Comment aborder la NIS2 en tant que PME, sans en faire un projet d'un an ?
L'itinéraire le plus court n'est pas de rédiger un grand plan, mais de commencer par ce qui existe déjà. La plupart des PME disposent déjà d'une politique de mot de passe, d'un calendrier de sauvegarde, d'une liste des personnes ayant accès à quels systèmes et d'un contact informatique. Ce n'est pas une politique complète de cybersécurité, mais c'est le point de départ d'un dossier : documenter pour chaque mesure son statut, le responsable et la pièce justificative attestant que c'est réellement appliqué.
Constituer un dossier de cette manière ne demande pas des mois de travail. C'est une liste que vous ouvrez aujourd'hui et qui s'enrichit au fur et à mesure de votre activité : une mesure est déjà en place, une autre sera ajoutée ce mois-ci. Il n'y a pas de moment où elle est « terminée », et ce n'est pas l'objectif non plus. L'obligation de diligence qui découle de la directive NIS2 et des lois nationales correspondantes n'est pas un exercice unique mais une pratique continue. Un registre actif y correspond mieux qu'un document épais qui disparaît dans un dossier après sa livraison.
Commencez par ce qui existe déjà, pas par une page blanche
Beaucoup d'entreprises pensent qu'elles recommencent à zéro dès que le mot NIS2 est mentionné. C'est rarement le cas. Une entreprise d'installation a généralement déjà des accords sur qui a accès aux systèmes des clients, un service des ressources humaines a un processus de révocation d'accès lors du départ d'un employé, et presque toute entreprise a une forme de sauvegarde, même si elle n'est pas documentée sous la forme d'une « politique de sauvegarde ». La première étape n'est donc pas de rédiger, mais de dresser l'inventaire : que faisons-nous déjà, où est-ce documenté, et qui peut le prouver.
Ensuite seulement vient la question de savoir quels éléments manquent encore. Cela non seulement fait gagner du temps, mais évite également de faire un travail en double ou de mettre en place une politique pour quelque chose qui est déjà bien organisé dans la pratique, simplement pas encore visible. Si vous souhaitez d'abord savoir si votre organisation est effectivement assujettie, ou si vous êtes touché par la chaîne d'un client, vous pouvez le vérifier en quelques questions pour voir où vous en êtes, sans que vous ayez besoin d'acheter quoi que ce soit.
Une mesure, un statut, un responsable, une pièce justificative
Le cœur d'un dossier opérationnel est simple : quatre champs fixes par mesure. Le statut indique si quelque chose est en place, partiellement en place ou reste à faire. Le responsable est la personne responsable, pas nécessairement le directeur lui-même. La pièce justificative est ce qui prouve l'existence de la mesure : un calendrier, une extraction d'un système, un document signé. Sans ces quatre champs, un dossier reste une collection de bonnes intentions ; avec ces champs, c'est quelque chose avec lequel vous pouvez également répondre à une liste de contrôle de sécurité d'un client, car vous n'avez pas besoin d'improviser mais pouvez vous appuyer sur ce qui est déjà documenté.
Cette structure fonctionne aussi bien parce que vous n'avez pas à tout aborder en même temps. Vous pouvez commencer par les mesures pour lesquelles vous avez déjà le plus de matière, celles qui sont rapides à mettre en ordre, et traiter le reste graduellement. Vous trouverez un aperçu des mesures exactes que l'obligation de diligence exige et ce qu'elle recouvre dans les sujets traités par situation.
Pourquoi cela va plus vite que prévu
L'impression que la NIS2 est un projet d'un an naît souvent du fait que les gens pensent en termes d'un document politique complet qui doit être prêt en une seule fois. Un registre actif fonctionne à l'inverse : il commence petit et incomplet, et est automatiquement mis à jour à chaque changement dans votre organisation, car vous êtes déjà occupé par ce changement de toute façon. Un nouveau fournisseur, un autre système d'accès, un nouvel employé ayant des droits administrateur — chaque moment est un point d'ancrage naturel pour mettre à jour le dossier, au lieu de tout refaire une fois par an.
Ce que le dossier apporte et ce qu'il n'apporte pas
Un dossier tenu à jour vous fournit les documents dont vous avez besoin : la politique elle-même, les réponses aux questionnaires de vos clients, et les textes préparés pour l'enregistrement ou la notification auprès de l'autorité compétente. Vous devez toutefois soumettre vous-même cette notification ou cet enregistrement via le portail de votre autorité compétente ; un dossier prépare cela, mais ne remplace pas la soumission. Le dossier ne remplace pas non plus un audit, un test de pénétration ou une certification — cela reste le travail de parties spécialisées, tout comme la réponse aux incidents en cas de problème réel.
Celui qui souhaite savoir précisément comment un tel dossier est constitué et quelles sources y sont utilisées le lira sur la page concernant d'où proviennent les informations de la plateforme. Pour la situation de votre propre organisation, avec les conséquences juridiques qui en découlent, un avocat ou l'autorité compétente reste le point de contact approprié.
Voulez-vous voir où se trouve votre organisation en ce moment ? Effectuez alors la vérification NIS2 gratuite ou parcourez les sujets qui correspondent le plus à votre situation.