Préparation à NIS2 : périmètre, obligations de la direction et preuves

La préparation à NIS2 commence par une décision d'applicabilité documentée. Le secteur, le service, la taille, l'établissement et les règles d'inclusion particulières peuvent tous entrer en ligne de compte. Le questionnaire d'un client apporte un contexte utile, mais il ne détermine pas votre statut juridique. De même, un certificat de sécurité n'établit pas que chaque entité, chaque service et chaque obligation de notification pertinents ont été traités.

Pour un dirigeant, être prêt signifie pouvoir expliquer ce que la direction a approuvé, pourquoi les mesures sont appropriées, qui les mettra en œuvre et comment leur efficacité sera évaluée. Cela signifie aussi s'assurer que l'organisation peut notifier un incident important alors que les informations sont incomplètes et que l'activité normale est perturbée.

La tâche concrète consiste à relier le périmètre juridique, les risques liés aux services, les priorités de mise en œuvre et des preuves vérifiées. Ce lien donne à la direction une base pour décider des investissements, des perturbations opérationnelles, des fournisseurs et des expositions non résolues.

Établir quelles entités et quels services sont couverts

La directive NIS2 fixe un socle européen de cybersécurité pour des activités déterminées. Les articles 2 et 3, ainsi que les annexes, en définissent le champ d'application et la structure de classification. La législation nationale de transposition fournit les obligations et procédures locales applicables.

Évaluez chaque entité juridique concernée plutôt que de considérer le nom du groupe comme la frontière réglementaire. Les activités d'une filiale, les liens capitalistiques et les lieux d'établissement peuvent modifier la réponse. La direction devrait exiger une conclusion consignée, les faits qui l'étayent et un responsable pour chaque question en suspens.

Rattacher les activités aux types d'entités listés

L'annexe I comprend des secteurs tels que l'énergie, les transports, la santé, l'eau, les services financiers, les infrastructures numériques, la gestion des services TIC, l'administration publique et l'espace. L'annexe II étend la couverture à des domaines comme les services postaux, la gestion des déchets, les produits chimiques, l'alimentation, certaines activités de fabrication, les fournisseurs numériques et la recherche.

L'intitulé du secteur n'est qu'un point de départ. Lisez les types d'entités et les activités figurant dans l'entrée concernée. La fabrication n'est pas une catégorie d'inclusion universelle, et vendre un logiciel ne fait pas automatiquement d'une entreprise un fournisseur d'informatique en nuage ou un fournisseur de services gérés.

Décrivez ce que l'entité fournit réellement : le service, ses destinataires, son fonctionnement et le fait qu'elle administre ou non des systèmes clients. Les codes d'activité et les descriptions publiées sur le site web peuvent étayer cette analyse, mais ils ne doivent pas la remplacer.

Par exemple, vendre une application sous licence et exploiter les systèmes d'information d'un client sont deux activités différentes. Une entreprise présentée comme un cabinet de conseil peut néanmoins assurer une administration continue qui doit être évaluée au regard des définitions des services gérés. Tranchez ces questions avant de concevoir le périmètre de conformité.

Calculer la taille selon les règles applicables

L'article 2 s'appuie sur la définition européenne de la taille des entreprises. En première approche, le seuil général d'inclusion est de 50 salariés ou plus, ou d'un chiffre d'affaires et d'un total de bilan dépassant tous deux 10 millions d'euros. Dans les grandes lignes, dépasser les plafonds de la moyenne entreprise suppose au moins 250 salariés, ou un chiffre d'affaires supérieur à 50 millions d'euros combiné à un total de bilan supérieur à 43 millions d'euros.

Ces chiffres ne remplacent pas le calcul complet. Les exercices comptables de référence, la méthode de décompte des effectifs et les entreprises partenaires ou liées peuvent influer sur le résultat. Une filiale de petite taille au niveau local peut franchir un seuil dès lors que les liens capitalistiques pertinents sont pris en compte.

Conservez le calcul, les chiffres sous-jacents et le raisonnement sur les relations au sein du groupe. Évitez de consigner uniquement « moyenne entreprise » sans expliquer comment cette conclusion a été obtenue. Le chiffre d'affaires seul ne constitue pas l'alternative financière complète à l'effectif.

Lorsque la taille est proche d'un seuil ou que l'actionnariat est complexe, commandez une analyse juridique spécifique. Le coût de la levée de cette incertitude doit être considéré comme faisant partie de la définition des exigences opérationnelles, et non reporté jusqu'à ce qu'une autorité ou un client conteste la conclusion.

Examiner les règles particulières d'inclusion et de classification

Certaines catégories de services peuvent être incluses quelle que soit leur taille. L'article 2 vise certaines activités de communications, de services de confiance, de DNS et de domaines de premier niveau, certaines entités de l'administration publique, ainsi que les entités identifiées comme critiques au titre du cadre européen pertinent. Une désignation nationale peut également faire entrer des entités dans le champ d'application en raison de leur importance pour la société ou des conséquences d'une perturbation.

L'article 3 détermine ensuite si une entité couverte est essentielle ou importante. Les grandes entités de l'annexe I constituent une catégorie significative d'entités essentielles, mais l'article contient d'autres règles propres à certains services et des règles de désignation. Une entreprise de taille moyenne relevant de l'annexe I n'est pas automatiquement essentielle ; les annexes ne sont pas simplement deux listes de niveaux de supervision.

Les deux classifications emportent les obligations fondamentales de gestion des risques de sécurité et de notification des incidents importants. Le statut d'entité importante modifie le modèle de supervision ; il ne supprime pas la nécessité de mesures efficaces.

La couverture juridique directe et les exigences des clients doivent être consignées séparément. Un fournisseur plus petit peut se trouver hors du champ d'application direct tout en étant soumis à d'importantes obligations contractuelles de sécurité. À l'inverse, un questionnaire client indiquant « NIS2 s'applique » ne constitue pas une décision de classification faisant autorité.

Un relevé de périmètre défendable devrait contenir :

• L'entité juridique et ses services réels.
• Les entrées pertinentes des annexes ou les motifs d'inclusion particuliers.
• Le calcul de taille et les liens capitalistiques pertinents.
• La classification en entité essentielle ou importante, avec sa justification.
• Les lieux d'établissement et l'analyse de compétence territoriale.
• Les règles nationales applicables, le relecteur, la date d'approbation et les questions ouvertes.

Les éléments déclencheurs d'une réévaluation devraient inclure les acquisitions, les nouveaux services, les évolutions significatives de taille et les évolutions législatives. Une décision d'exclusion peut être fondée au moment où elle est prise et devenir obsolète par la suite.

Traduire le socle européen en obligations nationales

NIS2 est une directive mise en œuvre par le droit national. Les États membres devaient la transposer au plus tard le 17 octobre 2024, les mesures de transposition étant destinées à s'appliquer à partir du 18 octobre 2024. Ces dates n'indiquent pas à une entreprise donnée son échéance nationale actuelle d'enregistrement ni la procédure qu'elle doit suivre.

Créez un registre des obligations pour chaque entité et chaque pays concernés. Identifiez la législation applicable, l'autorité, la procédure d'enregistrement, le canal de notification, les dispositions sectorielles et le responsable interne. Distinguez une exigence légale d'une recommandation de l'autorité ou d'une recommandation interne de mise en œuvre.

Déterminer la compétence avant de choisir un canal de notification

L'article 26 rattache en général la compétence à l'établissement, mais certains services suivent des règles différentes. Les fournisseurs de communications électroniques publiques relèvent de l'État membre où ils fournissent les services concernés. Certains fournisseurs numériques relèvent d'une approche fondée sur l'établissement principal, notamment les activités d'informatique en nuage, de centres de données, de réseaux de diffusion de contenu, de services gérés, de services de sécurité gérés, ainsi que certaines activités de plateformes en ligne et liées aux noms de domaine.

Pour cette évaluation de l'établissement principal, examinez où les décisions relatives aux mesures de gestion des risques en matière de cybersécurité sont principalement prises dans l'Union. Si ce lieu ne peut être déterminé ou si ces décisions ne sont pas prises dans l'Union, évaluez où les opérations de cybersécurité sont effectuées dans l'Union ; si cela ne peut pas non plus être déterminé, retenez l'établissement dans l'Union qui compte le plus grand nombre de salariés. L'adresse du siège social d'une société holding peut donc ne pas suffire.

Certains fournisseurs qui proposent des services dans l'Union sans y être établis doivent désigner un représentant dans l'Union. Un siège à l'étranger n'est pas une exemption automatique, mais avoir des clients européens ne fait pas non plus entrer automatiquement toute entreprise non européenne dans le champ d'application. Le type de service et les autres conditions d'applicabilité restent déterminants.

Consignez les obligations d'enregistrement et d'information sur l'entité séparément du programme de sécurité. Conservez les accusés de dépôt, les coordonnées à jour et la responsabilité de leur mise à jour. Si l'enregistrement est en retard, vérifiez la procédure actuelle de l'autorité et agissez rapidement. L'achèvement de l'enregistrement ne prouve pas la mise en œuvre des mesures de sécurité.

Distinguer KRITIS et les obligations sectorielles

Pour les activités en Allemagne, vérifiez les exigences KRITIS parallèlement aux règles nationales de transposition de NIS2 applicables. Les deux régimes se recoupent mais ne sont pas identiques. La couverture NIS2 ne désigne pas automatiquement chaque installation comme installation critique, et un programme KRITIS établi ne satisfait pas automatiquement à toutes les obligations NIS2.

Tenez des registres distincts pour la classification des entités, les installations critiques et les obligations supplémentaires. Consultez les informations du BSI sur NIS2 pour connaître la procédure nationale en vigueur, plutôt que de vous fier à d'anciennes annonces d'échéances.

L'article 4 traite également des exigences sectorielles européennes équivalentes. Pour les entités financières concernées, DORA peut régir les domaines pertinents. Déterminez quelles obligations s'appliquent à l'entité et au service concernés au lieu de maintenir par défaut des circuits de notification en double.

Construire un plan porté par la direction

L'article 20 confie l'approbation et la supervision de la mise en œuvre aux organes de direction des entités essentielles et importantes. Il prévoit aussi leur responsabilité en cas de violation de l'article 21 ; les conséquences juridiques dépendent du droit national et de la forme juridique de l'entité.

La mise en œuvre peut être déléguée aux équipes sécurité, informatique, exploitation, achats et autres. La délégation doit préserver une supervision visible de la direction. Le rôle du dirigeant n'est pas de configurer des systèmes, mais de veiller à ce que les risques importants liés aux services fassent l'objet de décisions éclairées, de moyens et d'un suivi.

Approuver des décisions, pas seulement des documents

Un dossier d'approbation devrait relier l'appréciation des risques à un plan exécutable. Incluez les services couverts, les principaux scénarios de perturbation, les mesures proposées, les alternatives, les dépendances de mise en œuvre, les besoins en personnel, les jalons et les preuves attendues.

Pour chaque obligation, consignez la mise en œuvre, le responsable, la preuve, l'écart et la prochaine décision. Cela permet de distinguer une intention approuvée d'une capacité effectivement en place. Cela met aussi en évidence les mesures sans responsable désigné ou qui dépendent de ressources jamais allouées.

Les procès-verbaux de la direction devraient expliquer la décision et son fondement. Par exemple, l'approbation d'un investissement dans la reprise devrait indiquer quelle interruption de service il traite, le résultat de reprise attendu et les contraintes opérationnelles. Une signature au bas d'une politique n'indique pas si la direction a examiné le problème de mise en œuvre sous-jacent.

Les discussions budgétaires devraient inclure la capacité interne et l'interruption d'activité, et pas seulement les dépenses logicielles. Une modification du réseau peut nécessiter un arrêt de production ; l'examen d'un fournisseur peut exiger une négociation juridique ; un test de restauration peut nécessiter un environnement isolé et du personnel d'exploitation.

L'acceptation des risques mérite une attention particulière. Elle peut documenter une décision de traitement dans le cadre d'un processus de gestion des risques, mais elle ne peut pas lever une exigence légale. Lorsqu'une exception pourrait entrer en conflit avec une obligation, obtenez une interprétation juridique, définissez une protection provisoire et gardez le point non résolu visible.

Distinguer l'avancement de la mise en œuvre de l'efficacité des mesures

Un projet peut achever le déploiement d'une mesure sans atteindre la protection visée. Le reporting à la direction devrait répondre à deux questions : les travaux approuvés sont-ils terminés, et fonctionnent-ils sur l'ensemble du périmètre de service concerné ?

Fixez une fréquence de revue proportionnée au programme. Des revues de direction trimestrielles peuvent convenir à une organisation stable, avec des revues plus fréquentes pendant la mise en œuvre. Il s'agit d'une recommandation, et non d'une fréquence universelle imposée par l'article 20.

Définissez l'escalade entre les réunions. L'échec d'un test de reprise, la compromission d'un compte à privilèges ou une dépendance critique nouvellement identifiée ne devraient pas attendre la prochaine présentation prévue.

Adapter la formation des dirigeants aux décisions à prendre

L'article 20 impose aux membres des organes de direction de suivre une formation suffisante pour les aider à identifier les risques, à évaluer les pratiques de gestion des risques et à comprendre leurs conséquences sur les services. Il ne fixe ni une durée de formation universelle ni une périodicité de renouvellement.

La formation devrait couvrir l'importance des incidents, les arbitrages en matière de reprise, la concentration des fournisseurs, les limites des preuves et la décision en situation d'incertitude. Intégrez un scénario dans lequel les dirigeants doivent autoriser une notification, restreindre l'activité ou financer un traitement urgent.

Conservez les dates, les participants, les contenus et les actions de suivi. La formation des salariés est également visée par l'article 21, mais les sessions de sensibilisation du personnel ne remplacent pas la formation propre de la direction. Les dirigeants devraient pouvoir remettre en question les affirmations d'assurance sans avoir à devenir des spécialistes techniques.

Décliner l'article 21 en mesures au niveau des services

L'article 21 exige une protection technique, opérationnelle et organisationnelle proportionnée. L'appréciation de la proportionnalité tient compte de l'exposition, de la taille de l'organisation, du coût de mise en œuvre, ainsi que de la probabilité et de la gravité des incidents, y compris de leurs effets sociétaux et économiques plus larges.

L'approche requise couvre des risques allant au-delà des activités cybermalveillantes. Une panne de courant, une inondation, une intrusion physique, l'indisponibilité du personnel ou une perturbation des télécommunications peuvent toutes menacer le même service.

Les exemples de mise en œuvre qui suivent sont des recommandations pratiques. Ils expliquent les dix domaines sans imposer une conception technique identique à chaque entité. Certains services numériques sont également soumis à des exigences d'exécution européennes plus détaillées ; vérifiez leur applicabilité avant de vous en remettre à une simple liste de contrôle générale.

Analyse des risques et politiques de sécurité des systèmes

Partez du service : ce qui doit continuer à fonctionner, qui en dépend et ce que signifierait une perturbation. Cartographiez les systèmes, installations, personnes et prestataires externes qui le soutiennent avant d'attribuer des niveaux de risque.

Utilisez des critères d'impact qui distinguent la perte financière de la sécurité des personnes, du préjudice pour les destinataires du service et d'une perturbation plus large. Consignez les scénarios, la protection existante, les traitements proposés, l'exposition résiduelle et les éléments déclencheurs d'une réévaluation. Une liste générique de cybermenaces est moins utile qu'une explication de la manière dont une dépendance précise peut interrompre le service.

Le livrable est une appréciation des risques qui appuie les décisions, accompagnée de politiques décrivant comment ces décisions deviennent des exigences opérationnelles.

Gestion des incidents

Définissez la détection, le tri, l'escalade, le confinement, l'investigation, la coordination de la reprise et la clôture. Désignez un coordinateur et des suppléants, et fournissez aux intervenants des procédures utilisables pour les incidents probables.

La gravité opérationnelle et l'importance au sens de la loi sont liées mais distinctes. Un incident technique urgent peut nécessiter un confinement avant que la question de son caractère notifiable ne soit tranchée. Le processus doit permettre les deux activités sans que l'une bloque l'autre.

Conservez les chronologies des incidents, les décisions, les preuves pertinentes et les actions correctives. Vérifiez que les améliorations convenues ont été réalisées ; un document de retour d'expérience sans suivi n'offre qu'une assurance faible.

Continuité, sauvegarde, reprise et gestion de crise

Utilisez le bilan d'impact sur l'activité pour identifier les activités essentielles et le niveau de perturbation acceptable. Convenez des objectifs de durée de reprise (RTO) et des objectifs de point de reprise (RPO) avec les responsables des services. Le premier concerne le délai de restauration ; le second la perte de données tolérable.

Les journaux de sauvegardes réussies sont utiles, mais ils n'établissent pas qu'un service peut être rétabli. Testez la restauration, les identités, les clés et les interfaces sous-jacentes, ainsi que l'exploitabilité des données. Vérifiez que les systèmes restaurés peuvent supporter le processus métier réel.

Les dispositifs de crise devraient traiter les décisions opérationnelles et la communication autant que la reprise technique. Consignez les résultats des tests, les objectifs non atteints, les actions et les décisions de la direction sur l'exposition restante.

Relations avec les fournisseurs

Identifiez les fournisseurs directs dont la défaillance ou la compromission pourrait affecter sensiblement le service. Tenez compte des accès d'administration, des informations sensibles, des dépendances logicielles et de la disponibilité.

Évaluez la pertinence de la relation réelle en matière de sécurité, y compris les vulnérabilités propres au fournisseur et ses pratiques en matière de produits ou de développement. Reliez les constatations aux contrôles d'accès, aux dispositions contractuelles, aux solutions de repli et aux éléments déclencheurs de revue.

Un certificat du fournisseur peut appuyer l'évaluation. Il ne couvre pas automatiquement le service que vous avez acheté, sa configuration ou vos responsabilités d'intégration.

Acquisition, développement, maintenance et vulnérabilités

Fixez des critères d'acceptation de sécurité pour les achats et les nouveaux systèmes. Définissez les responsabilités en matière de développement sécurisé, de configuration, de changements, de maintenance, de mises à jour et de signalements de vulnérabilités reçus.

Suivez les vulnérabilités significatives à travers l'évaluation, le traitement, la gestion des exceptions et la vérification. Les priorités de correction devraient refléter le potentiel d'exploitation et les conséquences pour le service, et pas seulement un score de gravité.

Les technologies opérationnelles peuvent nécessiter une validation du fabricant et des arrêts planifiés avant l'application de correctifs. Documentez les mesures de protection provisoires et le calendrier de traitement. « Impossible à corriger » est une contrainte à gérer, pas une décision de risque complète.

Évaluation de l'efficacité

Pour les mesures importantes, définissez la question à laquelle le test doit répondre. Une revue des accès vérifie les autorisations ; un exercice de restauration vérifie la reprise ; une simulation d'incident vérifie la coordination et la prise de décision.

Consignez le périmètre testé, le résultat attendu, la méthode, le relecteur, les constatations et la réponse en cas d'échec. Faites appel à une assurance indépendante lorsqu'elle apporte une valeur ajoutée ou que les règles applicables l'exigent.

L'article 21 prévoit une évaluation de l'efficacité, mais n'impose pas une fréquence unique de tests d'intrusion à toutes les organisations couvertes. Les tests doivent correspondre au besoin d'assurance et à toute exigence détaillée applicable.

Cyberhygiène et formation du personnel

Donnez au personnel des instructions pratiques pour signaler les activités suspectes, protéger les identifiants, traiter l'information et travailler de manière sécurisée. Ajoutez des contenus propres aux rôles pour les développeurs, les administrateurs, le personnel des achats et les intervenants.

La participation aux formations montre une présence, pas nécessairement la capacité à agir. Les exercices et l'observation des pratiques peuvent révéler des instructions peu claires ou des circuits d'escalade fragiles.

Utilisez les constatations pour améliorer les procédures. Si les salariés signalent correctement les messages suspects mais que l'équipe destinataire réagit lentement, répéter le même module de sensibilisation ne réglera pas le problème de fond.

Cryptographie

Définissez quelles informations et quels processus nécessitent une protection cryptographique, y compris les données pertinentes en transit et au repos. Identifiez la responsabilité des clés et des certificats, leur renouvellement, leur révocation, leur accès et leur récupération.

Les preuves devraient inclure les décisions de configuration et les dispositions de gestion des clés, et pas seulement l'affirmation que le chiffrement existe. La protection peut échouer si des sauvegardes chiffrées dépendent de clés indisponibles ou si l'accès aux clés n'est pas restreint de manière appropriée.

Tenez à jour des exceptions justifiées et réexaminez-les lorsque les systèmes ou les risques évoluent. Évitez de considérer une affirmation générale telle que « tout est chiffré » comme une assurance suffisante.

Personnes, accès et actifs

Reliez les embauches, les changements de poste et les départs aux décisions d'accès. Identifiez les responsables métier, les administrateurs, les comptes externes, les identités de service et les actifs pertinents.

Réexaminez les accès à privilèges et supprimez les droits qui ne sont plus justifiés. Incluez les comptes partagés ou non humains dans l'évaluation au lieu de vous limiter aux listes d'utilisateurs salariés.

Les preuves peuvent inclure des demandes approuvées, un échantillon de dossiers de départ, des revues d'accès réalisées et des exceptions résolues. Un inventaire des actifs devrait expliquer la propriété et la dépendance des services, et pas seulement compter des équipements.

Authentification et communications sécurisées

L'article 21 traite de l'authentification renforcée et des communications protégées, y compris des dispositifs de communication d'urgence, sous réserve qu'elles soient appropriées.

En priorité pratique, examinez les accès à privilèges et les accès à distance aux services critiques. Identifiez les limites des systèmes hérités et évaluez des alternatives protectrices plutôt que de supposer que chaque système prend en charge le même mécanisme.

Testez également la communication de crise lorsque la messagerie habituelle, les outils collaboratifs ou les services d'identité sont indisponibles. Une procédure d'urgence entièrement dépendante de la plateforme défaillante peut être inutilisable précisément au moment où elle est nécessaire.

Rendre explicites les décisions relatives aux fournisseurs critiques

La sécurité de la chaîne d'approvisionnement devient souvent un sujet de direction, car les achats ne peuvent pas éliminer chaque dépendance au moyen d'un questionnaire. Partez de la conséquence d'une défaillance : ce fournisseur peut-il interrompre la prestation, introduire des modifications non autorisées, exposer des informations ou empêcher la reprise ?

Pour les fournisseurs directs critiques, consignez le service soutenu, les accès accordés, le responsable de l'évaluation, l'assurance examinée, les constatations en suspens et les décisions de traitement. Vérifiez le périmètre et la période couverts par les documents d'assurance. Un rapport portant sur un autre service ou sur un modèle d'exploitation antérieur peut ne pas répondre à la question actuelle.

La négociation contractuelle devrait traiter les risques de la relation. Les sujets concrets comprennent les responsabilités en matière de sécurité, la communication en cas d'incident, la coopération aux investigations, la gestion des vulnérabilités, les restrictions d'accès, la disponibilité des preuves, la continuité et l'accompagnement à la sortie. Il s'agit de thèmes de négociation recommandés, et non de clauses légales identiques pour chaque contrat.

Les dispositifs de notification des fournisseurs devraient être compatibles avec votre calendrier de notification. Confirmez les contacts opérationnels et leurs suppléants ; la boîte de réception d'un chargé de compte, consultée aux heures de bureau, peut être inadaptée à un incident grave.

L'article 21 vise spécifiquement les relations directes. Les dépendances en amont peuvent néanmoins compter lorsqu'elles créent un risque de concentration ou compromettent la reprise. Approfondissez l'analyse lorsque cela change la décision, plutôt que de tenter un inventaire illimité des fournisseurs de chaque fournisseur.

Si l'assurance reste insuffisante, la direction peut restreindre l'accès, renforcer la surveillance, négocier des améliorations, introduire des alternatives, repenser la dépendance ou remplacer le prestataire. Consignez la justification et les mesures provisoires. Externaliser la prestation d'un service ne supprime pas la responsabilité du programme de gestion des risques propre à l'entité.

Répéter la notification des incidents importants

L'article 23 organise la notification des incidents importants. Un incident est important s'il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité, ou des dommages matériels ou immatériels considérables à d'autres personnes physiques ou morales. Vérifiez les règles nationales et sectorielles applicables en matière d'importance avant de concevoir le processus de décision.

Le délai court à partir du moment où l'entité a connaissance d'un incident important, et non de l'achèvement de l'analyse forensique. Consignez le moment où les informations pertinentes sont devenues disponibles, l'évaluation de l'importance et l'auteur de la décision. Ne fabriquez pas un moment de prise de connaissance plus tardif en retardant l'escalade interne.

Les prestataires de services de confiance sont soumis à une disposition spécifique de notification sous 24 heures pour les incidents importants affectant leurs services de confiance. Les entités essentielles comme les entités importantes ont des obligations de notification par étapes ; la classification en entité importante ne supprime pas l'alerte précoce.

Organiser les habilitations et les accès pour les heures non ouvrées

Désignez le responsable de l'évaluation, la personne habilitée à transmettre la notification, son suppléant, le contact juridique et la voie d'escalade vers la direction. Convenez de la manière dont les informations provisoires seront approuvées. La direction a besoin de visibilité sans devenir un goulet d'étranglement incontournable pour chaque transmission.

Préparez des modèles séparant les faits confirmés, les évaluations préliminaires, les inconnues et les mises à jour prévues. Évitez toute attribution non étayée et toute promesse de reprise. Une notification précoce doit être exacte sur l'incertitude plutôt qu'artificiellement complète.

Testez l'accès au canal de notification, les identifiants, les coordonnées et les solutions de repli. Si la personne chargée de la transmission dépend d'un service d'identité de l'entreprise compromis, le processus a besoin d'une alternative.

Exercez-vous sur un scénario de soirée ou de week-end. Mesurez le temps nécessaire pour reconnaître une importance potentielle, réunir les personnes nécessaires, préparer l'alerte, l'autoriser et atteindre le canal. Gardez cette activité reliée au confinement et à la reprise, tout en affectant suffisamment de personnes pour que la notification n'absorbe pas toute l'équipe de réponse.

L'article 23 traite aussi de la communication aux destinataires des services, le cas échéant. Les contrats et d'autres lois peuvent créer des notifications supplémentaires. Une violation de données à caractère personnel exige sa propre évaluation au titre du RGPD ; une notification NIS2 n'y satisfait pas automatiquement. Coordonnez les faits tout en conservant des décisions et des délais distincts.

Tenir à jour des preuves qui expliquent ce qui fonctionne

Les politiques, les certifications, les contrats fournisseurs et les accusés d'enregistrement peuvent appuyer la préparation. Les preuves doivent néanmoins montrer ce qui fonctionne dans le périmètre applicable.

Distinguez la conception, la mise en œuvre et le fonctionnement. Une politique d'accès décrit le comportement attendu. Les preuves de configuration montrent le déploiement. Une revue des accès réalisée, montrant les droits supprimés et les exceptions résolues, démontre le fonctionnement. Ces éléments répondent à des questions différentes et ne doivent pas être considérés comme interchangeables.

Pour chaque élément de preuve, conservez sa source, son périmètre, sa date ou sa période, son responsable, son relecteur, sa conclusion et ses limites. Un test de restauration réussi pour une application ne prouve pas la reprise de l'ensemble de l'environnement. Une capture d'écran peut montrer une configuration à un instant donné, pas un fonctionnement durable.

Protégez les preuves sensibles. Les journaux d'incidents, les schémas d'architecture et les exports d'accès peuvent exposer des informations opérationnelles ou personnelles. Définissez des règles appropriées d'accès, de conservation et de partage externe.

Les lacunes de preuve doivent devenir des tâches. « Pas de test récent », « périmètre du fournisseur peu clair » et « le responsable n'a pas examiné l'export » sont des problèmes distincts qui appellent des actions différentes. Un décompte de documents ne les fait pas apparaître.

Réutiliser les travaux SMSI et KRITIS existants

Un SMSI ISO 27001 peut fournir l'appréciation des risques, le traitement, les politiques, l'audit, la revue de direction et les enregistrements d'exploitation. Comparez son périmètre certifié avec les entités et services couverts par les règles nationales NIS2.

Une certification de l'informatique interne peut exclure les systèmes de production, un service géré ou une entreprise acquise. Réutilisez les mesures et preuves pertinentes, puis traitez explicitement la classification, l'enregistrement, la notification légale et la formation de la direction. Notre guide NIS2 et ISO 27001 explique comment les travaux SMSI existants peuvent appuyer ce processus.

NIS2 n'institue pas de certificat général de conformité à l'échelle de l'Union. La certification appuie l'assurance dans son propre périmètre ; elle ne règle pas toutes les obligations légales. Appliquez les mêmes contrôles de pertinence aux preuves KRITIS existantes au lieu de supposer qu'une acceptation antérieure couvre les obligations actuelles.

Exemple concret : télémaintenance et reprise de la production

Prenons à titre d'illustration un fabricant allemand de 180 salariés qui produit des équipements relevant d'une activité de fabrication listée à l'annexe II. Supposons qu'un calcul vérifié établisse son statut de moyenne entreprise, qu'une analyse nationale confirme sa classification en entité importante et qu'une évaluation distincte ne relève aucune désignation d'installation critique au sens de KRITIS. Ces hypothèses sont propres à l'exemple et ne constituent pas une règle pour tout fabricant de cette taille.

La première priorité de mise en œuvre est la planification de la production d'un site. Les dépendances comprennent une application ERP, des automates industriels, des services d'identité, des sauvegardes et un prestataire de maintenance disposant d'un accès à distance. L'évaluation du périmètre juridique couvre néanmoins les obligations pertinentes de l'entité au-delà de ce service initial.

L'examen met au jour trois faiblesses liées. Les techniciens du prestataire partagent un compte à privilèges. Les sauvegardes se terminent, mais aucun test de restauration récent n'inclut la dépendance de l'application de planification aux services d'identité. La procédure d'incident désigne un responsable de la notification sans suppléant habilité à la transmettre.

La direction demande des options plutôt que d'approuver trois mises à jour isolées de politiques. L'exploitation propose un accès nominatif et limité dans le temps pour le prestataire, via un chemin d'accès à distance contrôlé. L'informatique propose un exercice de restauration du service au regard d'objectifs validés par le métier. La sécurité et le service juridique proposent une habilitation de notification suppléante et une répétition en dehors des heures ouvrées.

Pour les seuls besoins de la planification, supposons six semaines et une fenêtre de maintenance programmée. La direction approuve la capacité en personnel, les modalités d'arrêt et des restrictions provisoires de l'accès du prestataire. Le relevé de décision explique les conséquences pour le service, les raisons du choix des traitements et les preuves qui établiront leur achèvement.

Les travaux sur les accès produisent des enregistrements de configuration, un accusé de réception du prestataire et une revue confirmant la suppression du compte partagé. L'exercice de restauration récupère les données mais dépasse le délai de reprise du service convenu, car l'authentification ne peut pas être rétablie rapidement. Cette constatation reste ouverte : des sauvegardes réussies ne compensent pas l'échec du résultat au niveau du service.

La direction décide ensuite s'il faut améliorer le dispositif de reprise des identités, modifier l'architecture ou adopter une autre solution de repli opérationnelle. Tout objectif de reprise révisé doit reposer sur une justification métier et rester compatible avec les obligations applicables.

La répétition de notification révèle que le suppléant ne peut pas accéder au canal de notification de manière autonome. L'équipe corrige cette dépendance d'accès et la teste à nouveau. La préparation progresse grâce à des changements vérifiés et à des décisions examinées, et non grâce à une déclaration selon laquelle les procédures révisées sont terminées.

Comprendre précisément la supervision et les conséquences

Les articles 32 et 33 distinguent deux approches de supervision. Les entités essentielles peuvent faire l'objet de pouvoirs d'inspection et d'audit exercés de manière proactive. Les entités importantes font l'objet d'une supervision ex post lorsque des informations indiquent un possible manquement. Ni les unes ni les autres ne devraient interpréter l'absence d'incident ou de demande de l'autorité comme une preuve de préparation.

Pour les violations des articles 21 ou 23, l'article 34 impose que les sanctions maximales nationales atteignent au moins les niveaux suivants : pour les entités essentielles, le montant le plus élevé entre 10 millions d'euros et 2 % du chiffre d'affaires annuel mondial de l'entreprise concernée ; pour les entités importantes, le montant le plus élevé entre 7 millions d'euros et 1,4 %. Il s'agit de planchers pour les plafonds nationaux de sanction, et non de montants d'amende types ni de plafonds fixes universels.

Les autorités disposent également de pouvoirs correctifs. L'article 32 prévoit, pour les entités essentielles, des mécanismes conditionnels portant sur la certification ou l'autorisation concernée et sur l'interdiction temporaire d'exercer certaines fonctions de direction, après les étapes d'exécution prescrites. Ce ne sont pas des conséquences automatiques de tout incident, et la disposition exclut les entités de l'administration publique.

La responsabilité des dirigeants et son traitement assurantiel exigent un conseil propre à chaque juridiction. La direction devrait se concentrer sur des enregistrements fidèles, un traitement en temps utile et une supervision éclairée, plutôt que de considérer les sanctions potentielles comme un substitut à la mise en œuvre des mesures requises.

Fixer la prochaine décision de la direction

Commencez la mise en œuvre par le service à plus fort impact et ses dépendances, tout en maintenant une analyse juridique complète pour chaque entité concernée. Donnez la priorité à l'urgence légale, aux conséquences pour les services et aux tâches qui débloquent les travaux suivants. Un périmètre de mise en œuvre ciblé aide à établir le processus ; il ne réduit pas les obligations légales de l'entité à ce pilote.

La prochaine revue de direction devrait approuver ou trancher la décision de périmètre, confirmer les dispositifs d'enregistrement et de notification, financer les traitements prioritaires, désigner des responsables et programmer des exercices de reprise et de notification. Elle devrait aussi fixer le moment où la direction examinera les preuves de fonctionnement et les constatations qui exigent une escalade anticipée.

Dans Secani, les équipes peuvent modéliser le service retenu, les systèmes qui le soutiennent et les dépendances vis-à-vis des prestataires externes, puis relier exigences, mesures, responsables et preuves vérifiées. Les preuves manquantes et les conclusions non résolues peuvent devenir des tâches. Des relecteurs humains devraient approuver les correspondances et les conclusions sur les preuves, en conservant les liens vers les sources, les commentaires, les approbations et les horodatages, afin que le raisonnement reste vérifiable.

Apportez à cette réunion une cartographie de service, un registre des obligations et les écarts les plus lourds de conséquences. Repartez avec des actions financées, une habilitation de notification opérationnelle et une date pour examiner les résultats, et pas seulement avec l'engagement de produire davantage de documentation.