Conformité NIS2 : comment la construire efficacement

Pour assurer une solide conformité à la directive NIS2, il est essentiel de définir, au sein des entreprises, des procédures claires. Découvrez comment faire pour limiter les risques de responsabilité au sein des entreprises.

Sommaire

1. Priorisation
2. Les 3 principales mesures à prendre dans l’immédiat
3. Respecter les délais de signalement
4. Couverture de la responsabilité pour la direction
5. Conformité NIS2 dans la chaîne d’approvisionnement
6. Conformité NIS2 sans certification

Points à retenir : conformité NIS2

• Il ne s’agit pas d’un projet limité dans le temps, mais d’un processus continu de gestion du risque
• L’authentification multifacteur (MFA), les sauvegardes de type « air gap » et l’application automatisée de correctifs offrent un premier niveau pour remédier aux vulnérabilités susceptibles d’avoir les conséquences les plus importantes.
• Les incidents graves doivent faire l’objet d’un signalement obligatoire en plusieurs étapes dans le respect de délais qui sont fixés par la législation nationale.
• La responsabilité personnelle de la direction générale est directement engagée en cas de manquement aux obligations de surveillance.
• La gestion du risque humain tout au long de la chaîne d’approvisionnement nécessite l’adoption d’une approche mesurable et axée sur le facteur humain

Guide pour votre stratégie NIS2

Ces articles spécialisés abordent les principaux points à connaître sur la directive NIS2 et vous donnent les bases pour avancer en toute confiance.

Lire la suite

Glossary

Checkliste NIS2 : les grandes étapes pour structurer votre implémentation

Lire la suite

Glossary

NIS2 : à qui s’applique la directive NIS2 ? Le point pour les entreprises

Lire la suite

Glossary

La directive NIS2 : exigences, échéances et implémentation en 2026

Définition des priorités : la conformité NIS2, un processus continu

La conformité NIS2 n’est pas un projet limité dans le temps. Les organismes de réglementation cherchent avant tout des preuves d’une gestion continue des risques. Il ne s’agit pas de déployer des mesures ponctuelles avant une date limite. Chercher à présenter une forteresse totalement imprenable dès le premier audit, c’est se fixer les mauvaises priorités. Ce n’est pas ce que les auditeurs attendent. Ils veulent voir que l’entreprise connaît les principaux risques auxquels elle est exposée et qu’elle prend des mesures adaptées pour les gérer. Concrètement, il faut mettre en place une dynamique d’identification et de gestion des risques qui ne s’arrête jamais. Chaque mesure de protection qui est prise doit faire l’objet d’un contrôle en continu et chaque changement doit être correctement noté. Notre guide sur la directive NIS2 présente la situation actuelle dans toute l’UE.

Notre test NIS2 vous donnera un premier aperçu de votre situation en matière de conformité NIS2 :

NIS2 Check in 3 minutes

Go to the NIS2 assessment

Find out how well your business is prepared for NIS2 – quickly, practically and free of charge.

Les 3 principales mesures à prendre dans l’immédiat pour assurer la conformité NIS2

Si vous essayez de remplir en même temps toutes les exigences de la directive NIS2, vous êtes sûr de ne progresser que très lentement dans chaque domaine. Pour être plus efficace, il est conseillé de se concentrer d’abord sur les mesures qui permettent de limiter un maximum de risques et qui passent le mieux les audits. La directive NIS2 n’exige pas seulement des politiques documentées : elle veut des contrôles techniques qui fonctionnent réellement. Il existe trois domaines qui résistent de manière optimale à la pression des audits et limitent un maximum de risques.

Authentification multifacteur (MFA) complète

Les identifiants volés restent l’un des points d’entrée les plus fréquemment utilisés par les attaquants. Une bonne stratégie MFA permet de résoudre efficacement ce problème, à condition qu’elle couvre plus que le simple accès VPN à distance. Il faut appliquer la même protection aux droits d’administrateur en interne et aux services sur le cloud. Chaque utilisateur opérant sur le réseau doit être en mesure de prouver son identité de manière fiable. Toute lacune dans ce domaine entraîne des vulnérabilités difficiles à contenir une fois exploitées.

Solides plans de sauvegarde et de restauration

Quel que soit votre degré de préparation, une attaque par rançongiciel peut avoir de graves conséquences. Les entreprises qui réussissent à s’en remettre rapidement sont celles qui ont mis en place, en amont, des stratégies de sauvegarde éprouvées et bien documentées, reposant sur des sauvegardes immuables qui sont physiquement ou logiquement isolées du reste du réseau. Il faut également que ces plans soient régulièrement soumis à un test de résistance. Rien ne sert de rédiger des procédures si personne ne les a jamais réellement appliquées.

Gestion automatisée des correctifs

Les vulnérabilités non traitées sont une porte ouverte pour les attaquants. Étant donné le nombre de correctifs qui sortent chaque mois pour remédier aux failles des systèmes d’exploitation et autres outils, ce serait peine perdue de tenter de les installer un à un manuellement. Il existe une façon simple pour rester à jour : la gestion automatisée des correctifs. Elle permet de déployer rapidement les mises à jour importantes, de rester cohérent dans l’application des correctifs, sans jamais risquer d’oubli humain.

Les mesures techniques ont cependant leurs limites. Si vos collaborateurs ne savent pas repérer une tentative de phishing ou ignorent comment ils doivent réagir lorsque quelque chose leur semble suspect, les contrôles qui ont été mis en place autour d’eux sont beaucoup moins efficaces. C’est pourquoi la formation de sensibilisation à la cybersécurité et le recours à une plateforme de gestion des risques humains doivent être envisagés en parallèle de la MFA et de la gestion des correctifs. Besoin de plus détails pour savoir à quoi votre checkliste NIS2 devrait ressembler ? Nous vous avons mâché le travail.

Respecter les délais de signalement : des procédures de réponse bien établies en cas d’urgence

La NIS2 demande aux entreprises de réagir rapidement lorsqu’elles constatent un incident grave. Dans de nombreux cas, une première notification doit être envoyée à l’autorité compétente dans les 24 heures, suivie d’informations plus détaillées suit dans les 72 heures. Le rapport final est émis plus tard, généralement dans un délai d’un mois.

Cela ne signifie pas qu’il faut signaler immédiatement la moindre alerte technique. Entre un événement suspect et un incident significatif, il y a une grande différence. Il faut avant tout se poser la question de savoir si le fonctionnement matériel de l’entité est affecté, si les services essentiels sont perturbés ou si l’impact est assez grave pour nécessiter un rapport formel. Il est important que chacun sache quel rôle il doit jouer avant qu’un incident ne survienne. Il faut clarifier en amont les points suivants : qui doit être prévenu, qui décide de la suite des événements et comment les joindre ? Faute d’informations claires, vous risquez de perdre un temps précieux lorsqu’un incident se déclenchera.

Il n’est pas pour autant nécessaire de mettre en place un processus complexe dès le premier jour, notamment au sein des entreprises les plus petites. Souvent, une simple liste de questions pratiques suffit. Si un ransomware frappe en pleine nuit, il faut que la personne qui le découvre sache qui appeler en premier. Ces numéros doivent être disponibles hors ligne et non cachés dans un système qui pourrait déjà être en panne. Il est également important de déterminer à l’avance les personnes abilitées à déconnecter les systèmes affectés ou à couper l’accès à Internet si nécessaire. Lorsque ces bases ont été posées de façon claire, il est souvent plus facile de gérer les heures qui suivent le déclenchement d’un incident.

Responsabilité de la direction dans le cadre de la directive NIS2

La haute direction est nécessairement impliquée dans tout ce processus. Selon la directive, les membres du conseil d’administration et les dirigeants sont directement responsables en cas de non-respect des obligations qui incombent à la société. Trois domaines de responsabilité sont, dans ce contexte, non négociables :

• Les stratégies de sécurité nécessitent une approbation ferme de la part de la direction. Celle-ci doit s’engager concrètement dans ce qui est proposé, et non se contenter d’approuver une ligne budgétaire.

• L’approbation d’un plan ne constitue qu’un point de départ. Les dirigeants doivent s’intéresser de près à l’implémentation pour savoir si elle fonctionne réellement.

• La formation de sensibilisation à la cybersécurité n’est pas réservée aux collaborateurs uniquement. Les cadres dirigeants peuvent également ouvrir la porte à des menaces, soit par un traitement inadapté des informations sensibles, soit parce qu’ils ne savent pas repérer les signaux d’alerte.

Refuser de prendre ces responsabilités peut coûter cher.

La France n’a pas encore légiféré à ce sujet, mais la directive autorise les autorités nationales à imposer des amendes pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles. En cas de contrôle par un organisme de régulation, ce sont généralement les entreprises dont la direction a pris la directive NIS2 au sérieux dès le départ qui offrent les meilleurs résultats.

Garantir la conformité à la directive NIS2 au sein de la chaîne d’approvisionnement

Les fournisseurs ne relèvent pas d’une catégorie de risque distincte, dont on s’occuperait une fois par an pour l’oublier ensuite. Dès qu’un fournisseur a accès à vos systèmes, vous devez l’inclure dans votre mise en conformité pour la directive NIS2. Il ne s’agit pas d’appliquer une checkliste par défaut, Selon qu’il accède à votre réseau pour apporter une aide ponctuelle à distance ou qu’il est étroitement intégré dans l’infrastructure de base, il doit être soumis à une surveillance proportionnelle au risque qu’il peut représenter. Commencez par déterminer quels fournisseurs appartiennent à quelle catégorie et quelles normes de sécurité vous souhaitez que chacun d’eux applique. Gardez à l’esprit qu’une politique de sécurité écrite signée par les fournisseurs a plus de force qu’un accord verbal, et que des contrôles réguliers sont plus efficaces qu’une simple vérification lors de la première interaction.

Vous devez pouvoir montrer aux organismes de régulation que votre conformité à la directive NIS2 s’étend aux fournisseurs dont votre entreprise dépend, et dépasse le simple cadre de vos propres locaux. Il n’est pas pour autant nécessaire d’auditer chaque fournisseur de fond en comble, mais vous devez mettre en place un processus crédible et documenté pour identifier et gérer les risques liés aux tiers, tout en veillant à ce que vos procédures de réponse aux incidents prévoient également l’éventualité d’un problème lié à un fournisseur.

Démontrer la conformité à la directive NIS2 sans certification

On pense souvent à tort que la directive NIS2 exige une certification formelle. C’est faux. Contrairement à la norme ISO/CEI 27001:2022, la directive NIS2 n’est pas rattachée à une certification NIS2 que les entreprises pourraient obtenir une fois pour toute. Aucun organisme officiel n’en délivre. Si vous voyez des annonces pour des services proposant des estimations de coûts pour la certification NIS2 ou vendant des packs de certification, méfiez-vous.

Ce que la directive exige en réalité, c’est une conformité qui puisse être démontrée : des processus de gestion des risques documentés, des preuves de l’implémentation et la capacité à montrer aux régulateurs que votre entreprise prend ses obligations au sérieux. C’est une démarche plus exigeante qu’un simple audit de certification : il ne suffit pas de cocher toutes les cases d’une liste avant de passer à autre chose.

Une organisation certifiée ISO/CEI 27001 est déjà en bonne voie pour la conformité à la directive NIS2. Elle dispose déjà de bonnes bases, telles que les processus de gestion des risques, les contrôles d’accès et le traitement des incidents. La directive NIS2 est plus exigeante puisqu’elle fixe des impératifs de délai et impose que les décisions soient soutenues par la direction. Un incident grave peut devoir être signalé dans les 24 heures, mettant ainsi sous pression non seulement le service informatique, mais aussi le conseil d’administration.

Remarque : cet article est fourni uniquement à titre d’information générale et ne constitue pas un avis juridique. Il ne peut pas remplacer un conseil spécifique à votre situation. Si vous avez besoin d’un avis définitif sur vos obligations au titre de la directive NIS2, adressez-vous à un conseiller juridique qualifié ou à l’autorité compétente.