Existe-t-il un processus pour détecter et corriger les vulnérabilités ?

La gestion des vulnérabilités est l'une des dix mesures

Oui, c'est une question récurrente dans chaque questionnaire NIS2, car la politique de gestion des vulnérabilités figure comme élément distinct parmi les dix mesures de l'article 21, paragraphe 2. On s'attend à un processus qui détecte structurellement les vulnérabilités dans les logiciels, systèmes et réseaux — par des scans, des notifications des fournisseurs ou du renseignement sur les menaces — et qui établit dans quel délai un correctif ou un palliatif est appliqué, en fonction de la gravité. Une seule solution antivirus ou une mise à jour occasionnelle ne constitue pas une réponse à cette question ; ce qui est demandé, c'est le processus, non l'outil.

Ce qui compte comme preuve : un document de procédure ou de politique avec la fréquence des scans, les délais de correction par classe de risque et une fonction responsable. Si cela manque, alors « non » ou « partiellement » est la réponse honnête — une simple configuration d'outil sans processus en arrière-plan ne suffit pas. Les clients posent souvent cette question en combinaison avec la question s'il existe une procédure de traitement des incidents de sécurité, car un correctif manqué est souvent la cause d'un incident. La gestion des vulnérabilités est aussi parfois liée à la question si l'efficacité des mesures est examinée périodiquement, car un processus de scan sans contrôle du suivi est dans la pratique un processus sur papier.

Où cela figure dans la directive : article 21, paragraphe 2

L'article 21, paragraphe 2, de la Directive (UE) 2022/2555 mentionne explicitement « la gestion des vulnérabilités » comme l'une des dix mesures qui font partie des mesures de gestion des risques que les entités doivent prendre. La directive elle-même ne prescrit pas de fréquence de scan ou de délai de correction — ce niveau de détail est laissé à l'analyse des risques propre à chacun et, le cas échéant, à l'élaboration sectorielle ou nationale. Un questionnaire qui demande un chiffre concret (par exemple « correctifs critiques dans un délai de X jours ») teste donc une norme propre au client, non un minimum NIS2. Lors du remplissage, faites attention à la distinction entre « nous avons un processus » et « nous respectons toujours notre propre délai » — ce sont deux réponses différentes à deux questions différentes, même si le questionnaire les fusionne.