NIS2 : faut-il tenir un registre des visiteurs ? Ce que disent vraiment les textes

Par Pablo Lebailly · Publié le 19 octobre 2026 · 8 min de lecture

Non, la directive NIS2 n'emploie jamais l'expression « registre des visiteurs ». Mais oui, en pratique, une entité essentielle belge doit pouvoir montrer qui est entré dans ses locaux, quand, et que ces traces sont relues. La directive et la loi belge du 26 avril 2024 imposent une sécurité qui couvre l'environnement physique et le contrôle d'accès. Le référentiel belge CyberFundamentals, qui sert à évaluer la conformité, demande en toutes lettres que les registres d'accès des visiteurs soient tenus et revus. Voici ce que dit chaque texte, et comment un auditeur le vérifiera.

Que dit exactement la directive NIS2 sur les accès physiques ?

La directive (UE) 2022/2555, dite NIS2, fixe à son article 21 les mesures de gestion des risques que les entités essentielles et importantes doivent prendre. Deux passages concernent directement l'accueil d'un bâtiment.

Le paragraphe 2 précise que ces mesures « sont fondées sur une approche "tous risques" qui vise à protéger les réseaux et les systèmes d'information ainsi que leur environnement physique ». La sécurité informatique, au sens de NIS2, ne s'arrête donc pas au pare-feu : elle inclut les locaux où se trouvent les systèmes.

Le point i) du même paragraphe range parmi les mesures minimales « la sécurité des ressources humaines, des politiques de contrôle d'accès et la gestion des actifs ».

Le considérant 79 explique l'intention : les mesures doivent protéger contre « tout accès physique non autorisé » aux informations et aux installations de traitement de l'entité, et « porter sur la sécurité physique et la sécurité de l'environnement ».

Le texte ne dit nulle part comment tracer un visiteur. Il fixe un objectif — maîtriser l'accès physique — et laisse le moyen à l'entité, en proportion de son exposition au risque.

Qu'a ajouté la loi belge du 26 avril 2024 ?

La Belgique a transposé la directive par la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, entrée en vigueur le 18 octobre 2024 (article 98).

Son article 30 reprend mot pour mot l'approche « tous risques » et l'environnement physique (§ 3), et liste en 9° « la sécurité des ressources humaines, des politiques de contrôle d'accès et la gestion des actifs ». Le § 5 ajoute une exigence concrète : chaque entité rédige une politique de sécurité des systèmes d'information, la P.S.I., fondée sur son analyse des risques.

L'apport décisif de la loi belge est ailleurs : la manière dont la conformité se prouve. Selon l'article 39, les entités essentielles se soumettent à une évaluation périodique de la conformité, soit par un organisme agréé, soit par une inspection du Centre pour la Cybersécurité Belgique (CCB). L'article 42 précise qu'une entité ainsi évaluée est présumée respecter ses obligations, jusqu'à preuve du contraire. Les entités importantes peuvent s'y soumettre volontairement (article 41).

L'arrêté royal du 9 juin 2024 fixe les deux référentiels admis pour cette évaluation (article 5) : le cadre CyberFundamentals élaboré par le CCB, ou la norme ISO/IEC 27001. C'est dans ces référentiels que l'exigence se précise.

Le référentiel CyberFundamentals parle-t-il des visiteurs ?

Oui, et c'est le texte le plus explicite de toute la chaîne. Le CCB publie le référentiel sur Safeonweb@Work. Une version 2025 a été lancée en octobre 2025 ; elle coexiste avec la version 2023 jusqu'au 18 avril 2027, et l'entité choisit celle qu'elle applique.

Dans la version 2025, la mesure PR.AA-06 s'applique dès le niveau Basic : l'accès physique à tous les actifs, zones critiques comprises, doit être « géré, surveillé et appliqué en fonction du risque ». Les recommandations de mise en œuvre précisent que les prestataires externes, comme le personnel de nettoyage, ne reçoivent un accès qu'en cas de besoin, limité dans le temps et « journalisé électroniquement pour la traçabilité ».

Au niveau Important, le livret officiel CyberFundamentals 2025 va plus loin :

• la mesure PR.AA-06.2 demande que les registres d'accès des visiteurs soient tenus et revus, avec des actions correctrices si nécessaire, et que les visiteurs et le personnel temporaire soient accompagnés ;
• la mesure DE.CM-02.1 demande que les relevés d'accès des visiteurs, « tels que des feuilles de présence ou des enregistrements numériques », soient revus régulièrement pour s'assurer que seules des personnes autorisées sont entrées dans les zones sécurisées.

Retenez le verbe : revus. Un registre que personne ne relit ne remplit pas la mesure, quel que soit son support.

Quels textes mentionnent les visiteurs, et pour qui ?

Le règlement d'exécution 2024/2690 mérite une mention à part. Il ne vise qu'une liste fermée d'entités du numérique, mais il est le seul texte européen à nommer les visiteurs. Son point 13.3 impose en outre des contrôles à l'entrée et une surveillance permanente des locaux contre l'accès physique non autorisé.

Quelles dates s'appliquent en Belgique ?

L'article 22 de l'arrêté royal du 9 juin 2024 donne deux étapes aux entités essentielles qui choisissent la certification, comptées à partir de l'entrée en vigueur de la loi (18 octobre 2024) ou de la date de leur identification :

• dans les 18 mois, soit au plus tard le 18 avril 2026 pour les premières entités, une vérification par un organisme agréé au niveau Basic ou Important de CyberFundamentals, selon l'analyse des risques ;
• dans les 30 mois, soit au plus tard le 18 avril 2027, la certification.

Une entité identifiée plus tard dispose des mêmes délais à compter de son identification. Les entités importantes ne sont pas soumises à ce calendrier, mais restent tenues aux mesures de l'article 30 et peuvent être contrôlées par le service d'inspection du CCB (article 44).

Que va demander concrètement un auditeur ?

Les textes ci-dessus permettent d'anticiper ses questions. L'article 32 de la directive autorise d'ailleurs l'autorité à exiger « les éléments de preuve sous-jacents » d'un audit, et non le seul rapport. Attendez-vous à quatre demandes :

1. La politique : votre P.S.I. décrit-elle l'accès physique des visiteurs et des prestataires, et qui l'accorde ?
2. Les traces : pouvez-vous produire, pour une période donnée, la liste des personnes extérieures entrées, avec l'heure d'arrivée, l'heure de départ et la personne visitée ?
3. La revue : qui relit ces traces, à quelle fréquence, et qu'a-t-on fait quand une anomalie est apparue ?
4. Les prestataires récurrents : leur accès est-il limité dans le temps et journalisé, comme le recommande la mesure PR.AA-06 ?

Une cinquième question n'est écrite dans aucun texte, mais découle des précédentes : le registre que vous montrez est-il celui qui a été tenu ? Un cahier dont on peut réécrire une page, ou un tableur dont on peut corriger une cellule, ne permet pas de le démontrer. C'est un point de preuve, pas une obligation formelle — et c'est souvent là qu'un auditeur insiste.

Comment un registre des visiteurs répond-il à ces exigences ?

Un registre utile pour un audit NIS2 capte peu d'informations, mais les bonnes : le nom du visiteur, sa société, la personne visitée, l'heure d'entrée et l'heure de sortie, et le site concerné. Il doit aussi pouvoir être extrait par période, relu par la personne chargée de la revue, et conservé pendant une durée que vous avez fixée et justifiée — ce dernier point relève du RGPD, que nous traitons dans un article dédié : registre des visiteurs et RGPD.

C'est la démarche de ClearlyAccess : le visiteur scanne un QR code à l'accueil et s'enregistre depuis son téléphone, chaque entrée et chaque sortie est scellée puis chaînée à la précédente, et l'export PDF remis à l'auditeur porte un certificat d'intégrité. Modifier une visite après coup casse la chaîne, et la rupture se voit. Vous pouvez essayer de falsifier la démonstration vous-même. Précisons-le clairement : un registre des visiteurs documente un des volets de NIS2, il ne rend pas une organisation conforme à lui seul.

Questions fréquentes

La directive NIS2 impose-t-elle un registre des visiteurs ?

Non, pas en ces termes. L'article 21 de la directive impose des mesures couvrant l'environnement physique des systèmes et des politiques de contrôle d'accès. Le registre des visiteurs est un moyen courant d'y répondre ; en Belgique, le référentiel CyberFundamentals 2025 le demande explicitement au niveau Important.

Mon entité est « importante » et non « essentielle » : suis-je concernée ?

Oui pour les mesures : l'article 30 de la loi belge s'applique aux entités essentielles et importantes. Non pour l'évaluation périodique obligatoire, qui ne concerne que les entités essentielles ; une entité importante peut s'y soumettre volontairement et bénéficier alors de la présomption de conformité de l'article 42.

Un cahier papier suffit-il pour CyberFundamentals ?

Le référentiel cite lui-même les feuilles de présence parmi les relevés acceptables. Ce qu'il exige, c'est que les relevés soient tenus et revus. Le papier pose deux difficultés en pratique : la revue régulière d'un cahier est laborieuse, et rien ne prouve qu'une page n'a pas été réécrite.

Quelles dates retenir pour une entité essentielle belge ?

Le 18 avril 2026 pour la vérification par un organisme agréé, et le 18 avril 2027 pour la certification, lorsque l'entité a été identifiée dès l'entrée en vigueur de la loi. Une entité identifiée plus tard compte 18 et 30 mois à partir de son identification (arrêté royal du 9 juin 2024, article 22).

Un registre des visiteurs suffit-il pour être conforme à NIS2 ?

Non. Il répond à une partie de la sécurité physique et du contrôle d'accès. NIS2 couvre aussi la gestion des incidents, la continuité, la chaîne d'approvisionnement, la cryptographie, l'authentification et la formation, entre autres.