Que faut-il savoir sur les dix mesures de NIS2 ?
La directive NIS2 décrit dix types de mesures permettant aux organisations de démontrer leur sécurité numérique. Il ne s'agit pas de dix règles isolées à cocher une par une, mais de dix domaines sur lesquels une organisation doit disposer de politiques et de procédures. De nombreux donneurs d'ordre reprennent littéralement ces domaines dans leur questionnaire de cybersécurité, car ils doivent à leur tour pouvoir démontrer que leurs fournisseurs s'y engagent.
Que la directive s'applique directement à votre organisation dépend du secteur dans lequel vous opérez et de votre taille. Beaucoup de petites entreprises ne tombent pas directement sous le coup de NIS2, mais reçoivent néanmoins les questions car leur client en est assujetti et la chaîne doit les transmettre. C'est précisément cette différence entre être directement assujetti à la directive et faire partie de la justification de quelqu'un d'autre qui crée une grande confusion.
Les dix domaines dont il s'agit
La directive mentionne notamment l'analyse des risques et la politique de sécurité de l'information, le traitement des incidents, la continuité des activités et la gestion de crise en cas de perturbation, ainsi que la sécurité de la chaîne d'approvisionnement. Elle mentionne également la sécurité lors de l'acquisition, du développement et de la maintenance des systèmes de réseau et d'information, les politiques d'évaluation de l'efficacité des mesures, et les bonnes pratiques en matière d'hygiène informatique et de formation à la sensibilisation des employés. Les derniers domaines concernent les politiques relatives à l'utilisation de la cryptographie et du chiffrement, la sécurité du personnel et la politique d'accès, la gestion des actifs de l'organisation, ainsi que l'utilisation de l'authentification multifacteur ou de solutions comparables pour une communication sécurisée.
Il est important de noter qu'il s'agit de domaines politiques, non d'une liste de contrôle avec une seule bonne réponse. Une entreprise d'installation comptant dix employés donnera probablement une réponse différente et plus simple dans chacun de ces domaines qu'un prestataire de services informatiques comptant cent employés. Les autorités de contrôle examinent si les mesures conviennent aux risques propres à l'organisation, et non s'il existe un modèle uniforme s'appliquant à tous.
Pourquoi votre client vous la demande
Si votre donneur d'ordre est assujetti à NIS2, celui-ci doit pouvoir démontrer que ses fournisseurs accordent également une attention à ces domaines. C'est pourquoi les questionnaires couvrent souvent littéralement les dix domaines : avez-vous une procédure de traitement des incidents, utilisez-vous l'authentification multifacteur, avez-vous une politique pour vos fournisseurs. Pour vous, en tant que destinataire du questionnaire, cela signifie souvent que les mêmes dix sujets reviennent avec une légère variation de formulation chez chaque client qui envoie la liste.
C'est aussi le plus grand problème pratique : non pas le contenu des questions, mais leur répétition. Les mêmes informations sur votre politique de mot de passe, votre procédure de sauvegarde et votre traitement des incidents sont demandées dans dix formats différents, avec dix portails différents. Supplia a été conçu pour réduire ce travail répétitif : vous répondez à ces sujets une seule fois dans votre propre dossier de chaîne, et le système reconnaît les questions similaires dans la liste de chaque nouveau client. Vous confirmez vous-même chaque réponse par oui ou par non avant qu'elle ne soit envoyée au portail de votre client ; Supplia ne juge rien et ne se connecte nulle part.
Comment maîtriser cela vous-même
Il est utile de ne pas commencer par les dix domaines eux-mêmes, mais par ce que vous avez déjà : une politique de mot de passe, un calendrier de sauvegarde, une liste de qui a accès à quels systèmes. Beaucoup de ces éléments existent déjà, mais sont dispersés dans des dossiers et dans les esprits. Les organiser est souvent plus de travail que de mettre en place de nouvelles mesures. l'explication par sujet dans la base de connaissances parcourt les dix domaines un par un avec ce qui s'y rapporte.
Si vous souhaitez rapidement savoir lequel de ces domaines semble déjà en ordre dans votre situation et lequel demande de l'attention, alors la vérification de reconnaissance en quelques questions vous donne une première indication. Pour ceux qui souhaitent savoir d'où proviennent les informations sur Supplia et comment elles sont conservées, l'article la page sur notre méthode de travail l'explique.
La question de savoir si NIS2 s'applique à votre cas spécifique et quelles mesures correspondent exactement à cette situation est une question à soumettre à un juriste ou à l'autorité de contrôle compétente. Cet article décrit la directive en termes généraux et ne remplace pas ce conseil.
Reconnaissez-vous les questions que votre client vous envoie, mais souhaitez-vous d'abord voir comment le remplissage fonctionne en pratique ? Lisez la foire aux questions sur le remplissage et la soumission ou lancez l'analyse rapide gratuite pour voir quels sujets concernent votre entreprise.