Exigences NIS2 : mesures, notification des incidents, checklist

Qui est concerné par NIS2

NIS2 distingue les entités essentielles et les entités importantes dans de nombreux secteurs, dont l’énergie, les transports, la santé, les infrastructures numériques, les eaux usées, l’administration publique, les services postaux, les déchets, la chimie, l’alimentation et l’industrie manufacturière. Les critères déterminants sont en règle générale la taille (à partir de 50 salariés ou plus de 10 millions d’euros de chiffre d’affaires annuel et de total du bilan) et le secteur ; pour certaines entités, NIS2 s’applique quelle que soit leur taille. En Allemagne, les entreprises concernées doivent s’enregistrer auprès du BSI (Office fédéral de la sécurité des technologies de l’information).

Mesures de gestion des risques selon l’art. 21

L’article 21 de NIS2 exige des mesures techniques, opérationnelles et organisationnelles appropriées, notamment :

• des politiques d’analyse des risques et de sécurité des systèmes d’information
• la gestion des incidents
• la continuité des activités, la gestion des sauvegardes, la gestion de crise
• la sécurité de la chaîne d’approvisionnement
• la sécurité de l’acquisition, du développement et de la maintenance, y compris le traitement des vulnérabilités
• l’évaluation de l’efficacité des mesures
• l’hygiène informatique et la formation, la cryptographie, le contrôle d’accès, l’authentification multifacteur

Notification : 24 heures, 72 heures, un mois

Les incidents importants doivent être notifiés par étapes : une alerte précoce dans les 24 heures, une notification dans les 72 heures avec une première évaluation et un rapport final dans un délai d’un mois. Cela n’est possible que si les incidents sont détectés rapidement et documentés proprement, ce qui est le rôle de XMfortress Detect.

Responsabilité de la direction

La direction doit approuver les mesures, superviser leur mise en œuvre et suivre régulièrement des formations. Elle peut être tenue responsable en cas de manquement. Les infractions exposent à des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (entités essentielles), ou 7 millions d’euros ou 1,4 % (entités importantes).

Checklist NIS2 : les premières étapes

• Vérifier si vous êtes concerné et vous enregistrer auprès de l’autorité compétente
• Désigner des responsables, former la direction
• Constituer un inventaire des actifs et le tenir à jour
• Réaliser une analyse des risques, définir un processus de gestion des vulnérabilités avec délais
• Mettre en place et exercer la détection et les circuits de notification des incidents
• Vérifier et documenter régulièrement l’efficacité des mesures
• Intégrer fournisseurs et prestataires à l’évaluation

XMfortress soutient la mise en œuvre technique et fournit des preuves. La responsabilité de la conformité reste celle de l’entreprise ; la plateforme ne remplace pas un examen juridique.