HodeiShield®

NIS2 demande de la sécurité dans la chaîne : démontrez-la fournisseur par fournisseur.

Pour le RSSI d’une entité essentielle ou importante avec de nombreux fournisseurs TIC : HodeiShield note les dix mesures de l’article 21, mesure l’exposition de chaque fournisseur et prépare les preuves pour quiconque vous les demande.

Demander une démoLire la documentation (s’ouvre dans un nouvel onglet)
  • Notation contrôle par contrôle vérifiée sur NIS2
  • Données dans l’UE (OVH, Gravelines) ; Cloudflare (États-Unis) sur le chemin de la requête

Ce qu’exige NIS2, en bref

NIS2 oblige à gérer le risque de cybersécurité par des mesures techniques, opérationnelles et organisationnelles proportionnées, et à notifier les incidents significatifs.

Résumé informatif, pas de conseil juridique. Savoir si le texte vous concerne et avec quels délais dépend de la norme nationale de transposition.

Dix mesures minimales
L’article 21, paragraphe 2, énumère dix domaines, de la gestion des incidents à la cryptographie. L’un d’eux est la sécurité de la chaîne d’approvisionnement, y compris les aspects de la relation avec chaque fournisseur direct.
Regarder chaque fournisseur
L’article 21, paragraphe 3, demande de tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité de ses produits et de ses pratiques de cybersécurité.
Notifier dans les délais
Alerte précoce sous 24 heures, notification de l’incident sous 72 heures et rapport final sous un mois (article 23).
La direction en répond
Les organes de direction approuvent et supervisent les mesures, et peuvent répondre de leur non-respect (article 20).

Les dix mesures de l’article 21, paragraphe 2

HodeiShield note les dix à partir des preuves que vous apportez. Pour celles qui sont marquées, la plateforme fait en plus un travail propre.

  1. a)

    Analyse des risques et sécurité des systèmes

    Exposition en euros par fournisseur et registre des risques.

    Partiel
  2. b)

    Gestion des incidents

    Registre unique avec des délais de 24 h et 72 h calculés.

    Partiel
  3. c)

    Continuité et gestion de crise

    Mesure organisationnelle : preuves et suivi.

  4. d)

    Sécurité de la chaîne d’approvisionnement

    Graphe, questionnaires, analyse périodique, CVE et SBOM de chaque fournisseur.

    Direct
  5. e)

    Acquisition, développement et gestion des vulnérabilités

    Synchronisation quotidienne des CVE et SBOM face à OSV.dev.

    Partiel
  6. f)

    Évaluer l’efficacité des mesures

    Posture par référentiel et preuves avec date de validité.

    Partiel
  7. g)

    Cyberhygiène et formation

    Mesure organisationnelle : preuves et suivi.

  8. h)

    Cryptographie et chiffrement

    Mesure technique de votre environnement : preuves et suivi.

  9. i)

    Personnel, contrôle d’accès et actifs

    Mesure organisationnelle : preuves et suivi.

  10. j)

    Authentification multifacteur et communications sécurisées

    Mesure technique de votre environnement : preuves et suivi.

Les mesures sans marque sont notées par la plateforme avec les preuves que vous téléversez ; leur mise en œuvre incombe à votre organisation.

De chaque obligation de NIS2 à une capacité de HodeiShield

Avec la phase du cycle et le périmètre réel de chacune.

Direct : la plateforme le fait. Partiel : elle apporte des preuves ou une partie, le reste vous incombe. Non couvert : hors du périmètre de HodeiShield.

  • Obligation:

    Sécurité de la chaîne d’approvisionnement

    Art. 21(2)(d)

    Ce que fait HodeiShield:

    Graphe de dépendances avec propagation sur 3 sauts et concentration HHI, questionnaires par jeton avec relances et analyse externe périodique de chaque fournisseur.

    Docs · Concepts de base (s’ouvre dans un nouvel onglet)
    PhaseSENSEPREDICT
    PérimètreDirect
  • Obligation:

    Vulnérabilités et qualité des pratiques de chaque fournisseur direct

    Art. 21(3)

    Ce que fait HodeiShield:

    Score de risque de 0 à 100 par fournisseur combinant analyse, questionnaire et CVE connues, avec un registre des décisions sur le fournisseur.

    Docs · Moteur de risque (s’ouvre dans un nouvel onglet)
    PhaseSENSEPREDICT
    PérimètreDirect
  • Obligation:

    Gestion et divulgation des vulnérabilités

    Art. 21(2)(e)

    Ce que fait HodeiShield:

    Synchronisation quotidienne des CVE (NVD, CISA KEV et EPSS, la probabilité d’exploitation) et SBOM des fournisseurs croisés avec OSV.dev. La divulgation coordonnée de vos propres vulnérabilités n’en fait pas partie.

    Docs · Chaîne SBOM, CVE et alerte (s’ouvre dans un nouvel onglet)
    PhaseSENSE
    PérimètrePartiel
  • Obligation:

    Analyse des risques

    Art. 21(2)(a)

    Ce que fait HodeiShield:

    ALE FAIR en euros comme estimation ponctuelle, avec une fourchette d’incertitude simulée (non calibrée), et simulateur déterministe de scénarios.

    Docs · Moteur de risque (s’ouvre dans un nouvel onglet)
    PhasePREDICT
    PérimètrePartiel
  • Obligation:

    Alerte précoce sous 24 h et notification sous 72 h

    Art. 23

    Ce que fait HodeiShield:

    Enregistre l’incident une fois, le classe et calcule les délais. La notification à l’autorité ou au CSIRT, c’est vous qui l’envoyez.

    Démo · registre des incidents
    PhaseHors du cycle
    PérimètrePartiel
  • Obligation:

    Approbation et supervision par la direction

    Art. 20

    Ce que fait HodeiShield:

    Tableau de bord exécutif et rapports PDF avec la posture, les obligations et la feuille de route de remédiation.

    Docs · Conformité (s’ouvre dans un nouvel onglet)
    PhasePREDICT
    PérimètrePartiel
  • Obligation:

    Mesures organisationnelles et techniques des autres points

    Art. 21(2)(c)(f)(g)(h)(i)(j)

    Ce que fait HodeiShield:

    Preuves avec responsable, validité et statut, bibliothèque de politiques et feuille de route priorisée. La plateforme note ; elle ne met pas la mesure en œuvre.

    Docs · Conformité (s’ouvre dans un nouvel onglet)
    PhaseSENSEPREDICT
    PérimètrePartiel
  • Obligation:

    Montrer l’état à un client ou à une autorité

    Art. 21

    Ce que fait HodeiShield:

    Trust Center en accès public ou restreint (NDA / revue manuelle), et attestation ATTEST de bande par référentiel. Elle prouve l’intégrité et l’origine, pas que les preuves soient véridiques.

    Docs · Vérificateur ATTEST (s’ouvre dans un nouvel onglet)
    PhaseATTEST
    PérimètrePartiel

Ce que HodeiShield ne fait pas avec NIS2

Des limites explicites.

  • Il ne détermine pas si vous êtes une entité essentielle ou importante

    Cela dépend de votre secteur, de votre taille et de la norme nationale. C’est votre organisation qui en décide avec son conseil juridique.

  • Il ne met pas les mesures en œuvre et ne notifie pas à votre place

    Il note les mesures et calcule les délais. Appliquer la cryptographie ou envoyer l’alerte précoce reste votre affaire.

  • Il ne surveille pas les fournisseurs en continu

    Les analyses de fournisseurs sont périodiques, via des sources externes, et l’agent remonte ses données par cycle. Ce n’est pas du temps réel.

  • Le score n’est pas une conformité

    Il oriente votre travail. Il ne remplace pas une évaluation de l’autorité compétente ni ne garantit la conformité.

Questions sur NIS2

Ce que l’on demande le plus avant une démo.

Que demande NIS2 au sujet de mes fournisseurs ?

Elle inclut la sécurité de la chaîne d’approvisionnement parmi les mesures minimales (article 21, paragraphe 2, point d)) et demande de tenir compte des vulnérabilités de chaque fournisseur direct et de la qualité de ses pratiques de cybersécurité (article 21, paragraphe 3).

NIS2 s’applique-t-elle à moi ?

Cela dépend du secteur (annexes I et II), de la taille et de la transposition nationale. HodeiShield ne le détermine pas ; votre conseil juridique le précise avec la norme en vigueur.

Comment aide-t-il pour les délais de 24 et 72 heures ?

Vous enregistrez l’incident une fois, vous le classez et la plateforme calcule les délais applicables. L’envoi de la notification à l’autorité compétente, c’est vous qui le faites.

HodeiShield me met-il en conformité avec NIS2 ?

Non. Il mesure votre posture face aux dix mesures, mesure vos fournisseurs et met vos preuves en ordre. Se conformer exige de mettre en œuvre les mesures et que vos preuves les étayent.

Le score des fournisseurs est-il continu ?

Non. Les analyses sont périodiques via des sources externes, les questionnaires sont remplis par le fournisseur et la synchronisation des CVE est quotidienne.

Solutions associées

Autres cas d’usage

Mettez vos fournisseurs en ordre avant la prochaine demande

Lors de la démo, nous parcourons l’article 21 avec un cas d’exemple : du fournisseur avec une CVE dans KEV aux preuves que vous pouvez montrer.

Sans engagement. Des données d’exemple, jamais celles d’autres clients.

Demander une démoLire la documentation (s’ouvre dans un nouvel onglet)