NOUSEC s'adresse aux organismes publics qui doivent démontrer un programme de cyberhygiène et de formation, et pas seulement le dérouler. En vertu de NIS2, les entités de l'administration centrale entrent dans le champ quelle que soit leur taille, et l'article 21(2)(g) fait de la cyberhygiène et de la formation à la cybersécurité une mesure minimale obligatoire, tandis que l'article 34(7) laisse à chaque État membre le soin de décider si des amendes s'appliquent aux organismes publics. NOUSEC produit les pièces que demande un contrôle : accusé de lecture des politiques avec suivi des versions, tableau de conformité brut et ajusté pour l'audit, certificats avec page de vérification publique, journal d'audit et export SIEM en CSV, NDJSON ou JSON, sans agent sur les postes et avec des données hébergées à Francfort.
Le secteur le plus ciblé de l’Union.
Dans ce secteur, l’amende est facultative. Le contrôle, non.
La plupart des éditeurs vendent aux organismes publics une sanction qu’ils n’encourront peut-être jamais. Voici la position exacte, et la liste des pièces qui comptent vraiment.
NIS2 fait entrer les entités de l'administration publique centrale dans son champ quelle que soit leur taille, et permet aux États membres de l'étendre aux entités régionales et locales. Mais le chapitre consacré à la supervision n'est pas symétrique : l'interdiction temporaire d'exercer des fonctions de direction prévue à l'article 32(5) vise les entités essentielles et exclut expressément l'administration publique, et en vertu de l'article 34(7), chaque État membre décide si et dans quelle mesure des amendes administratives s'appliquent aux organismes publics.[3]
La pression qui pèse sur une équipe de sécurité du secteur public tient donc à la preuve plutôt qu'à l'argent. On vous demandera de montrer qu'un programme existe, que les agents l'ont suivi, que le registre est défendable et qu'il peut être remis à un auditeur sans exercice de rapprochement dans un tableur.
C'est un problème de produit, et c'est celui pour lequel nous l'avons conçu.
| Pièce | Ce qu’elle prouve | Comment la vérifier | Offre |
|---|---|---|---|
| Accusé de lecture des politiques avec suivi des versions | Qui a accepté quelle version, et quand | Registre par utilisateur, exportable | Professional |
| Tableau de conformité, brut et ajusté pour l’audit | L’achèvement, et l’achèvement qui résiste à un seuil de qualité | Les deux chiffres sont affichés ; la décote se déclenche sous 40 % au quiz | Essentials |
| Preuve d’achèvement | Une formation suivie, pas une formation affectée | Au moins 90 % de secondes uniques visionnées, calculées côté serveur ; un achèvement falsifié reçoit une réponse 403 | Essentials |
| Certificat avec page de vérification publique | Le certificat est authentique | Un tiers peut le vérifier sans accès à votre environnement | Professional |
| Journal d’audit | Qui a modifié quoi dans le programme | Registre inaltérable | Enterprise |
| Export SIEM | Le registre peut sortir de la plateforme | CSV, NDJSON ou JSON | Enterprise |
Près de la moitié des acteurs sont déjà à l’intérieur.
C’est le constat qui distingue la page consacrée au secteur public, et c’est aussi là que nous devons faire attention à ce que nous vendons.
Dans l'administration publique, le DBIR relève des acteurs internes dans 44 % des violations, et l'abus de privilèges parmi les trois premiers schémas : c'est le seul des quatre secteurs où c'est le cas. L'espionnage est la motivation d'un tiers des cas.[1]
Une partie relève de la malveillance, une autre de l'erreur. NOUSEC n'est ni de l'analyse comportementale des utilisateurs, ni de la prévention des fuites de données, ni de la détection des menaces internes ; ce que NOUSEC fait, c'est former et mesurer les comportements situés en amont des deux : la manipulation des dossiers sensibles, l'accusé de lecture des politiques, l'hygiène des identifiants, et une culture du signalement où donner l'alerte améliore votre Human Risk Score au lieu de vous exposer.
Le signalement fait baisser le score, par conception : un agent qui signale un message suspect améliore son propre score. L'exposition liée à une fuite chez un tiers est comptée comme une exposition, pas comme une faute : une personne présente dans une fuite d'identifiants de 2017 ne l'a pas choisi.
Le champ, la responsabilité, et ce que demande un contrôle.
| Texte | Article | Ce qu’il exige | Comment NOUSEC en apporte la preuve |
|---|---|---|---|
| NIS2[3] | Art. 2(2)(f)(i) | Les entités de l’administration publique centrale entrent dans le champ quelle que soit leur taille. | — |
| NIS2 | Art. 2(2)(f)(ii), 2(5) | Les entités régionales entrent dans le champ après une évaluation fondée sur les risques ; les collectivités locales et les établissements d’enseignement, à la discrétion des États membres. | — |
| NIS2 | Art. 21(2)(g) | Cyberhygiène et formation à la cybersécurité, au titre des mesures minimales obligatoires. | Contrôle d’achèvement côté serveur ; tableau de conformité ajusté pour l’audit. |
| NIS2 | Art. 20(1), 32(5), 34(7) | Les organes de direction approuvent, supervisent et peuvent être tenus responsables, mais l’interdiction de fonctions de direction ne vise pas l’administration publique, et les amendes relèvent des États membres. | Preuves de la cohorte de direction ; journal d’audit. |
| RGPD | Art. 39(1)(b) | Sensibilisation et formation dans le périmètre de contrôle du DPO. | Accusé de lecture des politiques avec suivi des versions. |
| ISO/IEC 27001:2022[5] | Cl. 7.2 / 7.3, A 6.3 | Compétences, sensibilisation, formation. | Page de vérification publique des certificats. |
Ces résumés réglementaires sont donnés à titre indicatif et ne constituent pas un avis juridique. Le champ d’application et la classification dépendent de la transposition dans votre État membre.
Les quatre questions que pose toujours un marché public.
Aucun agent sur les postes
Rien n’est installé sur aucun appareil. Le bouton de signalement est un complément facultatif du client de messagerie.
Données hébergées dans l’UE
À Francfort, avec export et effacement au niveau de chaque client.
Marque blanche complète
Votre identité visuelle, en 30 langues : neuf entièrement localisées aujourd’hui, vingt et une autres sur demande.
Méthodologie publiée
Le score de 0 à 100 affiche le détail de ses composantes. Pas de boîte noire.
Une preuve qui n’est pas déclarative
Un score qui montre son calcul
À lire aussi : la méthodologie du Human Risk Score, pourquoi NOUSEC, et les entrées du glossaire sur la menace interne et le prétexte (pretexting). Si votre organisme exploite aussi des installations industrielles ou un réseau, la même chaîne de preuves doit satisfaire deux annexes de NIS2 à la fois. Notre propre posture est décrite sur les pages Confiance et Sécurité.
Questions
Ce que demandent d’abord l’équipe de sécurité d’un organisme public et son service des achats.
Chaque chiffre de cette page, et sa provenance
Dernière vérification : 21 octobre 2026. Les références réglementaires sont vérifiées sur le texte consolidé d’EUR-Lex à chaque révision.
- 2026 Data Breach Investigations ReportVerizon Business — section sectorielle, p. 84 pour la finance et l’assurance (NAICS 52). Corpus : plus de 31 000 incidents, plus de 22 000 violations confirmées, 145 pays, oct. 2024 – nov. 2025 · 2026Utilisé pour : Administration publique (92) : 3 634 incidents ; 69 % d’élément humain ; 44 % d’acteurs internes ; 33 % de motivation d’espionnage ; 20 % de phishing contre 40 % d’exploitation de vulnérabilités ; l’abus de privilèges parmi les trois premiers schémas.
- Threat Landscape 2025ENISA — 13ᵉ édition, v1.2, 4 875 incidents, 1er juillet 2024 – 30 juin 2025 · 2025Utilisé pour : 38,2 % des incidents identifiés dans l’UE visaient l’administration publique. 4 875 incidents, du 1er juillet 2024 au 30 juin 2025.
- Directive (EU) 2022/2555 (NIS2)Journal officiel de l’Union européenne, JO L 333, 27.12.2022 · 2022Utilisé pour : Articles 2(2)(f), 2(5), 20(1), 21(2)(g), 32(5) et 34(7).
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Organisation internationale de normalisation — 3ᵉ édition · 2022Utilisé pour : Clauses 7.2 et 7.3 ; intitulé de la mesure 6.3 de l’annexe A.