Existe-t-il une procédure pour traiter les incidents de sécurité ?

La gestion des incidents est l'une des dix mesures obligatoires

Oui, et cette question teste spécifiquement la deuxième des dix mesures de l'article 21 paragraphe 2 NIS2 : « gestion des incidents » figure littéralement à côté de l'analyse des risques en tant que catégorie distincte. Quiconque reçoit cette question ne doit donc pas seulement déclarer qu'il existe une procédure, mais aussi montrer ce qu'elle contient : comment un incident est signalé, qui s'en charge, quelles étapes sont suivies et comment est enregistré ce qui s'est passé. Une procédure sans responsable ou sans étapes documentées ne convaincra pas un auditeur, même si le document existe.

La preuve concrète est généralement une description de processus ou un runbook, comprenant une classification des incidents (gravité, impact), un point de signalement ou une personne de contact, et une étape d'évaluation après coup. Cette évaluation n'est pas cosmétique : sans un moyen établi de enregistrer et conserver les événements dans les systèmes, il n'y a aucune base pour reconstituer un incident ou prouver qu'il a été traité. Si la procédure manque encore, alors « non, en cours de développement » est une réponse plus honnête que d'inventer une procédure qui n'existe pas — la liste de questions demande ce qui existe, non une intention.

Comment cela s'articule avec la continuité et l'analyse des risques

L'article 21 paragraphe 2 énumère les dix mesures comme un ensemble, et la gestion des incidents n'est pas isolée du reste. Un incident qui affecte la prestation de services active souvent le point relatif à des sauvegardes et d'un dispositif de secours pour rétablir la prestation de services; une procédure de gestion des incidents qui ne se réfère pas au plan de rétablissement est incomplète. De plus, la gestion des incidents est l'aboutissement de la politique relative à l'analyse des risques et à la sécurité des systèmes d'information: l'analyse des risques prévoit ce qui peut mal tourner, la gestion des incidents règle ce qui se passe si cela tourne mal. Un client qui pose la question sur la procédure vérifie donc implicitement si ces deux éléments s'articulent correctement.