NIS2 pour les petites structures

Éditorial

La plupart des petites structures ne sont pas directement visées par NIS2, mais beaucoup la rencontreront par leurs clients, sous forme de clauses et de questionnaires. Ce qu'elle demande ressemble moins à un chantier de conformité qu'à une hygiène qu'on aurait dû avoir de toute façon.

Mis à jour le 25 septembre 2026~23 min de lecture12 sections

papy cyber

→ Lire l’explication complète de la marmotte

Un texte qu’on vous vend avant de vous l’expliquer

Il existe une manière infaillible de reconnaître qu’une réglementation européenne est entrée dans la vie des petites entreprises : on reçoit des invitations à des webinaires avant d’avoir compris de quoi elle parle. NIS2 n’a pas échappé à la règle. Elle a produit, en un temps record, une abondante littérature de plaquettes, de diagnostics gratuits et de badges « prêt pour NIS2 », dont la densité d’information est inversement proportionnelle à la taille de la police des titres.

Il faut le dire d’emblée, avec la fausse sérénité de celui qui a vu passer quelques révolutions réglementaires et en attend d’autres : pour la majorité des petites structures, NIS2 n’est pas une obligation directe. C’est une nouvelle rassurante, et qu’on vous annonce rarement, parce qu’une nouvelle rassurante se vend mal.

Il faut le dire aussitôt après, avec la même sérénité : beaucoup de petites structures la rencontreront quand même, non par la loi, mais par le contrat. Elles sont les fournisseurs, les prestataires, les sous-traitants d’organisations qui, elles, sont visées, et que le texte oblige à se soucier de leur chaîne d’approvisionnement. La directive ne frappera pas à votre porte ; votre client le fera, avec un questionnaire de quatre-vingts questions et une annexe de sécurité à signer avant la fin du mois.

Cet éditorial essaie de répondre à trois questions, dans l’ordre où elles se posent réellement. Qui est concerné, et comment le savoir sans s’en remettre à un vendeur ? Pourquoi une petite structure non visée doit-elle quand même s’en préoccuper ? Et que faut-il faire, concrètement, qui serve à quelque chose, que l’on soit visé ou non ?

J’ajoute, pour être complet, que je n’ai aucune compétence juridique particulière, sinon celle, que l’âge confère à défaut d’autre chose, de savoir qu’on signe toujours trop vite ce qu’on n’a pas lu, et qu’un résumé est un texte que quelqu’un d’autre a lu à votre place. Ce texte est donc une lecture d’ingénieur. Il indique où regarder ; il ne dit pas ce que vous y trouverez.

Ma thèse est la suivante : pour une petite structure, la bonne réponse à NIS2 n’est pas un projet de conformité, c’est une poignée de mesures d’hygiène vérifiables, les mêmes que celles qu’un client exigeant ou un attaquant ordinaire finiront par tester. Tout le reste est de la reliure.

Ce que dit la directive, en une page

La directive (UE) 2022/2555, dite NIS2, remplace la première directive NIS. Comme toute directive, elle ne s’applique pas directement aux entreprises : elle fixe des objectifs que chaque État membre transpose dans son droit national, avec une marge de manœuvre sur certains points. C’est une nuance que les plaquettes omettent volontiers et qui a pourtant une conséquence pratique considérable : ce qui vous est applicable, c’est le texte français, pas la directive, et les deux peuvent différer dans le détail.

Dans ses grandes lignes, la directive fait trois choses.

Elle élargit considérablement le périmètre. La première directive visait un nombre restreint d’opérateurs désignés par l’État. NIS2 raisonne par secteurs et par taille, et couvre un ensemble beaucoup plus large d’organisations, réparties en deux catégories : les entités essentielles et les entités importantes, qui ont des obligations voisines mais un régime de contrôle différent. La fiche du glossaire en donne la définition courte.

Elle impose des mesures de gestion des risques. Les entités visées doivent prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui pèsent sur leurs systèmes. La directive énumère un socle de domaines que ces mesures doivent couvrir ; on y reviendra, parce que c’est ce socle qui descendra jusqu’à vous par le contrat.

Elle organise la notification des incidents et la responsabilité des dirigeants. Les incidents importants doivent être signalés à l’autorité compétente selon une procédure en plusieurs étapes, dont la première intervient très vite après la prise de connaissance de l’incident. Et les organes de direction doivent approuver les mesures, en superviser la mise en œuvre, se former, et peuvent voir leur responsabilité engagée. C’est sans doute la disposition la plus nouvelle : la sécurité cesse officiellement d’être un sujet que la direction peut déléguer au prestataire informatique en même temps que la gestion des imprimantes.

On notera au passage que la prose européenne a ceci de remarquable qu’elle parvient à rendre la cybersécurité ennuyeuse, ce qui, pour un domaine peuplé d’espions, de mercenaires et d’adolescents insomniaques, relève de l’exploit littéraire. Il faut pourtant la lire. Les considérants, ces longs paragraphes introductifs que tout le monde saute, expliquent souvent mieux l’intention du texte que les articles eux-mêmes, et l’intention est ce qui permet de trancher quand la lettre hésite.

Le reste (sanctions, supervision, coopération entre États, rôle de l’ENISA) intéresse moins directement la petite structure, et je m’abstiens d’en donner les montants et délais, qui relèvent du texte national.

Qui est vraiment concerné

La question « suis-je concerné ? » a deux composantes : le secteur et la taille. Il faut les deux, sauf exceptions.

Le secteur

La directive liste dans ses annexes les secteurs couverts, en distinguant des secteurs dits hautement critiques et d’autres secteurs critiques. On y trouve, entre autres, l’énergie, les transports, la santé, l’eau, les infrastructures numériques, l’administration publique, mais aussi des secteurs qu’on n’associait pas spontanément à la cybersécurité réglementée : services postaux, gestion des déchets, fabrication de certains produits, industrie alimentaire, recherche. Et, point capital pour le lecteur de ce site, la gestion des services informatiques entre entreprises, qui inclut les fournisseurs de services gérés et les fournisseurs de services de sécurité gérés.

Ce dernier point mérite qu’on s’y arrête. Si votre activité consiste à administrer, maintenir ou surveiller les systèmes d’autres entreprises (l’infogérance, en somme, sous toutes ses formes), vous êtes dans un secteur explicitement visé. Le législateur européen a remarqué, avec un certain retard mais une réelle lucidité, que le prestataire qui détient les accès d’administration de cinquante clients est une cible d’une rentabilité remarquable.

La taille

En règle générale, la directive ne vise que les entreprises de taille moyenne et au-delà, au sens de la définition européenne des PME, qui combine effectif et chiffre d’affaires ou bilan. Les micro et petites entreprises sont, en principe, hors du champ direct. Je ne reproduis pas les seuils ici : ils figurent dans la recommandation européenne qui définit les PME, et leur application à un groupe (entreprises liées, partenaires) a des subtilités qui méritent d’être lues à la source plutôt que résumées par moi.

Les exceptions à la taille

Certaines entités sont visées quelle que soit leur taille, en raison de leur rôle. La directive en donne une liste, qui comprend notamment certains acteurs des infrastructures de l’internet (fournisseurs de services de noms de domaine, registres de domaines de premier niveau), les prestataires de services de confiance, et certains fournisseurs de communications électroniques. Elle permet aussi aux États de désigner des entités plus petites lorsqu’elles sont le seul fournisseur d’un service critique ou que leur défaillance aurait un impact important. La transposition nationale précise ces cas ; c’est là qu’il faut vérifier.

Comment le savoir pour de bon

La méthode honnête est simple et sans frais : lire la liste des secteurs dans les annexes de la directive et dans le texte français, vérifier sa taille avec la définition européenne des PME, vérifier si l’on relève d’une des exceptions, puis consulter les outils et publications de l’ANSSI, qui est l’autorité nationale en la matière et met à disposition des informations destinées à permettre aux organisations de déterminer si elles sont concernées. En cas de doute sérieux (activité à cheval sur plusieurs secteurs, appartenance à un groupe), c’est une question pour un juriste, pas pour un commercial.

Concerné sans être visé : la chaîne de sous-traitance

Voici le cœur du sujet pour une petite structure, et c’est là que la plupart des discussions passent à côté.

Parmi les mesures que la directive impose aux entités visées figure la sécurité de la chaîne d’approvisionnement, y compris les aspects liés aux relations avec leurs fournisseurs et prestataires directs. Les entités doivent tenir compte des vulnérabilités propres à chaque fournisseur direct, ainsi que de la qualité de leurs produits et de leurs pratiques de cybersécurité.

Traduit du dialecte bruxellois, cela signifie ceci : votre client est désormais tenu de s’intéresser à votre sécurité. Il ne peut plus se contenter de votre prix et de votre délai. Il doit pouvoir montrer qu’il a évalué le risque que vous représentez, et qu’il a pris des dispositions en conséquence.

Comment le fera-t-il ? Par les seuls instruments qu’un client possède sur un fournisseur :

le questionnaire de sécurité, envoyé au référencement ou au renouvellement, souvent long, parfois inadapté, presque toujours accompagné d’une date limite ;
les clauses contractuelles : annexe de sécurité, obligation de notifier les incidents dans un délai donné, droit d’audit, exigences sur l’authentification, la sauvegarde, la localisation des données, la gestion des sous-traitants de second rang ;
les preuves demandées : politique écrite, attestation, certification le cas échéant, résultats de tests, liste de mesures ;
l’audit, rare pour un petit fournisseur, mais possible, surtout si l’on détient des accès aux systèmes du client.

Il y a là un mécanisme de propagation que je trouve à la fois raisonnable et redoutable. Raisonnable, parce qu’il est exact que la chaîne de sous-traitance est un vecteur d’attaque majeur : un prestataire compromis donne accès à ses clients, et l’histoire récente de la sécurité en offre des exemples publics suffisants pour qu’on ne les discute plus. La porte dérobée découverte en 2024 dans xz-utils, un composant logiciel libre maintenu par une poignée de bénévoles et intégré à une grande partie des distributions Linux, a rappelé avec une certaine brutalité que la solidité d’un édifice se mesure parfois à la plus discrète de ses fondations.

Redoutable, parce que la proportionnalité se perd en descendant la chaîne. La directive demande aux entités visées des mesures proportionnées à leur taille et à leur exposition. Mais un grand donneur d’ordre qui rédige son annexe fournisseur n’a aucune raison de la proportionner à la taille de chacun de ses fournisseurs ; il l’écrit une fois, pour tous, et la structure de trois personnes qui maintient son site vitrine reçoit les mêmes exigences que l’infogérant de ses serveurs de production. La petite structure se retrouve alors soumise, par contrat, à des exigences que la loi ne lui aurait jamais imposées directement. C’est un paradoxe assez savoureux, et comme la plupart des paradoxes savoureux, il se déguste mieux quand on n’est pas à table.

Ce que le socle demande, traduit en gestes

Venons-en à ce qui arrivera dans vos questionnaires. La directive énumère les domaines que doivent couvrir les mesures de gestion des risques des entités visées. Je les reprends ici non comme une liste d’obligations qui vous seraient applicables (elles ne le sont peut-être pas), mais comme la liste des sujets sur lesquels vos clients vous interrogeront, avec, pour chacun, ce que cela veut dire à l’échelle d’une petite structure.

Analyse des risques et politiques de sécurité. Savoir ce qu’on protège, contre quoi, et l’avoir écrit. Pour une structure de dix personnes, cela tient en quelques pages : les actifs importants, les menaces plausibles, les mesures prises, les risques acceptés. Une méthode formelle comme EBIOS Risk Manager existe et est utile au-delà d’une certaine taille ; en deçà, l’important est que le document existe, soit vrai, et soit relu une fois par an par quelqu’un qui sait ce qu’il signe.

Gestion des incidents. Savoir qui appeler, qui décide, comment on isole, comment on prévient le client. Le point sensible, pour un fournisseur, est l’obligation de notifier le client : votre client doit lui-même notifier dans des délais courts, et il ne le peut que si vous l’avez prévenu à temps. Attendez-vous à des clauses qui vous imposent un délai de notification serré. Assurez-vous de pouvoir le tenir un samedi.

Continuité d’activité, sauvegardes et gestion de crise. Des sauvegardes qui résistent à un attaquant et qu’on a restaurées au moins une fois. L’éditorial sur la règle 3-2-1 face au rançongiciel détaille pourquoi une sauvegarde joignable avec les identifiants de la production n’en est pas une ; la page sur la continuité et les plans de reprise pose les notions de durée d’interruption et de perte admissible que les questionnaires emploient.

Sécurité de la chaîne d’approvisionnement. Vous aussi avez des fournisseurs : hébergeur, messagerie, logiciel de gestion, outil de prise en main à distance. Votre client vous demandera lesquels, et ce que vous savez d’eux. Tenir cette liste à jour est un travail d’une heure, qui en fera gagner beaucoup.

Sécurité de l’acquisition, du développement et de la maintenance, y compris la gestion des vulnérabilités. Appliquer les correctifs dans un délai défini, savoir quels logiciels on exploite, et, si l’on développe, avoir une manière documentée de traiter une vulnérabilité signalée.

Évaluation de l’efficacité des mesures. Vérifier que ce qu’on a écrit se passe réellement. Un test de restauration, une revue des comptes, un exercice d’incident sur table : de petites vérifications régulières valent mieux qu’un grand audit décennal.

Hygiène et formation. Les pratiques de base et la sensibilisation des personnes. L’ANSSI publie depuis longtemps un guide d’hygiène informatique qui reste l’une des lectures les plus rentables qu’une petite structure puisse faire, et qui a l’élégance de ne rien vendre.

Cryptographie et chiffrement. Chiffrer les postes portables, les sauvegardes, les échanges. Savoir où sont les clés et qui y a accès.

Sécurité des ressources humaines, contrôle d’accès et gestion des actifs. Retirer les accès des personnes qui partent, le jour où elles partent. Savoir quels équipements existent. Ne pas partager les comptes d’administration.

Authentification multifacteur. Sur tout accès distant et sur tout compte d’administration, sans exception négociée. C’est la mesure qui, à elle seule, déjoue le plus grand nombre d’attaques ordinaires, et c’est celle qu’un client vérifiera en premier, parce qu’elle se vérifie en une question.

Une remarque de méthode, avant d’aller plus loin. Face à une telle liste, la petite structure a deux tentations symétriques. La première consiste à tout traiter en même temps, avec l’enthousiasme d’un premier janvier, et à abandonner en février. La seconde consiste à tout traiter sur le papier, en rédigeant une politique par domaine, sans rien changer dans les machines. Les deux produisent le même résultat, à savoir un classeur. Le bon ordre est inverse : d’abord les quatre ou cinq gestes qui changent réellement l’exposition (second facteur, sauvegardes isolées et restaurées, correctifs, retrait des accès, comptes d’administration séparés), ensuite seulement la description écrite de ce qui existe. Une politique qui décrit une réalité se rédige en un après-midi. Une politique qui décrit une intention demande des semaines, et ne protège de rien.

On remarquera que rien, dans cette liste, n’est spécifique à NIS2. C’est la liste de ce qu’une petite structure bien tenue fait déjà, ou devrait faire, indépendamment de toute réglementation. La directive n’a rien inventé ; elle a rendu opposable ce qui était recommandé. C’est à la fois la meilleure et la moins spectaculaire des nouvelles, ce qui explique qu’on la lise rarement dans les plaquettes.

L’accès aux systèmes du client : le point qui change tout

Parmi toutes les situations de fournisseur, une se distingue et mérite un traitement à part : celle où la petite structure détient un accès aux systèmes de son client. Le mainteneur, l’infogérant, l’intégrateur, l’éditeur qui assure le support à distance, le développeur qui déploie en production.

Dans ce cas, vous n’êtes plus un fournisseur parmi d’autres ; vous êtes un chemin d’entrée. Un attaquant qui vous compromet n’obtient pas seulement vos données : il obtient la capacité d’agir chez vos clients, avec des accès légitimes, depuis une adresse connue, à des heures habituelles. C’est précisément le scénario que la sécurité de la chaîne d’approvisionnement cherche à contenir, et c’est pourquoi les exigences qui vous viseront seront plus fortes que pour un simple fournisseur de biens.

Ce qu’un client sérieux attendra, et qu’il a raison d’attendre :

des comptes nominatifs pour chaque intervenant, jamais un compte partagé du type « prestataire » dont le mot de passe circule depuis la fondation de l’entreprise ;
une authentification multifacteur sur ces comptes ;
des accès limités à ce qui est nécessaire, et si possible ouverts à la demande plutôt que permanents ;
des connexions passant par un point d’accès maîtrisé et journalisé, plutôt qu’un outil de prise en main à distance installé à demeure sur tous les postes ;
des postes d’administration qui ne servent pas à lire la messagerie et à naviguer sur internet ;
une notification rapide si vous êtes vous-même compromis, parce que votre incident est le sien.

Aucune de ces mesures ne coûte cher. Plusieurs sont inconfortables. Et c’est leur inconfort, bien plus que leur coût, qui explique qu’on les trouve si rarement mises en œuvre dans les petites structures. L’outil de prise en main à distance installé partout, avec le même mot de passe, est l’équivalent numérique du double des clés sous le paillasson : chacun sait que c’est une mauvaise idée, et chacun a un paillasson.

Répondre à un questionnaire sans se déshonorer

Le questionnaire de sécurité est l’objet par lequel NIS2 entrera le plus souvent dans une petite structure. Il mérite quelques règles de conduite.

Répondre vrai. La tentation de cocher « oui » à tout est forte, surtout quand le contrat en dépend. Elle est aussi dangereuse : une réponse fausse devient une déclaration contractuelle, et le jour de l’incident, c’est ce document qu’on relira, avec un soin que personne n’avait mis à le remplir. Un « non, mais nous prévoyons de le faire d’ici tel horizon » est une réponse honorable. Un « oui » mensonger est une bombe à retardement signée de votre main.

Demander la proportionnalité. Si une exigence est manifestement disproportionnée pour votre activité (une certification lourde pour une prestation mineure sans accès aux systèmes), il est légitime de le dire, d’expliquer pourquoi, et de proposer une mesure équivalente adaptée. Beaucoup de donneurs d’ordre sont ouverts à la discussion, parce que leur propre obligation est de gérer un risque, pas de remplir un tableau.

Préparer un dossier réutilisable. Les questionnaires se ressemblent. Un document de quelques pages décrivant honnêtement vos mesures (authentification, sauvegardes, correctifs, gestion des accès, notification des incidents, sous-traitants) permet de répondre à la plupart d’entre eux sans recommencer. Il sert aussi, accessoirement, à savoir soi-même où l’on en est, ce qui n’est pas le moindre de ses mérites.

Lire les clauses de notification. C’est la clause la plus lourde de conséquences pour un petit fournisseur. Vérifiez le délai, la définition de ce qui doit être notifié, le canal, et assurez-vous que quelqu’un, chez vous, sait qu’il doit le faire et comment.

Le meilleur argument contre

Il faut maintenant exposer la meilleure objection à tout ce qui précède, et elle vient de l’expérience ordinaire des petites entreprises face aux réglementations.

Se préparer à NIS2 quand on n’est pas visé, c’est anticiper un fardeau qui ne viendra peut-être jamais. La transposition a pris du temps, ses textes d’application aussi, et leur contenu précis pour chaque secteur n’est pas nécessairement stabilisé. Les grands donneurs d’ordre eux-mêmes découvrent leurs obligations et n’ont pas encore tous répercuté d’exigences sur leurs fournisseurs. Une petite structure qui engage des dépenses de conformité aujourd’hui risque de payer pour un référentiel qui changera, de répondre à des exigences que ses clients ne lui poseront pas, et de détourner son temps limité de son métier, qui est ce qui la fait vivre. La prudence économique commande d’attendre que la demande se manifeste, et d’y répondre alors, au cas par cas.

Il y a une version plus acide du même argument : l’économie de la conformité a intérêt à l’inquiétude. Une partie de ce qui s’écrit sur NIS2 vise moins à informer qu’à vendre, et une petite structure a raison de se méfier d’une urgence qu’on lui présente en même temps qu’un devis.

Je souscris entièrement à la seconde version, et en partie à la première.

Il est exact qu’il ne faut pas engager de projet de conformité tant qu’on n’est ni visé, ni sollicité. Il ne faut pas acheter de certification par anticipation, ni produire des classeurs de politiques que personne ne lira, ni payer un audit pour savoir qu’on n’est pas concerné.

Mais l’argument confond deux choses. Les mesures que je décris plus haut ne sont pas de la conformité NIS2 : ce sont de l’hygiène, qui protège la petite structure contre les attaques qu’elle subira de toute façon, qu’une directive existe ou non. L’authentification multifacteur, des sauvegardes restaurables, des accès retirés au départ des personnes, des correctifs appliqués : aucun de ces gestes ne devient inutile si la réglementation change, et tous auraient dû être faits avant que quiconque n’en parle. Le coût de l’attente ne porte pas sur la conformité, il porte sur la sécurité, et celle-ci n’attend pas les décrets.

En d’autres termes : n’anticipez pas les papiers. Anticipez les gestes. Les papiers se rédigent en une semaine quand les gestes existent ; l’inverse n’est pas vrai.

Ce que je ne sais pas

Je ne sais pas précisément où en est la transposition française à la date où vous lisez. Le parcours a été long, et les textes d’application déterminent une grande partie des obligations concrètes. C’est la raison pour laquelle cet éditorial ne donne ni date, ni seuil, ni délai chiffré, ni référence d’article national. Toute affirmation de ce type, ici ou ailleurs, doit être vérifiée sur Légifrance et sur le site de l’ANSSI.

Je ne sais pas comment l’autorité exercera concrètement la supervision des entités importantes, ni avec quelle intensité, ni selon quel calendrier. Les premiers retours sur la pratique réelle seront plus instructifs que toutes les analyses du texte, y compris celle-ci.

Je ne sais pas comment se comporteront les donneurs d’ordre. Il est possible que la pression contractuelle sur les petits fournisseurs reste modérée et proportionnée. Il est possible aussi qu’elle prenne la forme d’exigences uniformes copiées de haut en bas de la chaîne. Je crains davantage la seconde hypothèse que je ne peux la démontrer.

Je ne sais pas comment NIS2 s’articulera, pour chaque secteur, avec les autres textes européens qui touchent à la cybersécurité (règlements sectoriels comme celui qui concerne la résilience opérationnelle du secteur financier, ou le règlement sur la cyberrésilience des produits). Certaines de ces articulations sont prévues par les textes, d’autres se préciseront à l’usage. La page de ce site consacrée à la gouvernance, au droit et à l’économie du risque donne le cadre général ; le détail relève de chaque texte.

Ce qui reste

NIS2 est un texte important, et c’est précisément pour cela qu’il faut refuser d’en parler comme d’un épouvantail. Pour la plupart des petites structures, il n’impose rien directement ; pour beaucoup, il arrivera par un client, sous forme de clause, de questionnaire ou d’annexe ; pour quelques-unes (celles qui administrent les systèmes des autres, celles qui opèrent des services que le texte vise quelle que soit la taille), il s’applique pleinement et mérite qu’on lise le texte plutôt que son résumé.

Trois choses me paraissent acquises. Que la question « suis-je concerné ? » se résout par la lecture des textes officiels, qui sont publics, gratuits et désintéressés, trois qualités rarement réunies dans ce domaine. Que la voie d’entrée normale de NIS2 dans une petite structure est la chaîne de sous-traitance, et que la position de fournisseur, surtout lorsqu’on détient des accès chez le client, appelle des mesures précises plutôt qu’une conformité générale. Et que ce que la directive demande est, pour l’essentiel, ce qu’une petite structure bien tenue aurait dû faire de toute façon : si vous le faites déjà, la conformité sera un exercice de rédaction ; si vous ne le faites pas, la directive est le moindre de vos soucis.

Il y a une forme d’ironie, que l’âge m’autorise à goûter sans amertume, à constater qu’il aura fallu une directive européenne de plusieurs dizaines de pages pour rappeler qu’un compte d’administration mérite un second facteur et qu’une sauvegarde mérite d’être restaurée. Mais les meilleures règles sont souvent celles qu’on connaissait déjà. C’est même à cela qu’on les reconnaît : on ne les découvre pas, on cesse simplement de faire semblant de les ignorer.

🐝 Ce qui arrive si on s’en passe

Traiter ces mesures comme une affaire de papiers laisse intact le risque que le texte vise : la chaîne de sous-traitance. Un prestataire qui intervient chez ses clients avec un compte partagé et sans connexions journalisées ne peut, le jour où l’un d’eux subit une intrusion, ni prouver que l’attaquant n’est pas passé par lui, ni dire lesquels de ses autres clients ont été atteints par le même chemin. Faute de pouvoir exclure qui que ce soit, il doit alors prévenir tout le monde dans le délai de notification contractuel, ce qui constitue une manière assez radicale de répondre enfin honnêtement au questionnaire.

🦫 Explication de la marmotte 🍫

Une directive européenne sur la sécurité informatique n’oblige pas directement les entreprises : chaque pays la recopie dans sa loi, avec quelques différences, et c’est la loi nationale qui s’applique. Elle vise les organisations selon deux critères. Le secteur d’abord : énergie, santé, transports, eau, services informatiques gérés pour d’autres entreprises, et d’autres encore. La taille ensuite : en principe, les entreprises moyennes et grandes, sauf quelques activités visées quelle que soit leur taille. Ces organisations doivent gérer leurs risques, signaler rapidement les incidents importants, et leur direction en devient responsable. Parmi les mesures demandées figure la sécurité de leurs fournisseurs. C’est ainsi que la règle atteint des petites structures non visées : leurs clients leur envoient des questionnaires, des clauses de contrat, par exemple un délai pour signaler un incident, et parfois un audit. Ces exigences sont souvent les mêmes pour tous les fournisseurs, quelle que soit leur taille. Les sujets abordés reviennent toujours : analyse des risques, gestion des incidents, sauvegardes restaurées au moins une fois, correctifs, formation, chiffrement, retrait des accès des personnes qui partent, et seconde preuve d’identité à la connexion. Un prestataire qui a accès aux systèmes d’un client devient un chemin d’entrée : il lui faut des comptes nominatifs, des accès limités et des connexions enregistrées. Répondre faux à un questionnaire crée un engagement contractuel. L’ordre efficace est donc de faire d’abord les gestes, puis de les décrire.

Pages voisines

La citent

NIS2 pour les petites structures

Elle cite

NIS2 pour les petites structures

Un texte qu’on vous vend avant de vous l’expliquer

Ce que dit la directive, en une page

Qui est vraiment concerné

Le secteur

La taille

Les exceptions à la taille

Comment le savoir pour de bon

Concerné sans être visé : la chaîne de sous-traitance

Ce que le socle demande, traduit en gestes

L’accès aux systèmes du client : le point qui change tout

Répondre à un questionnaire sans se déshonorer

Le meilleur argument contre

Ce que je ne sais pas

Ce qui reste

🐝 Ce qui arrive si on s’en passe

🦫 Explication de la marmotte 🍫

À lire aussi

Pages voisines