Accompagnement à la mise en conformité NIS 2

La directive (UE) 2022/2555, dite NIS 2, étend la cybersécurité réglementaire à 18 secteurs. En France, l’ANSSI prévoit plusieurs milliers d’entités concernées, contre quelques centaines sous la première directive. Elles se répartissent en deux catégories, essentielles et importantes, qui n’ont pas les mêmes obligations.

La loi de transposition imposera aux entités quatre séries d’obligations :

• s’enregistrer auprès de l’ANSSI et tenir ses informations à jour ;
• gérer les risques dans les dix domaines de l’article 21 : politiques de sécurité, gestion des incidents, continuité, chaîne d’approvisionnement, contrôle d’accès, cryptographie, formation… ;
• notifier les incidents importants dans les délais de l’article 23 et, s’il y a lieu, en informer les destinataires de leurs services ;
• engager la direction, qui approuve les mesures, en supervise la mise en œuvre et se forme.

Pour un incident important, l’alerte précoce et la notification se comptent à partir du moment où l’entité en a connaissance.

La France n’a pas transposé la directive dans les délais. Le projet de loi « résilience », qui transpose NIS 2 avec deux autres textes européens, est toujours en discussion au Parlement.

Selon l’ANSSI, NIS 2 entrera en vigueur en France quand l’ensemble des textes (loi, décrets, arrêtés) aura été publié, et cette date ne se confondra pas avec celle de l’application de toutes les exigences.

Le statut dépend de la taille de l’organisation et de son secteur. Il détermine le mode de supervision et le plafond des sanctions.

Les effectifs et les montants des entreprises partenaires ou liées s’additionnent, et les plafonds de sanction définitifs seront fixés par la loi française. Certaines entités sont visées quelle que soit leur taille, comme les fournisseurs de services DNS ou les prestataires de services de confiance qualifiés ; les fournisseurs de réseaux et de services de communications électroniques accessibles au public sont essentiels dès la taille moyenne. Pour un opérateur d’importance vitale, le ReCyF s’applique aux systèmes d’information autres que ses systèmes d’importance vitale, qui restent soumis à la loi de programmation militaire.

Le ReCyF admet qu’une certification ou une prestation qualifiée par l’ANSSI démontre tout ou partie de certains objectifs, selon des conditions qu’il précise. Une organisation certifiée ISO 27001 ou déjà auditée par un prestataire qualifié réutilise ces éléments dans son dossier de preuves.

Il peut être précédé d’un atelier d’une demi-journée avec votre direction, qui pose les enjeux et les responsabilités, et d’une note d’éligibilité rédigée en un à deux jours pour établir votre statut et votre périmètre. Le diagnostic se déroule ensuite en cinq étapes.

La restitution présente le niveau de conformité global, puis sa répartition par famille d’objectifs. Le détail, objectif par objectif, reste dans le rapport.

• Digitemis est qualifié PASSI LPM par l’ANSSI, sur les cinq portées d’audit.
• Chaque diagnostic est conduit par un binôme : un consultant gouvernance et un auditeur technique.
• Les chantiers NIS 2 servent souvent aussi ISO 27001, DORA ou le RGPD : nous les traitons ensemble.
• Après la mise en conformité, nous assurons les revues périodiques du ReCyF, la veille sur les décrets à paraître et, si besoin, un RSSI externe. Le suivi des actions peut passer par Make IT Safe, la plateforme de notre partenaire.