Comment atteindre la conformité NIS2 avec un logiciel ?
Par HodeitekPublié
Pour les responsables sécurité et conformité d'entités essentielles ou importantes qui se demandent quelle part de NIS2 peut être automatisée et quelle part reste un travail humain.
Le logiciel aide à organiser le travail NIS2 : il consigne mesures et preuves, surveille les fournisseurs et compte les délais de notification d'incident. Il ne remplace pas les décisions. L'analyse de risques, l'approbation des mesures par la direction et le dépôt auprès de l'autorité restent à vous.
Ce qu'exige NIS2 et de qui
La directive (UE) 2022/2555 s'applique, selon son article 2, aux entités des secteurs de ses annexes qui atteignent au moins la taille d'une moyenne entreprise, et à certaines quelle que soit leur taille. L'article 3 les répartit en entités essentielles et importantes. Chaque État membre la transpose en droit national : vérifiez la loi et l'autorité qui vous concernent.
Les amendes maximales de l'article 34 sont d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et 7 millions ou 1,4 % pour les importantes, le montant le plus élevé étant retenu.
Article 21 : mesures de gestion des risques
L'article 21 demande des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, selon une approche tous risques. Le paragraphe 2 énumère dix domaines, dont l'analyse des risques, la gestion des incidents, la continuité, la sécurité de la chaîne d'approvisionnement, la cryptographie et le contrôle d'accès.
Ce que le logiciel peut faire
- Conserver chaque mesure avec son responsable, son état et sa preuve, et alerter quand la preuve expire.
- Tenir un registre des risques et une bibliothèque de politiques avec versions.
- Réutiliser une même preuve dans plusieurs référentiels quand une correspondance entre contrôles existe.
- Produire des rapports pour la direction et pour un audit.
Ce que le logiciel ne peut pas faire
Les mesures doivent être proportionnées à votre risque, et cette proportionnalité, c'est vous qui la décidez. Un outil ne configure pas votre réseau, ne forme pas votre personnel et ne rend pas une mesure efficace du seul fait de l'enregistrer.
Ce qui reste un travail humain
- Décider quels risques vous acceptez et quelle mesure est proportionnée.
- Mettre en œuvre les contrôles techniques et organisationnels.
- Former le personnel et la direction.
- Prouver que les mesures fonctionnent, pas seulement qu'elles sont documentées.
Article 21, paragraphe 2, point d) : sécurité de la chaîne d'approvisionnement
L'article 21, paragraphe 2, point d), couvre les aspects de sécurité de la relation avec chaque fournisseur ou prestataire direct, et le paragraphe 3 demande de tenir compte des vulnérabilités propres à chacun et de la qualité globale de ses produits et pratiques de cybersécurité. C'est aussi par cette voie qu'une entreprise hors du champ direct peut se retrouver avec des exigences NIS2 dans ses contrats.
Le logiciel aide pour l'inventaire, les preuves et le suivi par fournisseur. Il ne remplace pas la décision de recruter, garder ou quitter un fournisseur.
Ce que l'outil devrait faire
- Un inventaire des fournisseurs avec criticité, responsable et contrat.
- Des preuves par fournisseur avec date de validité, et plusieurs façons de les obtenir.
- Le suivi des vulnérabilités et violations connues de chaque fournisseur.
- Le suivi des clauses de notification d'incident vers vous.
Source: Directive (UE) 2022/2555 (NIS2), articles 2, 3, 20, 21, 23 et 34, sur EUR-Lex (s’ouvre dans un nouvel onglet); Règlement d'exécution (UE) 2024/2690, exigences techniques et méthodologiques, sur EUR-Lex (s’ouvre dans un nouvel onglet)
Article 23 : notification des incidents
Pour un incident important, l'article 23, paragraphe 4, fixe trois jalons. Une alerte précoce sans retard injustifié et en tout état de cause dans les 24 heures après en avoir eu connaissance. Une notification d'incident dans les 72 heures. Un rapport final au plus tard un mois après la notification. Si l'autorité le demande, un rapport intermédiaire en plus.
Pour les types d'entités qu'il couvre, le règlement d'exécution (UE) 2024/2690 précise ce qui constitue un incident important.
Ce que le logiciel peut faire
- Enregistrer l'incident une fois et compter les délais à partir du moment de la connaissance.
- Proposer une classification avec ses critères et préparer des brouillons pour chaque notification.
- Garder la trace de qui a décidé quoi et quand.
Source: Directive (UE) 2022/2555 (NIS2), articles 2, 3, 20, 21, 23 et 34, sur EUR-Lex (s’ouvre dans un nouvel onglet); Règlement d'exécution (UE) 2024/2690, exigences techniques et méthodologiques, sur EUR-Lex (s’ouvre dans un nouvel onglet)
Article 20 : responsabilité de la direction
L'article 20 oblige l'organe de direction à approuver les mesures de risque, à en superviser l'application et à répondre des manquements, et à suivre des formations. Aucun logiciel n'assume cette responsabilité. Il peut donner à la direction des données claires et une trace de ce qu'elle a approuvé.
Comment évaluer un outil
Les outils sont de plusieurs types : suites GRC, plateformes de gestion d'incidents, plateformes de risque tiers et plateformes intégrées. HodeiShield est une des intégrées et une option parmi d'autres. Selon sa documentation, il classe un incident au regard de NIS2, DORA et RGPD avec les critères, des comptes à rebours de délais à l'écran et un brouillon téléchargeable par autorité, et le dépôt est à votre charge. Il dispose d'une correspondance multi-référentiel, où une réponse se propage aux contrôles équivalents d'autres référentiels, et d'un portail où le fournisseur répond par un lien à usage unique, sans compte. Il mesure NIS2 comme couverture sur ses contrôles, non comme certification.
Pour tout outil, voici les tests à faire.
Ce qu'il faut vérifier lors d'une démo
- Que chaque mesure de l'article 21 ait un responsable, un état et une preuve avec date de validité.
- Que le module fournisseurs couvre inventaire, preuves et suivi, pas seulement un questionnaire.
- Que les délais de 24 heures, 72 heures et un mois se comptent seuls et que le brouillon soit modifiable.
- Que le dépôt auprès de l'autorité reste entre vos mains et que l'outil le dise clairement.
- Qu'il y ait un journal des modifications et l'export de vos données.
- Qu'il explique où les données sont hébergées et ce qu'il ne couvre pas.
Questions fréquentes
- Un logiciel peut-il me rendre conforme à NIS2 ?
- Pas à lui seul. Il peut organiser mesures, preuves et délais. L'approbation de la direction, l'analyse de risques et la mise en œuvre des contrôles relèvent de l'entité.
- Quels délais NIS2 fixe-t-elle pour notifier un incident ?
- Une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final au plus tard un mois après la notification (article 23, paragraphe 4). Si l'autorité le demande, aussi un rapport intermédiaire.
- NIS2 me concerne-t-elle si je ne suis ni entité essentielle ni importante ?
- Pas directement, mais si vous fournissez une entité qui l'est, elle peut l'exiger de vous par contrat pour remplir son obligation sur la chaîne d'approvisionnement de l'article 21.
- Un certificat ISO/IEC 27001 suffit-il ?
- La directive ne dit pas qu'un certificat démontre à lui seul le respect de l'article 21. Il sert de preuve pour certaines mesures, avec le reste.
- Qui dépose la notification auprès de l'autorité ?
- L'entité. Un outil peut préparer le brouillon et compter les délais, mais le dépôt par le canal fixé par votre autorité nationale vous appartient.
Guide associé
Comment évaluer les plateformes TPRM pour mon secteur ?Pour comparer les plateformes de risque tiers selon DORA, NIS2, ENS, HIPAA, CMMC 2.0 et SAMA ou ECC, lisez le guide d'évaluation par secteur.
Sources
Voyez ce que cela donnerait avec vos données
Lors d'une démo, nous parcourons avec des données d'exemple la classification des incidents, les délais et le suivi des fournisseurs, et nous vous disons ce qui n'est pas couvert. Une personne de Hodeitek vous répond.