Conformité Proxmox VE et NIS2 : quelles preuves fournir

Ce que NIS2 demande

La directive (UE) 2022/2555, dite NIS2, s’adresse aux entités essentielles et importantes de nombreux secteurs. Trois articles structurent ce qu’un auditeur ou une autorité attendra :

Article 21 : des mesures de gestion des risques de cybersécurité, dont une liste minimale en dix points (a à j), du contrôle d’accès aux sauvegardes en passant par l’authentification multifacteur.
Article 20 : les organes de direction approuvent ces mesures, en supervisent la mise en œuvre, peuvent en être tenus responsables et doivent suivre une formation.
Article 23 : un incident important donne lieu à une alerte précoce dans les 24 heures, à une notification dans les 72 heures, puis à un rapport final au plus tard un mois après la notification.

Pour certaines entités du numérique, dont les fournisseurs de services d’informatique en nuage, de centres de données et de services gérés, le règlement d’exécution (UE) 2024/2690 détaille ces mesures. Son annexe parle directement à un administrateur Proxmox VE : surveillance et journalisation (3.2), sauvegardes et redondance (4.2), gestion des configurations (6.3), gestion des changements (6.4), correctifs (6.6), comptes à privilèges (11.3), authentification multifacteur (11.7), inventaire des actifs (12.4).

En France, au 12 octobre 2026, la directive n’est pas encore transposée : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, devait être examiné par l’Assemblée nationale le 7 octobre 2026 ; cet examen a été reporté sans nouvelle date. Les mesures techniques ci-dessous ne dépendent pas de ce calendrier.

Des mesures aux preuves Proxmox VE

Tous les points de l’article 21 ne concernent pas l’hyperviseur. L’analyse des risques (a), la sécurité de la chaîne d’approvisionnement (d), l’évaluation de l’efficacité des mesures (f) et la formation (g) sont d’abord organisationnelles. Les autres trouvent dans Proxmox VE des preuves concrètes.

Contrôle d’accès et comptes à privilèges (point i)

Preuve attendue : la liste des comptes, de leurs rôles et de leurs droits effectifs, à une date donnée, et la trace de leurs modifications.

pveum user list --full
pveum acl list
pveum user permissions jean@pve --path /

Conservez ces sorties datées à chaque revue des accès, et justifiez chaque compte détenant Administrator sur /.

Authentification multifacteur (point j)

pveum user tfa list

Preuve attendue : chaque compte d’administration a un second facteur. Si le second facteur est imposé au niveau d’un royaume, conservez aussi la configuration du royaume.

Comptes techniques et tokens API

pveum user token list supervision@pve
pveum user token permissions supervision@pve grafana

Un token est un accès à privilèges comme un autre : son propriétaire, ses droits et sa date d’expiration font partie de la revue des accès.

Continuité d’activité et sauvegardes (point c)

Preuve attendue : les tâches de sauvegarde (/etc/pve/jobs.cfg), leur rétention (prune-backups), le résultat des dernières exécutions et, surtout, des restaurations testées et datées. Une tâche configurée ne prouve pas qu’une restauration fonctionne.

pvenode task list --typefilter vzdump --errors

Maintenance et correctifs (point e)

Preuve attendue : les dépôts configurés (/etc/apt/sources.list.d/*.sources) et la date des mises à jour de chaque nœud, faites avec apt full-upgrade. Un écart de version durable entre nœuds doit être expliqué.

Configurations et changements (point e ; règlement, 6.3 et 6.4)

Preuve attendue : une configuration de référence pour les hôtes et les invités, et la trace contrôlée de chaque changement. Les configurations des invités sont des fichiers texte au format « option: valeur » dans le système de fichiers du cluster : /etc/pve/qemu-server/<VMID>.conf pour les VM, /etc/pve/lxc/<CTID>.conf pour les conteneurs. Les copier régulièrement et comparer les versions donne une base de référence ; ces fichiers ne disent pas pour autant qui a fait le changement ni pourquoi. Une procédure de changement (demande, validation, mise en œuvre, vérification) relie chaque écart observé à une décision, et c’est ce lien que l’auditeur cherchera.

Cryptographie (point h)

Preuve attendue : le certificat de l’interface (pvenode cert info) et le chiffrement côté client des sauvegardes vers Proxmox Backup Server, avec l’endroit où la clé est conservée hors du cluster.

Inventaire des actifs (point i)

Preuve attendue : la liste des nœuds, des VM et des conteneurs avec leur rôle et leur propriétaire. pvecm nodes donne les membres du cluster ; l’inventaire des invités doit être rapproché de ce qu’ils hébergent, ce que Proxmox VE ne sait pas.

Sécurité du réseau

Preuve attendue : l’état du pare-feu (pve-firewall status), le contenu de l’IPSet management et les restrictions d’accès à l’interface web. La checklist de durcissement Proxmox VE détaille ces réglages et leurs précautions.

Incident : reconstituer la chronologie

Notifier dans les 72 heures suppose de savoir rapidement ce qui s’est passé. Sur Proxmox VE, l’historique des tâches de chaque nœud donne qui a lancé quoi et quand :

Ici depuis le 5 octobre 2026 à 0 h UTC (secondes depuis l’epoch Unix) :

pvenode task list --since 1791158400 --userfilter jean@pve
pvenode task log <UPID>

Il manque cependant la valeur modifiée et sa valeur précédente : vous saurez qu’une machine a été reconfigurée, pas ce qui a changé. Le guide de l’historique des changements Proxmox VE revient sur ce point.

Rendre la preuve recevable

Datée : une sortie de commande sans date ne prouve rien sur la période contrôlée.
Conservée : ne comptez pas sur l’historique des tâches d’un nœud pour couvrir toute la période contrôlée ; exportez ce dont vous aurez besoin.
Comparable : un auditeur demande l’état à deux dates et ce qui a changé entre les deux.
Rattachée à une mesure : chaque preuve répond à un point de l’article 21 ou de votre politique interne, sinon elle n’est qu’un document de plus.

Le guide de l’audit de sécurité Proxmox VE donne la méthode complète pour produire ces relevés nœud par nœud.

Le dossier à préparer pour l’auditeur

Pour chaque période contrôlée, un dossier Proxmox VE tient en quelques pièces, chacune datée et rattachée à son point de l’article 21 :

la liste des comptes, des ACL et des droits effectifs des comptes d’administration, au début et à la fin de la période ;
la liste des seconds facteurs et celle des tokens API, avec leur propriétaire et leur expiration ;
les tâches de sauvegarde, leur rétention, leurs échecs sur la période et le compte rendu d’au moins une restauration réelle ;
les dépôts configurés et les dates de mise à jour de chaque nœud ;
l’état du pare-feu et de l’IPSet de gestion ;
l’inventaire des nœuds et des invités, avec leur rôle et leur propriétaire ;
la liste des changements de la période, chacun relié à une demande validée.

Les six premières pièces se produisent avec les commandes ci-dessus ; la septième est celle que les journaux natifs ne permettent pas de reconstituer seuls.

Ce que ProxTrace apporte, et ce qu’il ne couvre pas

ProxTrace transforme ces relevés ponctuels en preuves continues pour la partie Proxmox VE :

l’historique des changements avec la valeur avant et après, qui répond à la gestion des changements et à la reconstitution d’un incident ;
pour la revue des accès (point i), les changements d’utilisateurs, de groupes, de rôles et permissions (ACL) de Proxmox VE, détectés d’une collecte à l’autre avec l’état avant et après et notifiés : la trace que Proxmox VE ne conserve pas lui-même ;
les 115 contrôles de bonnes pratiques Proxmox VE (comptes et rôles, second facteur, tokens, SSH, pare-feu, dépôts, sauvegardes…) recalculés toutes les cinq minutes, avec quatre statuts dont « Non évaluable » : une donnée absente n’est jamais comptée comme un succès ;
une vue par référentiel qui rattache ces contrôles aux dix mesures de l’article 21.2, à l’annexe A d’ISO 27001 et aux CIS Controls, exigence par exigence, avec un export pour le dossier d’audit ;
des rapports scellés, qui gardent l’état d’une date tel qu’il a été évalué, et leur export depuis la console ;
un agent en lecture seule sur les nœuds, qui ne modifie rien.

ProxTrace ne couvre ni l’analyse des risques, ni la notification aux autorités, ni la sécurité des fournisseurs, ni la formation, ni ce qui se passe à l’intérieur des machines virtuelles. Il ne rend pas une organisation conforme à NIS2 : il fournit une partie des éléments qu’elle devra présenter.

Ce que cette page n’est pas

Cette page est un guide technique, pas un conseil juridique. Le périmètre exact des obligations dépend de votre secteur, de votre taille et du droit national applicable ; pour la France, suivez les publications de l’ANSSI et l’avancement du projet de loi.