Les dix mesures de l'obligation de diligence raisonnable, expliquées simplement
Si votre organization est assujettie à la directive NIS2 en tant qu'entité essentielle ou importante, vous êtes tenue de mettre en œuvre des mesures appropriées pour gérer les risques pesant sur vos réseaux et systèmes d'information. La directive précise cette obligation par une série de dix catégories de mesures énumérées à l'article 21. Elles sont volontairement formulées largement, de sorte qu'elles s'appliquent aussi bien à une petite entreprise artisanale de vingt employés qu'à une grande entreprise énergétique de mille. Comment reconnaître si une mesure est correctement mise en place? Non par une simple case à cocher, mais par trois éléments qui vont ensemble: un document concret ou un paramètre technique qui met en œuvre la mesure, le nom de la personne responsable de son application, et la date de la dernière vérification.
Les dix mesures se répartissent grossièrement en quatre groupes: connaître et documenter les risques, maîtriser les incidents, maîtriser la chaîne d'approvisionnement, et maintenir les effectifs et les technologies à niveau. Nous les examinerons ci-dessous, non pas comme une liste de contrôle à cocher mais comme une explication de ce que chaque mesure signifie en pratique.
Connaître et documenter les risques
La première mesure est une politique d'analyse des risques et de sécurité de l'information: un document qui décrit quels systèmes sont importants, ce qui peut mal se passer et comment vous l'évaluez. Cela n'a pas besoin d'être un rapport volumineux, mais quelque chose qu'un tiers — un autorité de contrôle, un client, un collègue nouveau — peut lire et comprendre. La directive énumère en outre une politique et des procédures pour évaluer l'efficacité des mesures: vous documentez non seulement ce que vous faites, mais aussi comment vous vérifiez que cela fonctionne. Il y a également une mesure distincte pour l'hygiène informatique et les formations: des règles pratiques élémentaires et la capacité des employés à reconnaître un courriel suspect.
Maîtriser les incidents
Un deuxième groupe concerne ce qui se passe en cas de sinistre. La gestion des incidents signifie qu'il existe une procédure définissant qui fait quoi dès qu'un incident est découvert et comment il est signalé. La continuité des opérations — y compris la gestion des sauvegardes, la reprise après sinistre et la gestion de crise — traite la question suivante: comment pouvez-vous continuer vos opérations après une panne ou une attaque? Avez-vous une sauvegarde actuelle, savez-vous qui coordonne la crise et cela a-t-il déjà été testé? C'est le domaine où les organizations s'appuient souvent sur des processus sans les avoir testés, et c'est précisément ce test qu'une autorité de contrôle ou un client veut voir.
Maîtriser la chaîne d'approvisionnement
La directive consacre une mesure distincte à la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs individuels. C'est la raison pour laquelle même les petites et moyennes entreprises non assujetties reçoivent des questionnaires de sécurité de leurs clients: le client doit évaluer sa propre chaîne d'approvisionnement pour se conformer à cette mesure. Une mesure connexe porte sur la sécurité lors de l'acquisition, du développement et de la maintenance des réseaux et systèmes d'information, y compris la gestion des vulnérabilités — c'est-à-dire aussi comment les logiciels sont achetés et tenus à jour.
Maintenir les effectifs et les technologies à niveau
Le dernier groupe est le plus technique, mais pas moins concret. La sécurité du personnel, la politique d'accès et la gestion des actifs professionnels traitent la question de qui peut accéder à quels systèmes et ce qui se passe quand quelqu'un quitte l'organization. L'utilisation de l'authentification multifacteur ou de solutions équivalentes, et les systèmes sécurisés de communications vocale, vidéo et textuelle ainsi que les systèmes sécurisés de communications d'urgence, constituent la mesure la plus proche de la pratique quotidienne: est-il toujours possible de se connecter au courrier électronique et aux systèmes d'enterprise avec un simple mot de passe, ou y a-t-il une deuxième étape? Et, le cas échéant, il existe une politique et des procédures pour l'utilisation de la cryptographie et, le cas échéant, du chiffrement.
Ce que ces dix mesures ont en commun, c'est qu'elles demandent toutes trois choses : une pièce justificative, un responsable et un moment de contrôle. C'est exactement ainsi qu'un dossier vivant est structuré, au lieu d'un instantané qui devient obsolète après six mois. La rigueur avec laquelle une mesure doit être mise en œuvre dans votre cas dépend de la taille de votre organisation et des risques associés à votre secteur — à ce sujet, le contrôle gratuit en quelques questions donne une première indication.
Pour ceux qui veulent savoir comment ces dix mesures se traduisent par la loi nationale et par des étapes concrètes par sujet, il existe un aperçu par sujet, sélectionné selon la situation. On y trouve aussi une explication de la source correspondant à chaque explication et de la date à laquelle elle a été consultée, comme décrit sur la page sur l'origine des informations. Pour la question de ce qui est exactement gratuit et ce qui fait partie d'un abonnement, il existe un aperçu des questions fréquemment posées.
Ces dix mesures sont un cadre, non pas un exercice à remplir avec une seule bonne réponse. Ce qui convient à votre organisation dépend de votre secteur, de votre taille et des systèmes dont vous dépendez — à ce sujet, le texte de la loi lui-même et les explications de l'autorité de surveillance donnent la réponse la plus certaine. Si vous voulez d'abord savoir si et comment cette obligation de diligence s'applique à votre organisation, commencez par le contrôle NIS2 gratuit ou parcourez la base de connaissances sur secria.eu.