L'utilisation de Salesforce fait-elle entrer mon entreprise dans le périmètre de la directive NIS2 ?

La directive européenne NIS2 (transposée en droit français, avec l'ANSSI comme autorité de référence) élargit fortement le nombre d'entités soumises à des obligations de cybersécurité. Beaucoup de DSI se demandent si le simple fait d'utiliser Salesforce fait basculer leur entreprise dans ce périmètre, ou si Salesforce doit lui-même se conformer à NIS2. La réponse tient en une distinction : NIS2 s'applique à des entités selon leur secteur et leur taille, pas à un logiciel donné. Salesforce n'est pas ce qui vous rend « assujetti » — mais s'il traite des données au cœur de votre activité, il devient un maillon à sécuriser.

Ce que régule NIS2 : des entités, pas des logiciels

NIS2 vise à renforcer la cybersécurité d'organisations jugées critiques pour l'économie et la société. L'assujettissement repose sur deux critères combinés :

• Le secteur d'activité : la directive distingue des secteurs « hautement critiques » (énergie, transport, banque, santé, eau, infrastructures numériques, administration publique...) et « critiques » (production, agroalimentaire, services postaux, produits chimiques, recherche...).
• La taille : le principe général cible les moyennes et grandes entreprises (au-delà de 50 salariés ou 10 M€ de chiffre d'affaires), avec des exceptions où la taille n'entre pas en compte pour certains acteurs jugés essentiels quel que soit leur volume.

Deux catégories en découlent : les entités essentielles (contrôle plus strict) et les entités importantes (contrôle plus léger, mais obligations réelles). Le fait d'utiliser un CRM comme Salesforce ne fait entrer aucune entreprise dans NIS2 : c'est votre statut d'entité, déterminé par secteur et taille, qui compte. Pour vérifier votre situation, référez-vous aux publications de l'ANSSI et aux textes de transposition, qui précisent la liste exacte des secteurs concernés.

Si votre entreprise est assujettie : Salesforce devient un actif à protéger

Lorsqu'une organisation entre dans le périmètre NIS2, ses obligations couvrent l'ensemble de son système d'information, dont les applications SaaS métier. Salesforce, s'il porte des processus commerciaux, des données clients ou des flux critiques, entre alors dans le champ des mesures de gestion des risques à documenter. Cela implique notamment :

• L'analyse de risques : cartographier le rôle de Salesforce dans vos processus et les données qu'il héberge.
• Le contrôle des accès : gestion des identités, authentification renforcée, principe du moindre privilège sur les profils et jeux de permissions.
• La traçabilité : journalisation des accès et des actions (Salesforce Shield, event monitoring selon les éditions).
• La continuité : plan de sauvegarde et de reprise, sachant que la sauvegarde des données reste une responsabilité partagée avec le client.
• La gestion des incidents : capacité à détecter, qualifier et notifier un incident dans les délais prévus par la directive.

La sécurité de la chaîne d'approvisionnement : le vrai point d'attention

NIS2 introduit une obligation explicite de maîtriser la sécurité de la chaîne d'approvisionnement et des relations avec les fournisseurs. C'est ici que Salesforce, en tant que prestataire cloud, prend toute son importance. Une entité assujettie doit être capable d'évaluer et de contractualiser les garanties de ses fournisseurs numériques.

Concrètement, pour Salesforce

• Documenter les certifications et attestations de l'éditeur (ISO 27001, SOC 2, etc.) et les zones d'hébergement des données.
• Vérifier les clauses contractuelles relatives à la sécurité, à la notification d'incident et à la localisation des données.
• Intégrer Salesforce dans votre registre des fournisseurs critiques et votre plan d'évaluation périodique.

Le modèle de responsabilité partagée reste central : Salesforce sécurise l'infrastructure et la plateforme, mais la configuration, les droits d'accès, les intégrations et l'usage relèvent de votre responsabilité.

Le rôle des intégrations dans votre exposition

Un Salesforce isolé présente une surface d'attaque limitée. Le risque augmente avec les connexions : API vers l'ERP, flux de synchronisation, connecteurs tiers issus de l'AppExchange, portails clients exposés. Chaque intégration est un point à sécuriser et à documenter dans votre analyse de risques.

• Recensez tous les flux entrants et sortants de Salesforce.
• Évaluez la sécurité des composants tiers installés (permissions, éditeur, mises à jour).
• Privilégiez des échanges chiffrés, des comptes de service dédiés et une gestion rigoureuse des secrets.

Ces sujets rejoignent les bonnes pratiques d'architecture attendues dans tout projet d'intégration sérieux : ce que NIS2 formalise, une gouvernance saine le prévoyait déjà.

Comment procéder de façon pragmatique

1. Qualifier votre statut : déterminez, avec votre RSSI et un conseil juridique, si votre entreprise est entité essentielle ou importante au sens des textes de transposition.
2. Cartographier Salesforce dans votre SI : données, processus, intégrations, utilisateurs internes et externes.
3. Aligner la configuration sur les mesures attendues : accès, journalisation, sauvegarde, gestion des incidents.
4. Formaliser la relation fournisseur : contrats, certifications, revue périodique.

La mise en conformité n'est pas un projet ponctuel mais une démarche continue, à intégrer dans votre gouvernance du CRM.

Vous souhaitez sécuriser et cadrer votre environnement Salesforce ?

Un cadrage précis de votre architecture, de vos intégrations et de vos exigences de conformité aide à traduire NIS2 en actions concrètes sur votre plateforme. INTEGREER, tiers de confiance neutre, peut vous orienter vers des intégrateurs disposant de l'expérience adaptée à ces enjeux, sans engagement de votre part. La description de votre contexte permet une mise en relation ciblée pour comparer plusieurs approches.