Après cette lecture, vous saurez parcourir les mesures de la directive ligne par ligne et noter l'écart, le responsable et la preuve.
Définition
L'article 21(2) liste dix mesures aux points a) à j) : analyse des risques et politiques de sécurité ; gestion des incidents ; continuité d'activité avec sauvegardes et gestion de crise ; sécurité de la chaîne d'approvisionnement ; sécurité de l'acquisition, du développement et de la maintenance, y compris le traitement des vulnérabilités ; évaluation de l'efficacité ; cyberhygiène et formation ; cryptographie ; sécurité des ressources humaines, contrôle d'accès et gestion des actifs ; authentification multifacteur et communications sécurisées.
Pourquoi c'est important
Un long texte juridique devient des lignes qu'on peut attribuer, vérifier et montrer à une autorité.
Chaque ligne demande pourtant du jugement. L'article 21(1) lie les mesures à l'exposition de l'entreprise, à sa taille et à la gravité des incidents possibles : la même ligne peut représenter un travail différent pour deux entreprises.
Comment ça fonctionne
Confirmez le statut de l'entité selon la loi nationale. Faites approuver les mesures par l'organe de direction et planifiez sa formation.
Parcourez les dix mesures. Pour chacune, notez ce qui existe, ce qui le prouve, ce qui manque, qui est responsable et pour quand.
Préparez la notification en dernier : critères d'un incident important, une personne d'astreinte, le contact du CSIRT ou de l'autorité, et des messages prérédigés pour les étapes de 24 heures, 72 heures et un mois.
Un cas concret
Point d), chaîne d'approvisionnement. L'entreprise compte 12 fournisseurs critiques. Sept contrats contiennent des clauses de sécurité, et trois fournisseurs ont été évalués au cours des 12 derniers mois.
Il reste cinq contrats et neuf évaluations à faire. Le responsable des achats s'en charge, pour la fin du troisième trimestre. La liste des fournisseurs et les clauses signées serviront de preuves, et pour l'instant la ligne indique « partiellement en place ».
Bonnes pratiques
- Gardez le texte de la directive à côté de votre propre explication, pour qu'un relecteur puisse vérifier l'interprétation.
- Ajoutez les exigences de votre loi nationale comme lignes supplémentaires.
- Demandez une preuve par ligne.
- Faites un exercice de notification et chronométrez-le dès la première alerte.
Erreurs fréquentes
- Cocher une ligne parce qu'une politique existe. L'autorité demandera ce qui se passe en pratique.
- Oublier l'article 20 : une liste construite par l'informatique a tendance à s'arrêter aux mesures techniques.
- Omettre l'enregistrement auprès de l'autorité, qui se trouve hors de l'article 21 et passe facilement inaperçu.
- Démarrer le compte des 24 heures à la fin de l'enquête. Il court dès le moment où l'on a connaissance de l'incident.
Questions
- Combien de mesures l'article 21 liste-t-il ?
- Dix, aux points a) à j) de son deuxième paragraphe.
- L'authentification multifacteur est-elle obligatoire avec NIS2 ?
- L'article 21(2) j) cite les solutions d'authentification multifacteur ou d'authentification continue, le cas échéant.
- Quels sont les trois délais de notification de NIS2 ?
- Une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification dans les 72 heures et un rapport final dans le mois qui suit la notification.
- Les dirigeants doivent-ils suivre une formation NIS2 ?
- Oui. L'article 20(2) exige que les membres des organes de direction suivent une formation et encourage les entités à la proposer à leur personnel.
- Existe-t-il des règles plus détaillées pour les fournisseurs numériques ?
- Oui. Le règlement d'exécution (UE) 2024/2690 fixe des exigences techniques pour certains fournisseurs numériques, comme les fournisseurs de cloud et de services gérés.