Le piège classique
Ce considérant 16 ouvre une porté d'argumentation précieuse mais mal exploitée : une filiale ou une entreprise partenaire peut sortir du champ NIS 2 si elle démontré son indépendance opérationnelle en matière de SI et de services fournis, même si le groupe consolide depasse les seuils. En pratique, l'ILR sanctionné deux extremes : les entités qui s'auto-excluent abusivement sans dossier de preuve, et celles qui se sur-declarent par precaution puis subissent des obligations disproportionnées (gouvernance, notification 24h, audits) qu'elles ne peuvent pas tenir.
Le test d'indépendance : les critères que l'ILR examinera
Pour invoquer le considérant 16, l'entité doit constituer un dossier factuel démontrant que ses réseaux et systèmes d'information sont distincts de ceux du groupe, et que ses services ne dependent pas operationnellement des entreprises liées. Les critères typiques :
- Annuaire Active Directory et tenant M365 separes de la maison-mere (pas de federation, pas de SSO partagé)
- Infrastructure cloud distincte (souscriptions Azure/AWS dédiées, pas de landing zone partagée)
- SOC, EDR et politique de patch management gérées en autonomie locale, pas par le CISO groupe
- Contrats clients signes en propre, pas en marque blanche du groupe
- Aucun service IT critique mutualise (messagerie, ERP, ITSM, backup) avec les entreprises liées
- Gouvernance cybersécurité locale documentée (comité, budget, décisions autonomes)
Sans cette démonstration écrite et datée, l'auto-exclusion est une bombe a retardement : l'ILR peut requalifier retroactivement et sanctionner l'absence de notification d'incident sur 24 mois.
Comment Luxgap automatise ce risque
Notre Luxgap Independence Profiler produit en 48 heures le dossier de preuve d'indépendance opposable a l'ILR, sans que vous ayez a remplir le moindre questionnaire. L'outil branche un agent IA en lecture seule sur votre Active Directory, votre tenant M365, vos abonnements Azure, vos consoles Defender et CrowdStrike, votre ERP (Odoo, SAP, Sage BOB 50) et vos contrats clients pour mesurer objectivement votre degre de couplage avec les entreprises partenaires ou liées du groupe.
- Cartographie automatiquement les dépendances réseau, identité et SaaS entre votre entité et les entités groupe pour matérialiser le périmètre réel d'indépendance.
- Calcule un score d'autonomie SI (0 a 100) pondere selon les critères ENISA et la recommandation 2003/361/CE, avec justification ligne a ligne.
- Détecte les couplages caches (SSO federe, comptes administrateurs croises, tunnels VPN inter-entites, backups mutualises) qui invalideraient l'argument d'indépendance.
- Génère le mémoire juridico-technique prêt a deposer auprès de l'ILR, avec annexes techniques horodatées et signées cryptographiquement.
- Reevalue le score en continu (cron 24h) et alerte des qu'un changement IT groupe (nouveau SSO, migration cloud commune) menacé votre statut d'exclusion.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur votre architecture réelle, avec un audit blanc gratuit sous 48h pour mesurer votre score d'indépendance avant tout engagement.
Le service Luxgap sur ce sujet
CISO externalisé
Nommé responsable de la sécurité de l'information, notre CISO pilote la politique, la gouvernance, les risques, les audits et les incidents, avec NIS 2 ou DORA quand ils s'appliquent.
Découvrir le mandat CISO→