Qui est concerné, et par quel chemin
La directive vise des secteurs et des tailles d'entreprise précis, l'énergie, la santé, les transports, l'eau, le numérique, l'agroalimentaire et quelques autres. Une PME de cinquante personnes n'est le plus souvent pas assujettie directement.
Elle est pourtant concernée, et c'est ce que la plupart découvrent tard. NIS 2 impose aux entités assujetties de maîtriser la sécurité de leur chaîne d'approvisionnement. Autrement dit, vos clients réglementés vous transmettent leurs obligations sous forme d'exigences contractuelles.
Le bassin lyonnais concentre précisément ces donneurs d'ordre, dans la chimie, la santé, l'énergie et les transports. C'est ce qui explique qu'un sous-traitant de la Vallée de la chimie ou un fournisseur d'un groupe hospitalier se voie réclamer des garanties qu'aucun texte ne lui impose en propre.
Le travail technique, qui est l'essentiel
La directive impose quatre familles d'obligations, dont trois relèvent de l'organisation, la gouvernance des risques, la notification des incidents et la sécurité de vos fournisseurs. Elles se règlent par des décisions et des procédures.
La quatrième porte le gros du travail, et c'est celle sur laquelle nous intervenons.
Des sauvegardes dont la restauration a été réellement essayée, pas seulement planifiée. Une gestion des accès qui sait qui peut quoi, avec les comptes d'administration séparés des comptes courants. Une journalisation qui permette de qualifier un incident dans les délais que le texte impose. Une segmentation du réseau qui empêche un poste bureautique de contaminer l'atelier. Un traitement des vulnérabilités qui ne dépende pas de la bonne volonté du moment. Et une continuité d'activité qui ait été éprouvée.
Rien qui ne relève des bonnes pratiques déjà connues, mais tout demande d'être fait, vérifié et documenté.
Le détail des seuils, des secteurs et du calendrier français figure dans notre guide, votre entreprise est-elle concernée par NIS 2, mis à jour au fil du texte.
La conformité se prépare avant qu'on vous la demande
Par où nous commençons
Par un état des lieux, généralement une à deux journées. Nous regardons ce qui existe déjà, les exigences que vos clients vous ont réellement transmises, l'état de vos sauvegardes, qui détient les accès et ce qui dépend d'une seule personne.
L'ANSSI a publié le ReCyF, qui liste les objectifs de sécurité attendus. Nous ne cherchons pas à les couvrir tous d'un coup. Nous partons de ceux qui touchent votre infrastructure, parce qu'ils protègent votre production avant même de servir la conformité, et nous en faisons un plan daté. Le guide par où commencer concrètement les détaille objectif par objectif.
Vient ensuite l'exécution, que nous menons avec vos prestataires en place plutôt qu'en les remplaçant, et le dossier de preuves qui vous permettra de répondre à votre donneur d'ordre.
Ce que nous ne faisons pas nous-mêmes
L'audit de sécurité et le test d'intrusion reviennent à un tiers, un regard extérieur ne valant que s'il est réellement extérieur. Nous ne pouvons pas contrôler un système que nous dirigeons. Nous faisons venir ceux dont c'est le métier, nous lisons leur rapport avec vous, et nous transformons ses conclusions en décisions.
Nous ne délivrons aucune certification non plus. NIS 2 n'en prévoit pas, et quiconque vous en vend une vous vend autre chose que la conformité.
Questions fréquentes
Nous ne sommes pas dans un secteur visé, sommes-nous vraiment concernés ?
Pas directement, mais vos clients assujettis doivent maîtriser la sécurité de leur chaîne d'approvisionnement. Ils vous transmettent donc leurs obligations par le contrat. Dans le Rhône, où se concentrent la chimie, la santé et l'énergie, c'est le cas le plus fréquent, et il arrive sans préavis au moment d'un renouvellement.
Combien de temps faut-il prévoir ?
L'état des lieux prend une à deux journées. La mise en conformité elle-même dépend de ce qu'il révèle, et se traite au forfait quand le périmètre est arrêté, ou sur un volume de journées si elle s'inscrit dans un pilotage plus large. Voir nos tarifs.
Faut-il attendre que la loi française soit publiée ?
Non, et pour une raison pratique. Ce que la directive demande recoupe largement les bonnes pratiques de sécurité déjà connues, sauvegardes vérifiées, accès maîtrisés, journalisation, continuité. Ces travaux ont leur valeur propre, indépendamment du texte, et une entreprise qui les a menés répondra sans effort le jour où la question lui sera posée.
Intervenez-vous à Lyon même ?
Oui, ainsi que dans tout le Rhône, au départ de Saint-Étienne. Les réunions de direction et les visites de site se font sur place, le reste à distance. Les déplacements sont couverts par le volume engagé sous forme d'un forfait par zone.