le questionnaire demande comment nous réagissons à une attaque par ransomware

Le ransomware relève de la gestion des incidents, non pas seulement de la continuité

La question sur le ransomware teste généralement votre procédure de réponse, non pas votre technique. Les clients veulent voir qu'il existe un processus documenté : détecter, contenir, rétablir et signaler aux parties appropriées. C'est exactement la procédure de gestion des incidents de sécurité prévue à l'article 21, paragraphe 2, point b de la NIS2 — si vous avez décrit cette procédure, utilisez ce texte ici, et non un chapitre distinct sur le ransomware. Une politique distincte sur le ransomware n'est donc pas obligatoire ; une procédure d'incident qui mentionne le ransomware comme scénario suffit généralement.

Ce qui est souvent demandé séparément, c'est la partie rétablissement : pouvez-vous redémarrer le service sans payer la rançon. Cela relève de sauvegardes et des dispositions d'urgence pour rétablir la prestation de services — point c de la même liste, continuité de l'activité et gestion de crise. Si vous n'avez pas de sauvegarde récente et testée à restaurer, votre réponse au scénario de ransomware est en réalité faible, même si votre processus d'incident est correct sur le papier. Ne répondez à cette partie que lorsque vous savez si le dernier test de restauration a été effectué et quand.

Emplacement exact : article 21, paragraphe 2, points b et c

L'article 21, paragraphe 2 de la NIS2 énumère dix mesures qu'une entité doit prendre ; le point b concerne la gestion des incidents, le point c concerne la continuité de l'activité, y compris la gestion des sauvegardes et la reprise après sinistre. Une attaque par ransomware affecte les deux : la détection et la réponse relèvent du point b, le rétablissement sans rémunérer l'attaquant relève du point c. Dans la Loi sur la cybersécurité — la transposition néerlandaise de la NIS2, qui entre en vigueur le 15 août 2026 — ces obligations figurent pour les entités relevant de la loi ; en cas de doute, vérifiez auprès de l'entreprise elle-même relève de la directive NIS2 ou de sa transposition nationalecar c'est cela qui détermine si c'est une obligation ou simplement une attente du client. Si vous travaillez avec ISO 27001, l'équivalent se trouve dans l'Annexe A : A.5.24 à A.5.26 pour la gestion des incidents, A.5.29 et A.5.30 pour la continuité et la reprise après sinistre. Si vous n'avez rien documenté formellement, la réponse la plus honnête est que vous avez une approche informelle et pas de procédure documentée — c'est une réponse différente de « oui », et il importe de maintenir cette distinction.