NIS2 elle-même se contente de dire qu’une organisation doit recourir à « des solutions d’authentification à plusieurs facteurs ou d’authentification continue […] selon les besoins » (article 21, paragraphe 2, point j, de la directive 2022/2555). Les trois États baltes ont transformé cette seule phrase en trois corpus de règles assez différents. Si vous exploitez des systèmes dans plus d’un de ces pays, ou si vous cherchez à déterminer sur lesquels de vos comptes un régulateur vous interrogera, ces différences comptent. Cet article cite les clauses et indique où chacune laisse une marge d’appréciation.
Commençons par l’exception prévue au niveau de l’UE : les fournisseurs d’infrastructures numériques (DNS, cloud, centres de données, fournisseurs de services gérés, places de marché en ligne) relèvent du règlement d’exécution de la Commission et non des règles nationales. Le point 11.7 de son annexe exige la MFA ou l’authentification continue pour l’accès aux réseaux et systèmes d’information « en fonction de la classification de l’actif », et le point 11.3.2 exige une authentification forte, « par exemple l’authentification multifacteur », pour les comptes à privilèges et d’administration des systèmes (règlement 2024/2690, en vigueur depuis le 7 novembre 2024). Toutes les autres entités relèvent des règles nationales ci-dessous.
Lettonie : le règlement nomme les comptes
Les règles lettones sont les plus précises des trois. Le règlement du Conseil des ministres n° 397, Minimālās kiberdrošības prasības (Exigences minimales de cybersécurité), est en vigueur depuis le 2 juillet 2025 (likumi.lv) en application de la loi nationale sur la cybersécurité (Nacionālās kiberdrošības likums) (likumi.lv).
Le point 52 rend la MFA obligatoire pour :
- 52.1 les comptes d’administrateur et les comptes d’utilisateur standard des systèmes d’information de classe A ;
- 52.2 les comptes d’administrateur des systèmes d’information de classe B ;
- 52.3 les comptes d’utilisateur standard des systèmes de classe B lorsqu’ils font l’objet d’un accès à distance depuis un réseau externe et que cet accès ne passe pas déjà par un VPN chiffré avec MFA.
Les classes sont une propriété de chaque système d’information, et non de votre organisation. Les points 32 à 34 les déduisent des classes de sécurité du système en matière de confidentialité, d’intégrité et de disponibilité : une seule note A en fait un système de classe A ; à défaut, une seule note B en fait un système de classe B ; et tout ce qui fait partie d’une infrastructure critique est de classe A par définition. Un fournisseur de services essentiels peut très bien ne détenir que des systèmes de classe B et C, et le règlement le prévoit : le cycle d’auto-évaluation triennal qu’il fixe couvre toute entité dépourvue de système de classe A.
Le point 55.8 ajoute une règle réseau pour les propriétaires d’infrastructures critiques TIC et pour les fournisseurs de services essentiels : l’accès depuis l’extérieur du réseau interne aux ressources internes « n’est possible qu’au moyen d’une solution VPN chiffrée avec authentification multifacteur ». Le point 56 n’applique aux fournisseurs de services importants que les points 55.1 à 55.4 ; le point 55.8 ne les lie donc pas.
Autour de la règle MFA gravitent des obligations qu’un auditeur vérifiera lors de la même visite : les comptes d’administrateur ne doivent pas servir au travail quotidien et les comptes standard ne doivent pas servir à l’administration (points 51.5 et 51.4) ; les accès aux ressources d’information, tentatives échouées comprises, doivent être journalisés (point 58.3) et conservés 18, 12 ou 6 mois selon la classe du système (point 57). Un rapport d’auto-évaluation, établi sur le formulaire de l’annexe 16 du règlement, est dû au plus tard le 1er octobre de chaque année pour les propriétaires d’infrastructures critiques et pour quiconque détient au moins un système de classe A, et tous les trois ans pour les autres (points 141 et 142) ; il est adressé au Centre national de cybersécurité (Nacionālais kiberdrošības centrs), ou au Bureau de protection de la Constitution (Satversmes aizsardzības birojs) pour les infrastructures critiques.
Ce que le règlement ne fait pas : il ne nomme aucune technologie. « Daudzfaktoru autentifikācija » (authentification multifacteur), et rien de plus : pas un mot sur les SMS, les codes à usage unique, FIDO ou la résistance à l’hameçonnage, et aucune règle sur les mots de passe. Les amendes prévues par la loi atteignent 10 millions d’euros pour les fournisseurs essentiels, ou 2 % du chiffre d’affaires lorsque celui-ci dépasse 500 millions d’euros, et 7 millions d’euros pour les fournisseurs importants, ou 1,4 % du chiffre d’affaires au-delà du même seuil de 500 millions d’euros.
Lituanie : tout le monde, utilisateurs compris, avec un délai de 24 mois
La Lituanie a réécrit sa loi sur la cybersécurité (Kibernetinio saugumo įstatymas) pour NIS2, avec effet au 18 octobre 2024. L’article 14, paragraphe 5, point 11 range « les solutions d’authentification multifacteur ou continue » parmi les éléments requis, et la résolution gouvernementale n° 945 du 6 novembre 2024 (entrée en vigueur le 12 novembre 2024) approuve la description détaillée des exigences de cybersécurité, Kibernetinio saugumo reikalavimų aprašas (e-seimas).
La règle MFA figure au tableau 7 de cette description, ligne 61, et c’est la plus large des trois pays : « l’utilisateur et l’administrateur doivent confirmer leur identité au moyen d’un mot de passe et d’un moyen d’authentification supplémentaire (authentification multifacteur) ». Elle est cochée aussi bien pour les entités essentielles que pour les entités importantes, et elle ne dépend ni de l’endroit où se trouve l’utilisateur ni de la classification du système. Autour d’elle : l’administration uniquement via un compte distinct, non utilisé pour le travail quotidien (ligne 58) ; la suspension des comptes après trois mois d’inactivité pour les utilisateurs et deux pour les administrateurs ; le verrouillage du poste de travail dans un délai de 15 minutes ; et l’interdiction faite aux navigateurs d’enregistrer des mots de passe en dehors d’un gestionnaire de mots de passe dédié. La MFA s’applique aux tiers « lorsque c’est possible ». Le volet organisationnel, y compris une procédure écrite de gestion des accès précisant comment la MFA est utilisée (point 65.9), est exigible 12 mois après l’enregistrement dans le système national d’information sur la cybersécurité ; les exigences techniques du tableau 7, MFA comprise, le sont 24 mois après l’enregistrement (point 72).
La loi impose aussi un audit de cybersécurité au moins tous les trois ans selon la méthodologie du Centre, et une formation des dirigeants au moins tous les deux ans. Les obligations ne naissent qu’à partir de l’enregistrement de l’entité (article 11, paragraphe 2) ; la supervision relève du Centre national de cybersécurité (Nacionalinis kibernetinio saugumo centras, NKSC). Un manquement aux exigences de l’article 14 constitue une « violation dangereuse », le palier d’amende le plus élevé : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant chaque fois retenu. Les institutions budgétaires sont soumises à des plafonds plus bas. La loi a de nouveau été modifiée en juin 2026 ; nous n’avons pas pu consulter ce texte, vérifiez donc si les articles relatifs aux amendes et à l’enregistrement ont changé.
Estonie : la loi est muette, la norme ne l’est pas
La loi estonienne modifiée sur la cybersécurité (Küberturvalisuse seadus) est entrée en vigueur le 1er janvier 2026 (Riigi Teataja). Elle désigne les entités essentielles par üliolulised üksused et les entités importantes par olulised üksused, et elle ne mentionne nulle part l’authentification multifacteur. Son § 7 délègue en revanche les mesures de sécurité à un règlement du gouvernement, et ce règlement laisse aux fournisseurs le choix : mettre en œuvre la norme estonienne de sécurité de l’information E-ITS, ou démontrer que leurs mesures satisfont à la norme ISO/IEC 27001, avec un audit de conformité tous les trois ans (règlement 121).
La MFA apparaît alors à deux endroits. L’annexe du règlement consacrée aux mesures primaires, qui s’applique à tout fournisseur relevant de la loi, leur demande de « privilégier l’authentification en plusieurs étapes » (point 2.5), une formulation souple que les fournisseurs peuvent remplacer par une mesure équivalente. Le catalogue de référence E-ITS est plus ferme : lorsque le système le permet, la MFA remplace l’authentification par simple mot de passe (ORP.4.M8) ; les comptes à privilèges sont protégés par MFA contre les attaquants externes et l’élévation de privilèges (ORP.4.M10) ; pour les besoins de protection élevés, une MFA sécurisée « par exemple avec une carte d’identité ou un jeton » (ORP.4.M21) ; et la MFA pour l’accès aux données personnelles sensibles (CON.2.M18) (catalogue E-ITS).
Les délais sont généreux. Les entités qui remplissaient déjà les critères au 1er janvier 2026 devaient s’enregistrer auprès de l’Autorité des systèmes d’information (Riigi Infosüsteemi Amet, RIA) dans les trois mois, soit au plus tard fin mars 2026, et disposent de trois ans, jusqu’au début de 2029, pour se mettre en pleine conformité. Les nouvelles entités ont trois mois pour s’enregistrer et trois ans à compter du moment où elles remplissent les critères. Les amendes reflètent NIS2 : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles et 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu dans chaque cas. La RIA ne supervise les entités importantes qu’a posteriori.
Côte à côte
| Lettonie | Lituanie | Estonie | |
|---|---|---|---|
| Instrument | Règlement du Conseil des ministres n° 397, en vigueur le 2 juil. 2025 | Loi du 18 oct. 2024 + résolution 945, en vigueur le 12 nov. 2024 | Loi modifiée au 1er janv. 2026 + règlement 121 + E-ITS |
| MFA requise pour | Tous les comptes des systèmes de classe A ; administrateurs en classe B ; utilisateurs distants en classe B sans VPN-MFA | Chaque utilisateur et administrateur, entités essentielles comme importantes | Annexe : « privilégier » l’authentification en plusieurs étapes, pour tous ; E-ITS : MFA lorsque le système le permet et pour les comptes à privilèges |
| Règle d’accès distant | VPN avec MFA pour les infrastructures critiques et les fournisseurs essentiels (55.8) | Aucune règle spécifique | Aucune règle spécifique |
| Technologie nommée | Non | Non | E-ITS cite la carte d’identité ou le jeton en exemple pour la protection élevée |
| Échéance | Maintenant | 24 mois après l’enregistrement pour les mesures techniques | 3 ans à compter de l’assujettissement (2029 pour les entités existantes) |
| Preuve | Auto-évaluation au 1er oct., annuelle ou triennale | Audit au moins tous les 3 ans | Audit E-ITS ou ISO 27001 tous les 3 ans |
| Autorité de contrôle | Centre national de cybersécurité ; Bureau de protection de la Constitution pour les infrastructures critiques | Centre national de cybersécurité (NKSC) | Autorité des systèmes d’information (RIA) |
Ce que cela signifie pour les comptes que vous avez réellement
- VPN et accès distant. En Lettonie, un VPN RADIUS chiffré avec second facteur est ce que le point 55.8 demande aux propriétaires d’infrastructures critiques et aux fournisseurs essentiels, et il fait sortir les utilisateurs de classe B du champ du point 52.3 ; sans lui, chaque utilisateur distant de classe B a besoin de la MFA sur l’application elle-même. En Lituanie, le VPN ne change rien à la règle, puisque chaque utilisateur a de toute façon besoin de la MFA. En Estonie, pour un VPN compatible RADIUS, attendez-vous à des questions sur la formule E-ITS « lorsque le système le permet ».
- Administrateurs. C’est sur les comptes d’administrateur que les trois règles se recoupent le plus : la Lettonie exige la MFA pour eux sur les systèmes de classe A et B, la Lituanie partout, E-ITS sur tous les comptes à privilèges. La Lettonie et la Lituanie exigent en outre toutes deux un compte d’administration distinct, non utilisé pour le travail quotidien. Les consoles de pare-feu et de serveur qui acceptent encore un simple mot de passe sont les écarts les plus susceptibles d’être relevés.
- Preuve. La Lettonie veut que les échecs de connexion soient journalisés et conservés ; la Lituanie veut une procédure écrite indiquant comment la MFA est utilisée ; l’Estonie veut un audit au regard d’une norme. Une méthode d’authentification qui produit un enregistrement signé et horodaté de chaque approbation vous fournit des éléments pour les trois, sans avoir à les reconstituer après coup.
- Technologie. Aucune loi balte ne prescrit de méthode, et aucune n’emploie les mots « résistant à l’hameçonnage ». Les orientations de mise en œuvre de l’ENISA recommandent une MFA résistante à l’hameçonnage « partout où c’est possible » et placent FIDO2 en tête de liste ; les textes nationaux s’arrêtent à « multifacteur ». C’est un plancher, pas une cible, et l’article sur l’authentification NIS2 explique ce qui sépare un facteur qui satisfait à la lettre du texte d’un facteur qui résiste à un attaquant.
Notakey ajoute une approbation sur téléphone, affichant le service, le compte et l’adresse source, aux VPN RADIUS, aux connexions aux pare-feu et aux serveurs, à Windows et aux applications web, et laisse un enregistrement signé de chaque approbation sur une appliance que vous pouvez exploiter dans votre propre centre de données. Le guide 2FA VPN montre comment Notakey répond à une exigence d’accès distant de classe B en Lettonie ou à la ligne 61 du tableau 7 en Lituanie. Demandez une démo et nous transposerons dans un pilote les comptes que nomme votre réglementation nationale, ou essayez la démo en ligne d’abord, sur votre propre téléphone.
Cet article cite les textes juridiques tels que publiés au 29 octobre 2026 et fournit une information générale, non un avis juridique. Vérifiez les obligations, classes et échéances qui s’appliquent à votre organisation auprès d’un conseil qualifié, et consultez les modifications lituaniennes de juin 2026, que nous n’avons pas pu lire au moment de la rédaction.