NIS2 et authentification email : ce que la directive attend vraiment

DMARC : le contrôle que NIS2 rend difficile à esquiver

DMARC (Domain-based Message Authentication, Reporting and Conformance) est le standard qui indique aux serveurs destinataires quoi faire d'un message qui prétend venir du domaine mais échoue à l'authentification SPF et DKIM. En politique d'application — p=quarantine ou, mieux, p=reject — il fait rejeter ou isoler les messages usurpés avant qu'ils n'atteignent une boîte de réception.

Pourquoi ce contrôle en particulier coche autant de cases NIS2 ?

• Il est technique et standardisé : une entrée DNS publique, vérifiable par n'importe qui, sans logiciel propriétaire.
• Il est auditable : la posture est publique et lisible en quelques secondes. Un auditeur peut la constater sans même contacter l'entité.
• Il produit des preuves : les rapports agrégés DMARC (RUA) documentent en continu qui envoie au nom du domaine, ce qui alimente directement la détection d'incident et la surveillance de la chaîne d'approvisionnement.
• Il est peu coûteux : aucune licence, un déploiement mesuré en semaines, un risque maîtrisé dès lors que la montée est progressive.

Autrement dit, c'est exactement le genre de mesure « appropriée et proportionnée » que la directive appelle : un rapport bénéfice/coût imbattable pour un risque avéré.

« Mais NIS2 ne dit pas DMARC »

C'est vrai, et c'est délibéré. Le législateur européen écrit des obligations de résultat, pas des recettes techniques qui seraient obsolètes avant même la transposition. Il attend des « mesures appropriées » et laisse l'état de l'art définir lesquelles. Or, pour l'anti-usurpation de domaine email, l'état de l'art est SPF + DKIM + DMARC : il n'existe pas d'alternative reconnue. Quand un référentiel sectoriel, un questionnaire d'assurance cyber ou un auditeur cherche la preuve concrète que ce risque est géré, c'est la politique DMARC qu'ils regardent.

Le signal du marché va d'ailleurs déjà dans ce sens, indépendamment de la réglementation : les exigences expéditeurs de Gmail et Yahoo font de DMARC un prérequis pour tout envoi en volume depuis 2024. Entre le forçage réglementaire et le forçage des grands fournisseurs de messagerie, la fenêtre où l'on pouvait rester en p=none sans conséquence se referme.

Ce qu'il faut faire concrètement

Voici la séquence qu'un RSSI concerné devrait engager sans attendre la transposition finale dans son pays :

1. Inventorier tous les domaines. Pas seulement le domaine principal : les marques secondaires, les domaines de campagne, les domaines historiques rachetés, ceux qui n'envoient pas de courrier. Chacun est une surface d'usurpation potentielle.
2. Publier DMARC en p=none d'abord. L'objectif initial est d'observer, pas de bloquer. Les rapports agrégés révèlent l'intégralité du parc d'envoi réel — presque toujours plus large que ce que l'équipe pensait.
3. Aligner chaque source légitime. Régler SPF et DKIM pour chaque plateforme (ERP, CRM, outil marketing, prestataire de facturation) jusqu'à un passage aligné, en visant l'alignement DKIM qui survit au transfert.
4. Monter en politique délibérément. Passer à quarantine, puis à reject, en surveillant les rapports à chaque palier. La procédure détaillée est dans atteindre p=reject sans casser ses emails.
5. Verrouiller les sous-domaines inexistants. Avec DMARCbis, la balise np ferme d'un coup les sous-domaines qui n'envoient rien mais restent usurpables — un durcissement à risque quasi nul.
6. Conserver les preuves. Archiver les rapports et l'historique de posture : c'est la trace d'audit qui démontre une gestion active du risque, pas une simple case cochée un jour.

Le vrai enjeu : de none à reject

Le piège le plus courant, sous NIS2 comme ailleurs, est de croire qu'un enregistrement DMARC publié suffit. Un domaine en p=none n'offre aucune protection : il se contente d'observer l'usurpation sans la bloquer. Face à un auditeur, « nous avons DMARC » ne veut rien dire ; « notre domaine grand public est en p=reject depuis six mois, avec surveillance continue » est une affirmation défendable. C'est la différence entre la conformité de façade et la posture réelle — et c'est aussi le sujet de fond de la finance, où DMARC appliqué protège les marques les plus usurpées, un raisonnement qui se transpose directement aux administrations soumises à NIS2.

La conformité DORA pour le secteur financier suit exactement la même logique de résilience opérationnelle : une entité relevant des deux régimes a tout intérêt à les traiter comme un seul chantier d'authentification, décrit en détail côté finance dans les exigences email de DORA. Et pour transformer cette obligation en preuve d'audit réutilisable, DMARC s'inscrit naturellement dans un système de management ISO 27001.

Le calendrier joue contre les retardataires

La transposition de NIS2 est en cours dans les États membres, à des rythmes différents, mais la direction est identique partout. Le piège, c'est que la mise en conformité de l'authentification email ne s'improvise pas la veille d'un contrôle. Entre la publication de DMARC en p=none, la collecte de plusieurs semaines de rapports pour cartographier le parc d'envoi réel, l'alignement de chaque source et la montée prudente jusqu'à p=reject, il s'écoule typiquement de un à trois mois — davantage pour un grand groupe multi-domaines. Commencer tôt, c'est se donner le temps de faire les choses sans casser le courrier légitime ; commencer tard, c'est choisir entre l'application brutale, risquée pour la délivrabilité, et le retard de conformité, sanctionnable.

Il y a aussi une raison de gouvernance. Puisque NIS2 engage la responsabilité personnelle des dirigeants, la question « notre domaine est-il usurpable ? » cesse d'être une affaire d'équipe technique : c'est une question que le comité de direction doit pouvoir trancher, preuve à l'appui. Un domaine en p=reject assorti d'un historique de surveillance est une réponse que l'on présente sereinement à un conseil comme à une autorité de contrôle ; un p=none oublié depuis deux ans est un risque que plus personne n'a envie d'assumer nominativement. Faire monter le sujet au bon niveau, tôt, transforme une contrainte réglementaire en décision de gouvernance maîtrisée.

Mesurer l'exposition dès maintenant

La bonne nouvelle : l'évaluation prend quelques secondes et ne coûte rien. Un passage du domaine dans notre analyseur DMARC gratuit donne un verdict immédiat sur la politique en place, et l'Observatoire DMARC situe le secteur d'un coup d'œil — l'administration publique y figure parmi les secteurs suivis, et le constat récurrent est qu'une part notable d'entités reste en observation seule.

Amener un parc multi-domaines à p=reject en gardant une trace d'audit propre est exactement ce que Thomas, le RSSI virtuel, est conçu pour porter : il nomme chaque source d'envoi, génère le DNS à publier, évalue la préparation par domaine et signale quand chacun peut être appliqué sans risque. Analyser un domaine gratuitement · explorer l'Observatoire · commencer avec Thomas.