Directive NIS2 : comment vérifier la résilience d’un hébergeur web en 2026

Évaluez la résilience d’un hébergeur à partir de preuves opérationnelles : objectifs de reprise, tests de restauration, plan de reprise, supervision et communication d’incident. La directive NIS2 offre un cadre utile, mais elle ne rend pas automatiquement chaque offre d’hébergement web soumise aux mêmes obligations.

Avant de signer ou de renouveler, demandez comment l’hébergeur répond à une attaque par rançongiciel, une suppression accidentelle, une indisponibilité de datacenter ou une défaillance réseau. Une promesse de conformité ne suffit pas si le fournisseur ne peut pas expliquer comment votre service serait rétabli.

Ce que NIS2 permet d’évaluer

La directive européenne NIS2 impose à certaines entités critiques ou importantes une gestion des risques cyber et des incidents. Les services de datacenter, de cloud et certains prestataires numériques figurent parmi les secteurs visés ; un hébergement mutualisé n’entre toutefois pas nécessairement, à lui seul, dans ce périmètre.

Le statut réglementaire du fournisseur n’est donc qu’un indicateur. Vérifiez surtout si votre site peut être restauré dans un délai acceptable pour votre activité, avec des données suffisamment récentes.

Suivez les orientations nationales et les modalités de mise en œuvre auprès de l’ANSSI. Ne confondez pas une déclaration commerciale avec une preuve que l’offre, le datacenter et les services managés nécessaires à votre site sont réellement couverts.

Exigez des preuves de sauvegarde et de reprise

Demandez la fréquence des sauvegardes, leur durée de conservation, leur emplacement et la date du dernier test de restauration documenté pour un service comparable au vôtre. Vérifiez que les fichiers comme les bases de données sont inclus et que les sauvegardes sont isolées de l’environnement de production.

Faites préciser deux objectifs dans le contrat ou la documentation de service :

RPO : perte de données maximale acceptable, exprimée en durée ; un RPO de 24 heures peut impliquer la perte des modifications de la journée.
RTO : délai visé pour remettre le service en état après un incident ; ne le confondez pas avec une simple disponibilité annuelle.

Demandez aussi qui accède aux sauvegardes, comment les privilèges sont limités et comment l’hébergeur réagit si des identifiants d’administration sont compromis. Une sauvegarde n’est utile que si elle est restaurable et protégée contre une suppression malveillante.

Vérifiez le PRA et la gestion des incidents

Le plan de reprise d’activité (PRA) doit préciser les dépendances couvertes : serveurs, stockage, réseau, DNS, sauvegardes et services managés nécessaires à l’application. Demandez la fréquence des exercices, les scénarios testés et le suivi des actions correctives.

Vérifiez aussi ce qui est supervisé, les horaires de couverture, les seuils d’alerte et les canaux d’escalade. L’hébergeur peut préserver la confidentialité de ses procédures, mais il doit fournir un niveau de preuve suffisant sans révéler d’informations sensibles.

Faites préciser le processus d’information en cas d’incident : délai d’alerte, interlocuteur, fréquence des mises à jour et rapport post-incident. NIS2 prévoit notamment des obligations de notification pour les incidents significatifs des entités concernées ; cela ne remplace pas un engagement contractuel de vous informer lorsque votre service est touché.

Dimensionnez la continuité sans suréquipement

Ne dupliquez pas chaque ressource sans évaluer son utilité. Une redondance mal dimensionnée peut augmenter les équipements allumés, les coûts et l’empreinte matérielle sans réduire le risque principal.

Définissez les mécanismes de secours selon l’impact métier : un site vitrine peut accepter plusieurs heures d’interruption, tandis qu’une plateforme de réservation ou un extranet métier peut exiger un RTO plus court. Privilégiez des sauvegardes adaptées à la valeur des données, des capacités de reprise documentées, la suppression des environnements inutilisés et des tests réguliers.

Pour compléter cette évaluation, consultez nos critères pour évaluer réellement un hébergement web écologique et notre guide sur la cybersécurité d’un hébergeur au regard de NIS2.

Questions à poser

Quels RPO et RTO sont prévus pour mon offre, et sont-ils contractuels ?
À quelle fréquence sauvegardez-vous les fichiers et les bases de données, et quand la restauration a-t-elle été testée pour la dernière fois ?
Les sauvegardes sont-elles isolées de l’environnement de production ?
Quels composants couvre votre PRA, à quelle fréquence est-il exercé et quelles corrections suivent les tests ?
Quels services sont supervisés, à quels horaires et avec quel processus d’escalade ?
Comment serez-vous averti d’un incident affectant votre hébergement ?
Quels sous-traitants ou services externes sont indispensables à la reprise ?
Une certification, telle qu’ISO/IEC 27001, couvre-t-elle précisément le service et les sites que vous utilisez ?

Conservez les réponses écrites et comparez-les à vos besoins de continuité. Si l’hébergeur ne précise pas ses objectifs de reprise, ses tests et son mode de communication, sa résilience reste difficile à évaluer.