la liste de questions demande si nous avons établi un plan de réponse aux incidents

Le plan de réponse aux incidents est l'une des dix mesures de l'article 21

Oui, c'est une composante identifiable : l'article 21, paragraphe 2, point b de la directive NIS2 mentionne « incident handling » comme l'une des dix mesures obligatoires. Le client ne demande pas ici une simple capacité vague à réagir un jour en cas de piratage, mais une procédure formalisée : qui signale un incident, qui évalue l'impact, qui décide de l'escalade et de la communication, et dans quel délai. Si cette procédure existe et est documentée, c'est une réponse affirmative avec le document comme preuve. S'il n'existe pas, ou s'il n'existe que dans les esprits des gens, alors « non » est la réponse honnête — un « oui » tiède sans document sous-jacent cause plus de dégâts lors d'un audit qu'un non assorti d'une explication selon laquelle il est en cours de développement.

Attention à la différence avec la question relative à la détection et au repérage : un plan de réponse aux incidents concerne ce qui se passe après qu'un problème a été identifié, non comment les vulnérabilités sont découvertes — ce dernier point relève de le processus d'identification et de correction des vulnérabilités. Certains questionnaires posent cela comme une question distincte, d'autres le regroupent avec la continuité (« comment restaurez-vous la fourniture de services »), ce qui est un sujet différent et est traité via la question relative aux sauvegardes et aux mesures de secours. Il convient donc de conserver dans le dossier de chaîne la réponse aux incidents et la continuité comme un document distinct, même s'ils figurent en pratique dans un seul document.

Où cela figure dans la directive et la norme

L'article 21, paragraphe 2, point b de la directive (UE) 2022/2555 mentionne « incident handling » littéralement comme une mesure obligatoire aux côtés des neuf autres de ce paragraphe. Dans la norme ISO/IEC 27001, cela se retrouve à l'Annexe A, parmi les mesures de contrôle relatives à la gestion des incidents de sécurité de l'information — quiconque est déjà certifié selon la norme ISO 27001 a vraisemblablement cette preuve disponible. La Loi sur la cybersécurité transpose l'article 21 en règles néerlandaises, mais n'entre en vigueur que le 15 août 2026 ; jusqu'à cette date, la directive elle-même constitue le cadre de référence pour vérifier que cela est déjà en ordre.