7 Min. de lecture<\/p>\n
NIS2 est pass\u00e9e de la phase de pr\u00e9paration \u00e0 celle d’application. Les premiers \u00c9tats membres publient des sanctions, l’Allemagne a engag\u00e9 des proc\u00e9dures contre plusieurs entit\u00e9s pour des d\u00e9clarations tardives, et le BSI audite activement. Ce qui est nouveau, ce n’est pas la directive, mais son s\u00e9rieux : des amendes pouvant atteindre dix millions d’euros ou deux pour cent du chiffre d’affaires annuel mondial, et la direction g\u00e9n\u00e9rale engage sa responsabilit\u00e9 personnelle. Cela d\u00e9place la question du \u00ab\u00a0si\u00a0\u00bb au \u00ab\u00a0maintenant\u00a0\u00bb.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n En lien :<\/span>Le token qui contourne la MFA<\/a> \/<\/span> Responsabilit\u00e9 cyber dans l’administration<\/a><\/p>\n Qu’est-ce que NIS2 ?<\/strong> NIS2 est la directive europ\u00e9enne sur la s\u00e9curit\u00e9 des r\u00e9seaux et des syst\u00e8mes d’information. Elle impose aux entit\u00e9s essentielles et importantes une gestion des risques, des obligations de d\u00e9claration en cas d’incident et des mesures de s\u00e9curit\u00e9 tra\u00e7ables. Contrairement \u00e0 la directive pr\u00e9c\u00e9dente, NIS2 rend explicitement la direction g\u00e9n\u00e9rale responsable.<\/p>\n Pendant des ann\u00e9es, NIS2 \u00e9tait un projet pour l’avenir : un niveau de maturit\u00e9 que l’on souhaitait atteindre un jour. Cette phase est r\u00e9volue. Avec les premi\u00e8res sanctions publi\u00e9es et les proc\u00e9dures en cours, la directive est devenue une obligation contraignante. Pour un SOC, cela change les priorit\u00e9s. Il ne suffit plus d’avoir des mesures en place. Elles doivent \u00eatre document\u00e9es, tra\u00e7ables et d\u00e9clarables dans les d\u00e9lais en cas d’incident.<\/p>\n L’obligation de d\u00e9claration est le premier \u00e9cueil. Les proc\u00e9dures allemandes concernent des d\u00e9clarations tardives, et non un manque de technique. Une d\u00e9claration initiale sous 24 heures et un rapport d\u00e9taill\u00e9 sous 72 heures exigent un processus rod\u00e9, et non une approche improvis\u00e9e. Celui qui, lors d’un incident, commence \u00e0 r\u00e9fl\u00e9chir \u00e0 qui doit d\u00e9clarer quoi et \u00e0 qui, perd pr\u00e9cis\u00e9ment le d\u00e9lai qui est d\u00e9sormais sanctionn\u00e9.<\/p>\n Le v\u00e9ritable levier de NIS2 n\u2019est pas le montant des amendes, mais leur ciblage. La directive impose aux organes de direction d\u2019approuver et de superviser les mesures de gestion des risques. La cybers\u00e9curit\u00e9 devient ainsi, au sens litt\u00e9ral, une affaire de direction. En cas de manquements graves, ce ne sont pas seulement des sanctions financi\u00e8res qui menacent, mais aussi une responsabilit\u00e9 personnelle pouvant aller jusqu\u2019\u00e0 des interdictions temporaires d\u2019exercer pour les dirigeants.<\/p>\n Pour la pratique au sein du SOC, c\u2019est \u00e0 la fois une bonne nouvelle et une obligation. Bonne nouvelle, car le vieux probl\u00e8me des budgets de s\u00e9curit\u00e9 bloqu\u00e9s au niveau de la direction dispara\u00eet. Quand la direction est responsable, elle s\u2019y int\u00e9resse. Obligation, car le SOC doit d\u00e9sormais fournir ce dont la direction a besoin pour remplir ses obligations : des preuves tangibles que les mesures existent, fonctionnent et sont activ\u00e9es en cas d\u2019incident.<\/p>\n Ne suffit plus<\/p>\n R\u00e9siste \u00e0 l’audit<\/p>\n Le premier point concerne la cha\u00eene de d\u00e9claration. Qui constate, qui d\u00e9cide, qui d\u00e9clare, et dans quel d\u00e9lai ? Ce processus doit \u00eatre test\u00e9, pas seulement d\u00e9crit. Un exercice sur table simulant un incident r\u00e9v\u00e8le en une heure les points de blocage d\u2019une d\u00e9claration r\u00e9elle : responsabilit\u00e9s floues, coordonn\u00e9es manquantes de l\u2019autorit\u00e9 comp\u00e9tente, absence de mod\u00e8le de d\u00e9claration pr\u00e9par\u00e9.<\/p>\n Le deuxi\u00e8me point est la tra\u00e7abilit\u00e9. Le BSI ne v\u00e9rifie pas si la bonne volont\u00e9 \u00e9tait pr\u00e9sente, mais si les mesures sont prouvables. Des logs attestant que les correctifs ont \u00e9t\u00e9 appliqu\u00e9s. Des protocoles prouvant que les acc\u00e8s sont surveill\u00e9s. Une \u00e9valuation des risques document\u00e9e, sign\u00e9e par la direction. Ce qui n\u2019est pas document\u00e9 n\u2019existe pas lors de l\u2019audit.<\/p>\n \nLors d\u2019un audit, ce qui compte, ce n\u2019est pas ce qu\u2019une \u00e9quipe a fait, mais ce qu\u2019elle peut prouver. Une mesure efficace sans preuve n\u2019est pas une mesure aux yeux des autorit\u00e9s.\n<\/p><\/blockquote>\n Le troisi\u00e8me point concerne la cha\u00eene d\u2019approvisionnement. NIS2 exige que la s\u00e9curit\u00e9 des fournisseurs soit \u00e9galement \u00e9valu\u00e9e. Une entreprise est responsable non seulement de sa propre technologie, mais aussi des risques qu\u2019elle encourt via ses prestataires. C\u2019est un travail que beaucoup doivent encore accomplir, car il n\u00e9cessite un inventaire des fournisseurs critiques et de leur niveau de s\u00e9curit\u00e9. Ceux qui n\u2019ont rien \u00e0 pr\u00e9senter ici affichent une faille visible.<\/p>\n Le constat sobre : NIS2 n\u2019invente pas de nouvelles technologies. Elle impose de la discipline dans ce qui \u00e9tait d\u00e9j\u00e0 une bonne pratique. Appliquer les correctifs, surveiller, d\u00e9clarer, documenter. La diff\u00e9rence, c\u2019est que cette discipline est d\u00e9sormais contr\u00f4l\u00e9e et sanctionn\u00e9e, et que la direction en r\u00e9pond. Ceux qui n\u2019ont pas de preuves lors du prochain audit du BSI ou d\u2019un incident ont manqu\u00e9 le d\u00e9lai o\u00f9 la pr\u00e9paration co\u00fbtait moins cher que l\u2019amende.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n Oui. Dans les premiers \u00c9tats membres, des sanctions sont publi\u00e9es, l\u2019Allemagne a engag\u00e9 des proc\u00e9dures pour des d\u00e9clarations tardives, et le BSI m\u00e8ne activement des audits. La phase de pr\u00e9paration est pass\u00e9e \u00e0 l\u2019ex\u00e9cution.<\/p>\n<\/details>\n Pour les entit\u00e9s essentielles, jusqu\u2019\u00e0 dix millions d\u2019Euro ou deux pour cent du chiffre d\u2019affaires annuel mondial, selon le montant le plus \u00e9lev\u00e9. S\u2019y ajoutent d\u2019\u00e9ventuelles cons\u00e9quences personnelles pour la direction.<\/p>\n<\/details>\n Les organes de direction doivent approuver et superviser les mesures de s\u00e9curit\u00e9. En cas de violations graves, ils encourent, outre des amendes, une responsabilit\u00e9 personnelle et, dans les cas extr\u00eames, des interdictions temporaires d’exercer. La cybers\u00e9curit\u00e9 devient ainsi litt\u00e9ralement une affaire de direction.<\/p>\n<\/details>\n Une d\u00e9claration initiale doit \u00eatre effectu\u00e9e dans les 24 heures, suivie d’un rapport d\u00e9taill\u00e9 sous 72 heures. Les retards pr\u00e9cis dans les d\u00e9clarations sont au c\u0153ur des premi\u00e8res proc\u00e9dures allemandes, d’o\u00f9 l’importance d’un processus de signalement bien rod\u00e9.<\/p>\n<\/details>\n La tra\u00e7abilit\u00e9 des mesures. Journaux, protocoles et une \u00e9valuation des risques sign\u00e9e par la direction. Ce qui n’est pas document\u00e9 est consid\u00e9r\u00e9 comme inexistant lors de l’audit, ind\u00e9pendamment de sa mise en \u0153uvre technique.<\/p>\n<\/details>\n Plus d’articles du r\u00e9seau MBF Media<\/p>\n\n
Ce que signifie le passage \u00e0 l’application<\/h2>\n
Pourquoi la responsabilit\u00e9 personnelle change tout<\/h2>\n
\n
\n
Ce qu\u2019un SOC doit d\u00e9sormais prouver concr\u00e8tement<\/h2>\n
Foire aux questions<\/h2>\n
NIS2 est-elle vraiment applicable d\u00e9sormais ?<\/strong><\/summary>\n
\u00c0 combien peuvent s\u2019\u00e9lever les amendes ?<\/strong><\/summary>\n
Que signifie la responsabilit\u00e9 personnelle de la direction ?<\/strong><\/summary>\n
Quel est le d\u00e9lai pour d\u00e9clarer un incident ?<\/strong><\/summary>\n
Que v\u00e9rifie le BSI lors de l’audit ?<\/strong><\/summary>\n