, plages IP, organisation), elle déroule la pelote, sous-domaines, certificats TLS (Certificate Transparency), enregistrements DNS, ASN, dépendances tierces. C'est aussi ce qui fait remonter les sous-domaines oubliés qui pointent dans le vide, mûrs pour un subdomain takeover.
2. Inventaire et attribution : elle relie chaque actif découvert à votre organisation, et identifie ports ouverts, technologies, services exposés.
3. Corrélation des vulnérabilités : elle confronte les versions détectées aux flux de CVE (typiquement la NVD du NIST) pour faire remonter les expositions connues.
4. Priorisation et surveillance continue : elle hiérarchise par exploitabilité réelle et re-scanne en boucle, parce qu'une surface d'attaque, ça bouge tous les jours.

  GRAINES                DECOUVERTE               CORRELATION            VERDICT
 +----------+          +--------------+         +-----------+        +-----------+
 | domaine  |          | sous-domaines|         |  versions |        |  expose   |
 | marque   |  ----->  | certs TLS    | ------> |    vs     | -----> | priorise  |
 | plages IP|          | DNS / ASN    |         | flux CVE  |        | par risque|
 +----------+          | ports/techno |         |  (NVD)    |        +-----+-----+
                       +--------------+         +-----------+              |
        ^                                                                  |
        +---------------  surveillance continue (re-scan)  <---------------+

Inventaire déclaratif contre exposition mesurée

Le grand malentendu, c'est de croire qu'un fichier Excel d'actifs ou une CMDB constituent un inventaire de surface d'attaque. Ils décrivent ce que vous pensez exposer. L'EASM, lui, mesure ce que vous exposez vraiment. Entre les deux, il y a toujours un delta, et la gestion des actifs exigée par l'article 21 ne vaut que si elle porte sur le second, pas sur le premier.

De la découverte au verdict : le piège des CVE

Découvrir des actifs et lister des CVE, c'est la partie facile. Le vrai problème commence après : un scanner classique vous noie sous des centaines de "vulnérabilités critiques" dont une bonne partie n'est pas exploitable dans votre contexte (service non atteignable, fonctionnalité désactivée, faux positif sur une bannière de version). Résultat : vos équipes s'épuisent à patcher du bruit pendant que la vraie faille exploitable dort tranquillement.

C'est la frontière entre détecter et démontrer. Si le sujet vous parle, on l'a creusé dans pentest vs scan de vulnérabilité : un scan dit "c'est peut-être vulnérable", un pentest prouve que ça l'est. L'EASM moderne emprunte cette logique offensive pour la passer à l'échelle, en validant l'exploitabilité réelle plutôt que de cracher une liste brute de CVE. C'est aussi ce qui rend la métrique remontée à l'autorité de contrôle défendable : on documente une exposition validée, pas un décompte de bannières.

Article 21 et EASM : la jonction concrète

Mettons les choses bout à bout. L'article 21 vous demande une analyse de risques (a) et une gestion des actifs (i), proportionnées à votre exposition. Une démarche EASM sérieuse alimente directement ces obligations :

• Cartographie des actifs exposés : tenue à jour et auditable, elle vous dit quoi inventorier dans votre gestion des actifs.
• Analyse de risques fondée sur le réel : l'exposition mesurée nourrit l'évaluation de proportionnalité exigée par la directive.
• Surveillance continue : NIS2 raisonne en posture permanente, pas en audit annuel, et l'EASM colle à cette temporalité.
• Traçabilité : en cas de contrôle ANSSI, montrer un processus de découverte et de remédiation documenté pèse davantage qu'un export figé.

Pour les composants applicatifs, l'EASM se complète avec une démarche d'AppSec sur le code lui-même. On a comparé les approches dans SAST, DAST, IAST et IA : l'EASM cartographie le périmètre, l'AppSec creuse l'intérieur des applications. Les deux sont complémentaires, pas concurrents.

Répondre à l'article 21 avec l'EASM d'own2pwn

La plateforme EASM d'own2pwn est construite autour de cette logique : découverte automatique des actifs exposés, corrélation des CVE via le flux NVD, et validation d'exploitabilité IA-native plutôt qu'une liste indigeste. Le tout en surveillance continue, édité par une société française et hébergé dans l'Union européenne, sous droit européen et RGPD, un critère qui compte quand la juridiction des données entre dans le périmètre réglementaire. Ce que pèse ce critère face au reste du marché, on l'a mis à plat dans le comparatif des plateformes EASM.

Pour aller plus loin sur le code applicatif, la brique SecAI (AppSec IA) analyse le code source : SAST piloté par l'IA, composition logicielle (SCA), infrastructure-as-code et secrets. Côté surface externe, la validation offensive va jusqu'à un agent de pentest autonome borné qui tente d'exploiter les findings critiques dans une sandbox, sous quota. Et quand il faut la rigueur d'un humain expert sur un périmètre critique, les services de pentest web blackbox et whitebox prennent le relais.

Se mettre en conformité avec l'article 21 n'oblige pas à réinventer la sécurité. Ça oblige à une chose souvent repoussée : ouvrir les yeux sur ce que l'organisation laisse atteignable depuis Internet, et le tenir à jour. Le registre d'actifs que réclame la directive n'a de valeur que s'il décrit la réalité, et la réalité, elle, ne s'arrête pas de bouger le jour de l'audit.

Questions fréquentes