Checklist de préparation NIS2 : étapes pratiques pour entreprises

Définition

Se préparer à NIS2 consiste à comprendre si et comment la directive s'applique à vous, puis à mettre en place et documenter les mesures de gouvernance, techniques et organisationnelles qu'elle attend. L'article 21 énumère les domaines des mesures de gestion des risques de cybersécurité, notamment l'analyse des risques et les politiques de sécurité, la gestion des incidents, la continuité des activités et la gestion de crise, la sécurité de la chaîne d'approvisionnement, la sécurité de l'acquisition et du développement, y compris le traitement des vulnérabilités, l'évaluation de l'efficacité des mesures, l'hygiène informatique de base et la formation, la cryptographie, la sécurité des ressources humaines et le contrôle d'accès, ainsi que l'authentification multifacteur ou continue. L'article 20 confie aux organes de direction la responsabilité d'approuver et de superviser ces mesures. L'article 23 prévoit une notification des incidents par étapes à l'autorité compétente ou au CSIRT : une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident important, une notification d'incident dans les 72 heures et un rapport final dans un délai d'un mois après la notification d'incident. Le droit national peut apporter des précisions et, pour certains fournisseurs numériques, comme les fournisseurs de services cloud, de centres de données, de services gérés et de DNS, le règlement d'exécution (UE) 2024/2690 de la Commission détaille les exigences techniques.

Public concerné

Cette liste de contrôle s'adresse :

• Aux organisations de taille intermédiaire et plus grandes des secteurs couverts par NIS2 qui évaluent leur situation
• Aux fournisseurs d'entités couvertes qui reçoivent des questionnaires de sécurité liés à NIS2
• Aux équipes de direction qui ont besoin d'une vision structurée des sujets à aborder avec leurs conseillers juridiques et techniques
• Aux responsables informatiques et sécurité qui préparent une analyse des écarts et une feuille de route

Ce qu'il aide à clarifier

Suivre la liste de contrôle permet de clarifier :

• Si votre organisation entre probablement dans le champ d'application et quelle autorité nationale est compétente
• Où les contrôles et la documentation actuels sont en deçà des mesures attendues
• Qui, au sein de la direction, est responsable et de quelle formation ces personnes ont besoin
• Quels écarts traiter en premier et lesquels nécessitent l'intervention distincte de spécialistes

Ce qui est inclus

• Champ d'application : confirmer le secteur, la taille et les États membres où vous exercez ; consigner la conclusion et le raisonnement
• Enregistrement : vérifier si le droit national vous impose de vous enregistrer auprès d'une autorité, et dans quel délai
• Gouvernance : désigner un dirigeant responsable, convenir de la manière dont la direction approuve et revoit les mesures de sécurité, et planifier la formation de la direction
• Évaluation des risques : documenter les services critiques, les systèmes qui les soutiennent et les principaux risques qui les concernent
• Politiques : tenir à jour une politique de sécurité de l'information, des règles de contrôle d'accès et des lignes directrices sur la cryptographie
• Gestion des incidents : définir ce qu'est pour vous un incident important, qui décide et comment seront préparés les rapports à 24 heures, 72 heures et un mois
• Continuité : tester les sauvegardes et la reprise des services critiques, et documenter la communication de crise
• Chaîne d'approvisionnement : lister les principaux fournisseurs TIC, examiner leurs engagements de sécurité et inclure des clauses de sécurité dans les contrats
• Développement sécurisé et traitement des vulnérabilités : définir comment les vulnérabilités sont signalées, triées et corrigées
• Hygiène et formation : organiser régulièrement des formations de sensibilisation, appliquer les correctifs selon le calendrier et imposer la MFA
• Efficacité : planifier des revues ou des tests périodiques pour montrer que les mesures fonctionnent

Ce qui n'est pas inclus

• Un conseil juridique ou une conclusion sur le fait que vous entrez ou non dans le champ d'application
• Une certification, une approbation de conformité ou une opinion d'audit officielle
• Le dépôt de rapports ou d'enregistrements auprès des autorités en votre nom
• L'affirmation que compléter la liste de contrôle satisfait au droit national

Quand le choisir

Utilisez cette liste de contrôle lors de votre première évaluation de NIS2, lorsque la transposition nationale d'un pays où vous exercez est publiée ou mise à jour, ou lorsqu'un client demande des preuves d'une sécurité alignée sur NIS2. Associez-la à un conseil juridique sur le champ d'application et les exigences nationales. Si vous disposez déjà d'un programme fondé sur l'ISO 27001, mettez en correspondance les contrôles existants avec la liste avant de créer de nouveaux documents. Cet article constitue une information générale et non un conseil juridique.

Notre approche

Commencez par le champ d'application et la gouvernance ; les travaux techniques sans implication de la direction ont tendance à s'enliser. Réalisez ensuite une analyse des écarts au regard des mesures, en vous appuyant sur des preuves plutôt que sur des suppositions : configuration, journaux, résultats de tests, contrats et registres de formation. Classez les écarts selon le risque et l'effort, et élaborez une feuille de route avec des responsables et des dates. Notre service Security Baseline Review peut fournir un point de départ documenté : une vue écrite des actifs convenus, des observations classées par gravité et des observations d'écarts de préparation au regard d'un référentiel convenu, lorsque cela est inclus dans le périmètre confirmé. Il étaye les décisions internes et les échanges avec les parties prenantes grâce à une vue documentée de la préparation, que vous pouvez présenter aux organismes de certification et à vos conseillers juridiques. Pour la gestion des incidents, répétez le calendrier de notification au moyen d'un exercice sur table afin que l'alerte précoce à 24 heures soit réaliste plutôt que théorique. Revoyez la feuille de route à mesure que les orientations nationales évoluent.

Security Baseline Review

Foire aux questions

Articles connexes