le questionnaire demande si nous avons un plan de crise en cas d'incident de cybersécurité

Le plan de crise relève de la continuité de service, non de la réaction aux incidents

La question d'un « plan de crise en cas de piratage » porte en pratique sur deux choses à la fois, et la réponse dépend de laquelle des deux vous possédez. La première est un plan de continuité : comment le service reste-t-il opérationnel ou comment le rétablissez-vous, indépendamment de ce qui s'est exactement passé. La seconde est un plan de réaction aux incidents : qui fait quoi dès qu'un piratage est découvert, qui doit être informé, comment l'incident est-il maîtrisé. De nombreux entrepreneurs ont le second mais pas le premier, ou inversement, et répondent alors « oui » à une question qui porte en réalité sur les deux.

Si vous n'avez qu'un plan informel — quelques accords que tout le monde connaît mais qui ne sont consignés nulle part — alors « non » est généralement la réponse la plus honnête, avec une explication indiquant que l'approche existe bien mais n'est pas formalisée. Si vous avez un plan de continuité sans composante cyber distincte, vérifiez si celui-ci mentionne explicitement un incident cyber comme scénario ; si ce n'est pas le cas, c'est une lacune que le client signale souvent. Ce sujet est fortement lié à l'existence de sauvegardes et d'un plan d'urgence pour rétablir le service et à la mise en place d'une procédure de traitement des incidents de sécurité — répondez d'abord à ces deux questions, alors celle-ci trouvera généralement d'elle-même sa place.

Où cela revient dans l'article 21 paragraphe 2 de la NIS2

L'article 21 paragraphe 2 de la Directive (UE) 2022/2555 mentionne « la continuité de service, notamment la gestion des sauvegardes et la reprise après sinistre, ainsi que la gestion des crises » parmi les dix mesures obligatoires — ainsi la continuité et la gestion des crises y figurent ensemble, non comme deux exigences distinctes. L'annexe A de la norme ISO/IEC 27001 connaît une mesure de contrôle similaire pour la préparation des TIC en cas d'interruption de service. La loi néerlandaise sur la cybersécurité, qui transpose cette obligation, entrera en vigueur le 15 août 2026.