Actualités et modifications
Modifications de la norme, nouvelles sources juridiques et ce que les clients et les banques ont commencé à demander en pratique — et ce que vous devez en faire.
Authentification multifacteur dans l'industrie métallurgique et manufacturière : où est-ce obligatoire et où ne l'est-ce pas ?
L'obligation de diligence ne cite aucune technologie par son nom, mais décrit néanmoins les situations où une protection d'accès forte est attendue — et pourquoi les anciens systèmes de production demandent souvent une approche différente.
En savoir plus →Sauvegardes et récupération dans l'industrie métallurgique et manufacturière : quand avez-vous effectué le dernier test ?
Une sauvegarde qui existe ne signifie rien si personne n'a essayé de la restaurer. Cet article explique pourquoi, précisément dans l'industrie métallurgique et manufacturière, le test de récupération est au centre de l'attention, et non la sauvegarde elle-même.
En savoir plus →Enregistrement des incidents dans l'industrie métallurgique et manufacturière : que devez-vous documenter ?
Que devez-vous enregistrer lorsqu'un incident de cybersécurité affecte votre environnement de production, et pourquoi les machines connectées au réseau exigent une approche différente d'un ordinateur portable au bureau.
En savoir plus →Contrôle d'accès dans l'industrie métallurgique et manufacturière : qui a accès à quels systèmes de production ?
Un guide pratique du contrôle d'accès pour les entreprises de production : qui a accès à quels systèmes, comment mettre cela en place pour les machines et automates programmables connectés au réseau, et ce que précisément les clients demandent à ce sujet.
En savoir plus →Quelles exigences un donneur d'ordre impose-t-il à l'industrie des métaux et de la fabrication après la NIS2 ?
Les donneurs d'ordre qui relèvent eux-mêmes de la NIS2 traduisent leur obligation de diligence en exigences contractuelles pour les fournisseurs de l'industrie des métaux et de la fabrication — en accordant une attention particulière aux machines et aux systèmes de production connectés au réseau.
En savoir plus →L'industrie métallurgique et manufacturière relève-t-elle de la NIS2 ?
Pour les entreprises métallurgiques et les constructeurs de machines, une obligation en vertu de la NIS2 dépend de trois éléments à la fois : le secteur précis, la taille de l'entreprise et le rôle dans la chaîne d'approvisionnement d'un donneur d'ordre plus important.
En savoir plus →Questionnaire de sécurité dans l'industrie métallurgique et manufacturière : quelles questions reviennent régulièrement ?
Les fournisseurs de l'industrie métallurgique et manufacturière reçoivent souvent les mêmes questions sur leur environnement de production. Cet article énumère les catégories récurrentes, avec les systèmes de production connectés au réseau comme élément central.
En savoir plus →Sensibilisation et formation dans le secteur de l'installation : que demande le devoir de diligence de NIS2 ?
Le devoir de diligence exige que les collaborateurs d'une entreprise d'installation soient régulièrement sensibilisés aux risques de cybersécurité ; les dirigeants sont soumis à une obligation de formation personnelle distincte. Cet article explique la différence.
En savoir plus →Que devrait contenir la politique de sécurité de l'information d'une entreprise d'installation ?
Un aperçu de ce qu'une politique de sécurité de l'information pour le secteur de l'installation doit contenir, précisément parce que les installateurs sur site ont accès aux bâtiments et aux systèmes des clients.
En savoir plus →Politique d'approvisionnement pour les entreprises d'installation : comment évaluez-vous qui peut accéder chez votre client ?
Une entreprise d'installation travaille elle-même avec des sous-traitants, des travailleurs indépendants et des fournisseurs qui ont accès aux bâtiments et aux systèmes de votre client. Cet article montre comment vous cartographiez et évaluez votre propre chaîne d'approvisionnement.
En savoir plus →Authentification multifactorielle dans le secteur de l'installation : où est-elle obligatoire et où ne l'est-elle pas ?
Un aperçu des endroits où l'authentification à deux facteurs est attendue dans le secteur de l'installation, et pourquoi l'accès aux bâtiments et aux systèmes des clients sur site nécessite souvent une évaluation distincte.
En savoir plus →Sauvegardes et récupération dans le secteur de l'installation : quand avez-vous fait le dernier test ?
Une sauvegarde que personne n'a jamais restaurée n'est pas une garantie mais une hypothèse. Cet article explique ce que « tester » signifie concrètement pour une entreprise d'installation ayant accès aux bâtiments et systèmes des clients.
En savoir plus →Enregistrement des incidents dans le secteur de l'installation : que documentez-vous en cas de problème ?
Une panne, une clé volée ou un compte mal configuré chez un client : ce qu'une entreprise d'installation enregistre en cas de problème, et pourquoi cela va bien au-delà d'un signalement d'erreur dans un système de tickets.
En savoir plus →Contrôle d'accès dans le secteur de l'installation : qui a accès à quels systèmes et clés ?
Le contrôle d'accès est la mesure sur laquelle les questionnaires de sécurité posent le plus souvent des questions. Pour les entreprises d'installation, cela ne concerne pas seulement les mots de passe, mais aussi les clés, les badges et l'accès chez le client sur site.
En savoir plus →Quelles exigences un client impose-t-il aux entreprises d'installation après la NIS2 ?
Les clients qui relèvent eux-mêmes de l'obligation de diligence raisonnable de la NIS2 traduisent cette obligation en exigences contractuelles pour les installateurs — notamment concernant l'accès aux bâtiments, les clés et les systèmes de bâtiment. Cet article explique ce que vous pouvez attendre et pourquoi.
En savoir plus →Le secteur de l'installation relève-t-il de la NIS2 ?
Pour les entreprises d'installation, la réponse dépend du secteur, de la taille et de l'accès qu'elles ont aux bâtiments et systèmes des clients qui relèvent eux-mêmes de la NIS2.
En savoir plus →Questionnaire de sécurité dans le secteur de l'installation : quelles sont les questions récurrentes ?
Une entreprise d'installation qui travaille sur site chez les clients et gère les systèmes à distance reçoit souvent un questionnaire de sécurité comportant des questions spécifiques sur l'accès aux bâtiments et aux systèmes. Cet article énumère les questions qui reviennent régulièrement.
En savoir plus →Formation à la sensibilisation à la sécurité dans le développement de logiciels : que demande l'obligation de diligence ?
L'obligation de diligence NIS2 exige des développeurs de logiciels qu'ils forment leurs employés à la sensibilisation à la sécurité, et impose en outre une obligation de formation personnelle et distincte aux administrateurs. Cet article explique la différence.
En savoir plus →Que doit contenir la politique de sécurité de l'information pour le développement de logiciels ?
Une politique de sécurité de l'information pour le développement de logiciels décrit à la fois comment vous sécurisez le produit que vous construisez et comment vous protégez votre propre chaîne de développement — cet article explique quels éléments devraient s'y trouver.
En savoir plus →Politique d'approvisionnement pour le développement logiciel : comment évaluez-vous vos propres fournisseurs ?
Les entreprises de logiciels reçoivent elles-mêmes des questionnaires de sécurité, mais doivent également évaluer leurs propres fournisseurs. Cet article montre comment mettre en place cela, en distinguant deux points d'attention particuliers : la chaîne de développement et le code de votre produit.
En savoir plus →Authentification multifactorielle dans le développement logiciel : où est-elle justifiée et où ne l'est-elle pas ?
Un aperçu des contextes où l'authentification à deux facteurs dans le développement logiciel est appropriée, et des situations où cela est moins évident.
En savoir plus →Sauvegardes et récupération dans le développement logiciel : quand avez-vous effectué le dernier test ?
Une sauvegarde que vous n'avez jamais restaurée est une hypothèse, pas une mesure — certainement pas pour le code source, la chaîne de développement et les secrets qui en dépendent.
En savoir plus →Enregistrement des incidents dans le développement de logiciels : qu'enregistrez-vous en cas de problème ?
Un aperçu de ce qu'une entreprise de développement de logiciels enregistre lors d'un incident : la distinction entre une vulnérabilité du code que vous livrez et un problème dans votre propre chaîne de développement, et ce qu'un client souhaite voir à ce sujet.
En savoir plus →Contrôle d'accès dans le développement logiciel : qui peut accéder au code source et à la chaîne de développement ?
Une explication de ce que le contrôle d'accès signifie pour une équipe de développement : qui peut accéder au code source, à la chaîne de montage et à l'environnement de production, et comment vous documentez cela pour votre dossier de cybersécurité.
En savoir plus →Quelles exigences figurent dans le contrat de développement logiciel après la NIS2?
Un donneur d'ordre qui relève lui-même de l'obligation de diligence de la NIS2 transpose cette obligation en exigences contractuelles pour le logiciel que vous développez et pour la manière dont vous le développez. Cet article expose les exigences qui en découlent généralement.
En savoir plus →Le développement de logiciels est-il couvert par la NIS2 ?
Le développement de logiciels ne figure pas comme secteur distinct dans les annexes de la NIS2, mais via la fourniture de services en nuage ou de services TIC, la taille de votre entreprise et votre position en tant que fournisseur peuvent néanmoins vous exposer à la directive.
En savoir plus →Quelles questions une entreprise de logiciels reçoit-elle dans une liste de contrôle NIS2 ?
Un aperçu des questions qui reviennent spécifiquement pour les développeurs de logiciels dans les listes de contrôle de sécurité : sur le code que vous construisez et sur la chaîne de développement dans laquelle vous le faites.
En savoir plus →La formation de sensibilisation à la sécurité est-elle obligatoire pour les prestataires de services TIC selon NIS2 ?
NIS2 mentionne la sensibilisation et la formation comme l'une des dix mesures de gestion des risques, indépendamment de l'obligation de formation distincte pour la direction. Cet article explique la différence et ce que cela signifie pour un prestataire de services TIC.
En savoir plus →Que doit contenir la politique de sécurité de l'information d'un prestataire de services TIC ?
Une politique de sécurité de l'information pour un prestataire de services TIC décrit comment vous gérez l'administration à distance, l'accès aux systèmes des clients et les sous-traitants — cet article montre quels éléments doivent y figurer.
En savoir plus →Établir une politique d'approvisionnement pour les services TIC : par où commencer ?
Les prestataires de services TIC reçoivent eux-mêmes des questionnaires de la part de leurs clients, mais doivent également évaluer leurs propres fournisseurs : sous-traitants, outils de gestion à distance et toute personne ayant accès aux systèmes des clients.
En savoir plus →Authentification multifacteur dans les services TIC : où est-elle obligatoire et où ne l'est-elle pas ?
L'authentification multifacteur figure dans pratiquement toutes les obligations de diligence de la NIS2 et dans chaque questionnaire de sécurité, mais l'exigence varie selon le type d'accès. Cet article montre où l'AMF est structurellement attendue et où le débat reste ouvert.
En savoir plus →Sauvegardes et récupération dans les services TIC : quand les avez-vous testées pour la dernière fois ?
Une sauvegarde qui existe mais n'a jamais été restaurée ne compte pas dans l'évaluation des mesures de gestion des risques. Ce que cela signifie concrètement pour la gestion à distance, l'accès aux systèmes clients et les sous-traitants.
En savoir plus →Enregistrement des incidents dans les services TIC : qu'enregistrez-vous ?
En tant que prestataire de services TIC, vous travaillez souvent à distance dans les systèmes de vos clients, parfois avec un sous-traitant. Cet article décrit ce que vous enregistrez dès qu'il y a un problème, afin que vous puissiez le montrer ultérieurement.
En savoir plus →Contrôle d'accès dans la fourniture de services TIC : qui a accès à quoi ?
Une explication de ce que le contrôle d'accès implique dans le cadre de l'obligation de diligence de la NIS2, et pourquoi les questionnaires posent les questions les plus précises ici sur la gestion à distance, l'accès des clients et les sous-traitants.
En savoir plus →Ce qu'un client des services TIC exige après la NIS2
Les clients qui relèvent eux-mêmes de l'obligation de diligence de la NIS2 traduisent cette obligation en exigences contractuelles envers leur prestataire TIC — sur l'accès aux systèmes, la gestion à distance et les sous-traitants.
En savoir plus →Les services informatiques relèvent-ils de la NIS2 ?
Pour les prestataires de services informatiques, la réponse est double : une partie relève directement de la liste des secteurs NIS2, une part beaucoup plus importante est concernée parce que les clients doivent les évaluer en tant que fournisseur ayant accès aux systèmes.
En savoir plus →Questionnaire de sécurité dans la prestation de services TIC : quelles sont les questions récurrentes ?
Les prestataires de services TIC reçoivent souvent les questionnaires de sécurité les plus détaillés en raison de leur accès aux systèmes des clients. Cet article énumère les sujets récurrents : gestion à distance, accès aux systèmes des clients et sous-traitants.
En savoir plus →Réutiliser le questionnaire de sécurité : pourquoi cela prend seulement quelques minutes la deuxième fois
Le premier questionnaire de sécurité d'un client prend des heures de recherche et de formulation. Celui qui enregistre les réponses dans un dossier constate que le deuxième et le troisième questionnaire ne nécessitent plus qu'une vérification et quelques ajustements.
En savoir plus →Aborder la directive NIS2 en tant que PME : comment constituez-vous un dossier sans en faire un projet d'un an ?
Un dossier NIS2 ne doit pas être un projet long : commencez par ce que votre entreprise possède déjà et complétez mesure par mesure avec le statut, le responsable et la pièce justificative.
En savoir plus →NIS2 ou DORA : quel règlement s'applique à mon organisation ?
Les établissements financiers relèvent de DORA et non de la directive NIS2. Cet article explique comment identifier, selon votre secteur, quel règlement s'applique à votre organisation.
En savoir plus →Quel est le montant de l'amende pour la NIS2, et qui peut réellement la recevoir ?
La directive énonce des montants maximaux élevés, mais ceux-ci ne s'appliquent qu'aux organismes qui relèvent directement de la directive (UE) 2022/2555. Pour le groupe beaucoup plus large de fournisseurs, le risque réel n'est pas l'amende, mais la perte du contrat qui intervient plus tôt.
En savoir plus →La direction est-elle personnellement responsable en vertu de la directive NIS2 ?
La directive NIS2 impose une part de l'obligation de diligence directement à la direction : approuver, surveiller et former. Cet article explique ce que cela signifie concrètement et pourquoi cela ne peut pas être confié à un prestataire.
En savoir plus →Existe-t-il un certificat NIS2 ?
Non — il n'existe pas de certificat NIS2 officiel ni d'organisme qui le délivre. Cet article explique ce que la directive exige réellement et comment le démontrer de manière crédible.
En savoir plus →NIS2 et ISO 27001 : quelle est la différence ?
Un certificat ISO 27001 couvre beaucoup de ce que la Directive (EU) 2022/2555 exige en matière de mesures de gestion des risques, mais non l'obligation d'enregistrement ni l'obligation de notification auprès d'une autorité de surveillance.
En savoir plus →Enregistrement NIS2 auprès de l'autorité de surveillance : comment cela fonctionne-t-il ?
Les entités essentielles et importantes doivent se déclarer elles-mêmes auprès de l'autorité nationale de surveillance — cet article explique quelles données sont nécessaires à cet effet et pourquoi personne ne vous y rappellera.
En savoir plus →Obligation de signalement NIS2 : que signifient exactement 24 heures, 72 heures et un mois ?
La directive NIS2 prévoit trois moments de signalement après un incident significatif. Ce qui est attendu à chaque moment diffère de ce qui est généralement affirmé.
En savoir plus →Quelles dix mesures la NIS2 impose-t-elle à votre organisation?
L'obligation de diligence raisonnable découlant de la directive NIS2 énumère dix catégories de mesures de sécurité. Cet article explique en termes simples ce que chaque mesure signifie et comment reconnaître si elle est correctement mise en place.
En savoir plus →Questionnaire de sécurité d'un client : que devez-vous en faire ?
Un client vous envoie une longue questionnaire sur votre sécurité et y fait référence à NIS2. Ce que signifie cette liste, pourquoi elle arrive et comment vous parvenez à une réponse utile.
En savoir plus →Mon entreprise est-elle soumise à NIS2 ?
Deux questions déterminent si votre entreprise est elle-même soumise à la directive NIS2 : le secteur dans lequel vous êtes actif et la taille de votre organisation. Si vous n'y êtes pas soumis, vous pouvez néanmoins être concerné via un client ou un fournisseur.
En savoir plus →