L'entreprise a-t-elle une politique d'analyse des risques et de sécurisation des systèmes d'information ?

La politique d'analyse des risques est la base des neuf autres mesures

Oui, dans la plupart des cas, il y a quelque chose à dire à ce sujet, car l'analyse des risques est mentionnée comme première mesure à l'article 21, paragraphe 2 de la directive NIS2 et constitue donc le fondement sur lequel repose le reste de la politique. La question ne teste pas seulement l'existence d'un document « politique de risque », mais si l'entreprise examine systématiquement quels systèmes d'information et processus sont vulnérables et quelles mesures y sont opposées. Un client qui pose cette question veut donc en réalité savoir si la sécurité est mise en place sur la base d'une évaluation des risques, ou de manière ad hoc.

Dans la pratique, ce champ est souvent difficile à compléter par un simple oui, car l'analyse des risques n'est généralement pas un document politique distinct mais est intégrée dans d'autres domaines : la politique d'accès est-elle documentée, y compris la gestion des actifs de l'entreprise, y a-t-il un processus de détection et de correction des vulnérabilités, et l'efficacité des mesures de sécurité est-elle testée périodiquement. Sans un document sous-jacent décrivant l'évaluation des risques — même si c'est un simple aperçu interne — un « oui » ici ne peut pas être justifié. Si cette pièce manque, alors « non » ou « partiellement » est la réponse honnête, avec éventuellement une explication sur les éléments qui sont déjà en place.

Où cela découle précisément de l'article 21, paragraphe 2

L'article 21, paragraphe 2, point a) de la directive (UE) 2022/2555 énumère la « politique en matière d'analyse des risques et de sécurité des systèmes d'information » comme première des dix mesures obligatoires et est donc la source la plus directe pour cette question. La directive elle-même ne précise pas comment une analyse des risques doit être mise en place — ce détail est laissé aux règles nationales de transposition ou aux normes telles que l'ISO 27001, qui est d'ailleurs différente de cette question politique : voir l'entreprise est-elle certifiée ISO 27001. Pour vérifier si l'entreprise elle-même est couverte par la directive, consulter l'entreprise elle-même est-elle soumise à la directive NIS2 ou à sa transposition nationale.