Gestion des accès NIS2 dans M365 : plan d'action RSSI

Depuis le 17 mars 2026, le ReCyF (Référentiel Cyber France) publié par l'ANSSI traduit concrètement les obligations de la directive NIS2 en 20 objectifs de sécurité applicables dès maintenant, sans attendre la promulgation de la Loi Résilience attendue pour juillet 2026. Parmi ces objectifs, l'OS13 (gestion des identités et des accès) et l'OS14 (maîtrise de l'administration) s'appliquent directement aux environnements Microsoft 365 et imposent une revue des droits au moins annuellement.

Cet article ne revient pas sur le cadre général de NIS2 ni sur les 10 mesures de l'article 21, pour cela, consultez notre article de référence sur la directive NIS2 et ses enjeux M365. Il détaille ce que le RSSI doit faire concrètement sur son tenant M365 : auditer les accès, corriger les surpartages, recertifier périodiquement et constituer les preuves qu'un contrôle ANSSI pourra vérifier.

Ce que le ReCyF impose concrètement sur la gestion des accès M365

Le ReCyF v2.5 (ANSSI, 17 mars 2026) structure les obligations de gestion des accès autour de deux objectifs de sécurité directement applicables à Microsoft 365.

L'OS13 (gestion des identités et des accès des utilisateurs) exige que les entités appliquent le principe du moindre privilège sur l'ensemble de leurs systèmes d'information réglementés, effectuent une revue des droits d'accès au moins annuellement et corrigent les écarts identifiés. L'OS14 (maîtrise de l'administration) impose un contrôle strict des comptes à privilèges et des actions d'administration.

Sur un tenant M365, cela couvre un périmètre large : les permissions sur OneDrive, SharePoint et Teams, les partages anonymes actifs, les accès externes (utilisateurs invités), les groupes publics ouverts à l'ensemble de l'organisation et les droits hérités sur les sites sensibles. Ces accès constituent la surface d'exposition principale que l'ANSSI peut examiner lors d'un contrôle.

Les sanctions pour non-conformité sont explicites dans la directive (UE) 2022/2555 : jusqu'à 10 M€ ou 2% du chiffre d'affaires mondial annuel pour les entités essentielles, jusqu'à 7 M€ ou 1,4% pour les entités importantes.

Le principe est le suivant : les droits d'accès dans M365 doivent être justifiés, documentés, revus périodiquement et corrigés. Un accès qui ne peut pas être justifié est un accès non conforme au sens du ReCyF.

Etape 1 : Cartographier les accès : savoir qui accède à quoi

La cartographie des permissions est le prérequis absolu. Sans elle, il est impossible de démontrer le respect du principe du moindre privilège exigé par l'OS13 du ReCyF, ni de prioriser les corrections.

Quatre catégories d'accès doivent être cartographiées en priorité dans un tenant M365.

Les partages anonymes actifs sur SharePoint et OneDrive permettent à tout utilisateur externe d'accéder aux fichiers sans authentification. Ils constituent la catégorie de risque la plus exposée et la plus difficile à justifier dans un contexte NIS2.

Les groupes Microsoft 365 et Teams configurés en accès public ou "Toute l'organisation" donnent à chaque utilisateur du tenant un accès en lecture aux contenus publiés. Ce type d'accès est rarement intentionnel et rarement documenté.

Les accès externes non recertifiés concernent les utilisateurs invités qui conservent des droits longtemps après la fin d'une collaboration. Selon Microsoft (Learn, 2026), les rapports de gouvernance d'accès aux données SharePoint permettent d'identifier ces sites surpartagés et d'envoyer une révision d'accès aux propriétaires concernés.

Les héritages de droits brisés sur les sous-arborescences SharePoint créent des situations où des utilisateurs conservent des accès sur des espaces sensibles après avoir quitté un projet ou une équipe.

Les outils natifs disponibles : rapports de gouvernance d'accès aux données dans le Centre d'administration SharePoint, Purview DSPM pour l'inventaire des données sensibles surexposées. Sur un tenant non audité, ces quatre catégories représentent l'essentiel de la dette de permissions à corriger pour satisfaire l'OS13 du ReCyF.

Etape 2 : Corriger les surpartages : impliquer les propriétaires fonctionnels

L'OS13 du ReCyF exige que les droits soient alignés sur le principe du moindre privilège. Cette correction ne peut pas reposer uniquement sur l'équipe IT : les propriétaires fonctionnels des données sont les seuls décideurs légitimes sur la nécessité de conserver un accès.

Un partage ouvert à un prestataire il y a deux ans peut être toujours actif dans SharePoint. Seul le responsable du projet sait si ce partage doit être révoqué ou maintenu. Confier cette décision à l'IT génère des faux positifs, des blocages et ne produit pas les preuves de décision documentées qu'un contrôle ANSSI pourrait exiger.

La bonne approche consiste à notifier les propriétaires fonctionnels via des campagnes ciblées, avec des interfaces simples permettant de valider ou révoquer un accès en quelques clics. Chaque décision prise est tracée et constitue une preuve de conformité exploitable.

Selon les données IDECSI (2024), constatées sur plus d'un million d'utilisateurs accompagnés, une campagne de remédiation produit en moyenne 7 corrections de permissions par utilisateur en 4 à 6 semaines. La Communauté d'Agglomération de Cergy-Pontoise a supprimé 50% de ses risques dès la première campagne DETOX, et 70% à l'issue de la deuxième, sans mobiliser de ressources IT supplémentaires.

Sur un tenant M365 de 2 000 utilisateurs, impliquer les propriétaires fonctionnels dans une campagne de remédiation structurée produit en moyenne 14 000 corrections de permissions documentées en 4 à 6 semaines, soit la base de preuves de conformité OS13 la plus solide qu'une organisation puisse constituer.

Etape 3 : Recertifier les accès : fréquence, méthode et preuves pour l'ANSSI

La correction des surpartages existants est une étape. La recertification périodique est l'étape suivante, et c'est celle que l'ANSSI vérifiera lors d'un contrôle.

Le ReCyF v2.5 (ANSSI, 2026) impose une revue des droits d'accès au moins annuellement, avec vérification du respect du moindre privilège et correction des écarts constatés. Cette revue doit être documentée : liste des accès passés en revue, décisions prises, corrections appliquées et date d'exécution.

Trois types de preuves sont attendues lors d'un contrôle ANSSI sur l'OS13. La preuve de cartographie : un état des droits d'accès daté sur OneDrive, SharePoint, Teams et les accès externes. La preuve de décision : pour chaque accès maintenu ou révoqué, la traçabilité de la décision et de son auteur. La preuve de correction : les actions de remédiation appliquées, avec les dates et les périmètres concernés.

Une campagne de revue des droits bien outillée produit ces trois types de preuves automatiquement. Sans outillage dédié, les équipes IT doivent les reconstituer manuellement, ce qui est à la fois chronophage et peu fiable pour un audit.

Etape 4 : Installer une gouvernance durable : au-delà de la première campagne

NIS2 n'est pas un projet one-shot. Le ReCyF impose une conformité continue : revue annuelle de la PSSI, révision des droits au moins annuellement, et capacité à démontrer la conformité à tout moment — pas seulement lors d'un audit planifié.

Deux leviers structurels permettent d'installer cette gouvernance dans la durée. Le premier est la récurrence des campagnes de revue des droits : une première campagne corrige les surpartages existants, les suivantes maintiennent le niveau atteint et traitent les nouveaux risques apparus (départs, réorganisations, nouveaux projets). Selon les données IDECSI (2024), les organisations qui conduisent une deuxième campagne DETOX suppriment 70% de leurs risques résiduels contre 50% à l'issue de la première, la répétition est le facteur clé de durabilité.

Le second levier est la responsabilisation continue des utilisateurs. Les propriétaires fonctionnels qui ont participé à une première campagne adoptent des comportements plus vigilants sur leurs partages futurs. La gouvernance des accès cesse d'être un projet IT ponctuel pour devenir une pratique distribuée.

Une gouvernance durable des accès M365 dans le cadre NIS2 repose sur deux conditions : des campagnes de recertification annuelles documentées et des propriétaires fonctionnels actifs dans la correction,  c'est la combinaison que l'ANSSI peut contrôler et que les organisations peuvent démontrer.

Tableau de correspondance : ReCyF / Actions M365 / Preuves

Conclusion

La gestion des accès NIS2 sur Microsoft 365 n'est pas un chantier de plusieurs mois. C'est un plan d'action de 4 à 6 semaines si la démarche est structurée, si elle implique les propriétaires fonctionnels dès le départ et si elle produit les preuves documentées qu'un contrôle ANSSI peut vérifier.

Le ReCyF est disponible depuis le 17 mars 2026. La Loi Résilience est attendue pour juillet 2026. Les organisations qui engagent leur démarche maintenant disposeront d'une première campagne de recertification documentée avant l'entrée en vigueur des obligations, celles qui attendent partiront avec une dette de conformité à rattraper sous contrainte de temps.

Pour établir l'état de vos accès M365 et dimensionner votre plan de conformité NIS2, un diagnostic DETOX permet d'identifier les risques prioritaires et de construire le dossier de preuves adapté à votre périmètre.