La formation de sensibilisation à la sécurité est-elle obligatoire pour les prestataires de services TIC selon NIS2 ?
La directive NIS2 mentionne explicitement la sensibilisation et la formation comme l'une des mesures que l'article 21 demande aux organisations d'appliquer pour gérer les risques de cybersécurité. Pour une entité essentielle ou importante, il ne s'agit donc pas d'un conseil facultatif mais d'une composante de la diligence requise, aux côtés de mesures comme la gestion des accès et l'enregistrement des incidents. Pour un prestataire de services TIC qui ne relève pas lui-même de la NIS2, mais qui est évalué en tant que fournisseur, la question revient souvent dans un questionnaire de sécurité : dispensez-vous une formation, à qui, et à quelle fréquence.
Il est important de distinguer ceci : la directive prévoit, en plus de cette mesure, une disposition distincte qui porte spécifiquement sur le conseil d'administration lui-même. Il s'agit d'une obligation différente, avec un objectif différent et un public cible différent. Ceux qui confondent les deux sous-estiment souvent ce qui est demandé au reste de l'organisation, ou à l'inverse ce qui est spécifiquement demandé au conseil d'administration.
Ce que la diligence requise demande à l'organisation
Les dix mesures de l'article 21 sont formulées sur la base du risque : la directive ne prescrit pas un nombre d'heures de formation, une fréquence ou un prestataire particulier. Ce qui compte, c'est que les collaborateurs identifient les risques pertinents pour leurs fonctions. Pour un prestataire de services TIC, il s'agit souvent de l'hameçonnage, du comportement en matière de mots de passe, de la gestion de l'accès aux environnements des clients et de la reconnaissance d'un incident. Les autorités de contrôle vérifient si la mesure a été véritablement mise en œuvre, non pas le respect d'un nombre minimum d'heures de formation enregistrées.
Cela fait de celle-ci l'une des mesures où un fournisseur PME peut relativement rapidement mettre en place quelque chose de pertinent : un moment de formation bref, une évaluation, une attestation de participation. La question « qui a suivi cela et quand » est précisément ce qu'un client souhaite souvent voir dans un questionnaire, et précisément ce qu'un dossier vivant peut facilement démontrer.
La différence avec l'obligation de formation du conseil d'administration
La directive impose par ailleurs une responsabilité spécifique au conseil d'administration d'une entité essentielle ou importante. Cette disposition vise à garantir que les administrateurs disposent eux-mêmes d'une compréhension suffisante des risques de cybersécurité pour pouvoir approuver les mesures de diligence requise et les superviser. Il ne s'agit donc pas d'une formation pour toute l'organisation, mais d'une obligation qui repose sur le conseil d'administration lui-même et qui est indépendante de la mesure générale de sensibilisation pour les collaborateurs.
Pour un prestataire de services TIC qui ne relève pas lui-même de la réglementation, cette disposition relative au conseil d'administration ne s'applique pas directement. Mais dans la pratique, un client assujetti demande parfois davantage : non seulement si les collaborateurs ont reçu une formation, mais aussi si la direction est suffisamment impliquée dans la politique de sécurité. Cela fait alors partie de l'évaluation du fournisseur, non pas d'une obligation légale propre à ce fournisseur.
Ce que cela signifie si vous êtes affecté via la chaîne d'approvisionnement
Si votre organisation ne relève pas elle-même de la NIS2 mais fournit des services à une entité qui y est soumise, ce client peut, dans le cadre de sa propre diligence requise, s'enquérir de votre approche en matière de formation. Cela se fait généralement par le biais d'un questionnaire ou d'une clause contractuelle, et non par une obligation légale qui vous incombe directement. La différence est plus qu'une simple formalité : elle détermine si vous êtes tenu de vous conformer, ou si vous faites le choix de répondre à l'exigence de votre client pour conserver le contrat. consulter l'explication par sujet montre comment cette distinction s'applique également à d'autres mesures.
Savoir si votre organisation est affectée via la chaîne d'approvisionnement, et lesquelles des dix mesures sont pertinentes à cet égard, peut être déterminé en quelques questions. voir en quelques questions si et comment cela affecte votre organisation donne une première indication à ce sujet, sans que vous ayez besoin d'un compte.
Documenter la formation comme preuve
Ce qui rend une formation précieuse pour un dossier n'est pas seulement son contenu, mais l'enregistrement : qui a participé, quand et avec quel résultat. Un certificat de participation par agent, associé à un statut et à un propriétaire, est exactement le type de preuve qui est demandé dans un questionnaire de sécurité et qui, en cas de renouvellement, permet d'économiser du travail d'investigation. voir d'où provient cette information explique comment un tel dossier est structuré et comment il est tenu à jour.
Pour la formulation exacte de la directive sur ce point, et pour la transposition nationale applicable à votre situation, le texte officiel fait autorité. Si vous doutez qu'une exigence spécifique d'un questionnaire va au-delà de ce que l'obligation de diligence raisonnablement demande, c'est une question pour un juriste ou, en cas de doute sur votre propre statut, pour l'autorité de contrôle compétente.
Voulez-vous savoir si et comment votre organisation est confrontée à ces exigences via la chaîne d'approvisionnement ? Effectuez la vérification NIS2 gratuite ou consultez les réponses aux questions fréquemment posées pour une première orientation.