Des preuves qui résistent à un audit
La plupart des entreprises découvrent d'abord NIS2 sur papier : sous forme de directive, de questionnaire ou de courrier d'un client. Mais NIS2 se met en œuvre dans l'infrastructure, c'est-à-dire dans les droits d'accès, la journalisation, la sauvegarde et les plans d'urgence. Nous prenons en charge ce volet technique et vous disons à l'avance quelle est son ampleur.
NIS2 peut vous concerner de trois façons. Beaucoup oublient la troisième.
C'est le cas si votre entreprise appartient à l'un des secteurs visés et atteint les seuils d'effectif et de chiffre d'affaires. La réponse est une question juridique que votre service juridique ou votre avocat doit trancher, pas nous.
Même une entreprise qui n'entre pas elle-même dans le champ de la directive en ressent les effets par ses clients, car les entreprises concernées doivent imposer des obligations à leurs fournisseurs. Pour un sous-traitant, cela signifie : le questionnaire arrive, et la réponse décide du contrat.
Les assureurs cyber posent désormais les mêmes questions. Qui ne peut pas les justifier paie plus cher ou n'obtient pas de couverture.
Dans la pratique, le cas le plus fréquent est celui d'une entreprise qui n'est pas directement concernée, mais à qui un grand client demande des preuves. La charge technique est la même, mais la pression sur les délais est plus forte, car un contrat en dépend.
NIS2 exige des mesures de gestion des risques. Techniquement, cela signifie ce qui suit :
Les droits sont attribués de façon traçable et vérifiés régulièrement. C'est dans ce domaine que la plupart des entreprises ont le plus de retard, et c'est précisément notre cœur de métier.
Gestion des identités et des accèsLa MFA doit s'appliquer partout, sans exception pour la direction ni pour les anciennes applications. Ce sont justement ces exceptions qui ressortent lors d'un audit.
Dire « nous sauvegardons tous les jours » ne suffit pas. Ce qui est exigé, c'est une restauration testée avec un résultat documenté, car personne ne sait si une sauvegarde jamais restaurée fonctionne.
Les événements liés à la sécurité doivent être enregistrés et analysés. Des journaux que personne ne consulte ne remplissent pas cet objectif.
Les vulnérabilités connues doivent être corrigées rapidement. Les systèmes doivent en outre rester dans un état défini, pour que les écarts soient repérés.
En cas d'incident, il faut une procédure qui fixe qui décide, qui déclare, qui communique et dans quel délai. Cette procédure doit être exercée et pas seulement exister sous forme de fichier.
Ce point relie tous les autres, car il ne suffit pas d'être en sécurité. Vous devez aussi pouvoir le prouver. C'est pourquoi nous documentons dès la mise en œuvre et non après coup.
Nous comparons l'existant aux exigences techniques. Vous recevez un rapport écrit qui classe les écarts par risque et par charge.
Nous définissons ce qui passe en premier, ce qui peut attendre et ce que cela coûte. L'estimation de la charge est réaliste, ce n'est pas une liste de souhaits.
Nous procédons par étapes, sans interrompre l'activité, et documentons chaque étape.
Vous recevez une documentation que vous pouvez présenter à un client ou à un auditeur et qui vous appartient.
Ce que nous ne faisons pas : l'évaluation juridique de votre assujettissement, les déclarations aux autorités et les certifications. Pour cela, il y a les avocats et les auditeurs. Nous travaillons avec eux, au lieu de faire comme si vous n'en aviez pas besoin.
| Audit de sécurité avec analyse d'écarts NIS2 | à partir de 6 900 € |
| Check de cybersécurité (périmètre réduit) | 2 490 € |
| Mise en œuvre et direction de projet | 165 € / h |
| Gestion des identités et des accès (IAM) | 140 € / h |
Le coût de l'audit est déduit d'un projet ultérieur.
La charge dépend de ce que révèle l'analyse d'écarts :
| Contrôle d'accès et modèle de rôles | à partir de 15 000 € |
| MFA généralisée | 4 000 à 8 000 € |
| Sauvegarde avec test de restauration | 3 000 à 6 000 € |
| Journalisation | 6 000 à 12 000 € |
| Durcissement et processus de correctifs | 5 000 à 10 000 € |
| Processus de gestion des incidents, exercice compris | 4 000 à 7 000 € |
| Dossier de preuves | 3 000 à 5 000 € |
Un projet complet typique se situe entre 20 000 et 60 000 €.
L'analyse d'écarts et la conception sont des prestations de conseil et peuvent donc être subventionnées dans plusieurs Länder, généralement à hauteur de 50 % des honoraires.
L'ordre compte : d'abord le devis, puis la demande, ensuite attendre la décision et seulement après passer commande. Qui commence avant perd son droit à la subvention. Nous vous aidons pour les démarches administratives.
En savoir plus sur le conseil IT subventionnéConception et déploiement d'une nouvelle solution ITSM. Nous avons conseillé l'établissement en lien étroit et l'avons accompagné de l'implémentation à la mise en production, puis pendant le support post-démarrage.
Résultat : Le délai prévu de douze mois entre le lancement du projet et la mise en production a été respecté. Il a été suivi d'une phase d'hypercare pendant laquelle nous avons accompagné l'exploitation de près.
Reprise complète de l'informatique d'une structure de recherche active à l'international et réorganisation en étroite concertation avec la direction.
Résultat : Un environnement informatique entièrement automatisé, conçu pour les exigences de sécurité et de NIS2 : comptes administrateur et utilisateur séparés et routage VPN international sécurisé entre les sites.
Mise à jour :
FAQ
C'est une question juridique à laquelle nous ne répondons pas de manière contraignante, c'est le rôle de votre conseil juridique. Dans la pratique, la question est toutefois tranchée dès qu'un client vous envoie un questionnaire de sécurité.
C'est possible. Le sujet vous atteindra quand même par la chaîne d'approvisionnement, car les entreprises concernées répercutent les exigences sur leurs fournisseurs.
Pas à elle seule. Une certification atteste d'un système de management, NIS2 exige en plus que les mesures techniques soient réellement efficaces. Les recoupements sont importants, mais certificat et mise en œuvre ne sont pas la même chose.
Vous avez ainsi la protection de base, mais pas encore de gestion des risques. NIS2 porte sur le contrôle d'accès, la traçabilité, la restauration testée et un processus de gestion des incidents.
L'analyse d'écarts dure deux à trois semaines, la mise en œuvre plusieurs mois selon l'ampleur des écarts. Si vous devez être prêt pour la date d'un audit client, prévoyez six mois.
Non, les obligations de déclaration incombent à l'entreprise. Nous veillons à ce que vous disposiez des informations techniques nécessaires à une déclaration.
Cybersécurité et NIS2
Beaucoup de prestataires se servent de NIS2 comme moyen de pression. Nous examinons votre situation et vous disons ce qui est réellement nécessaire, même si c'est moins que ce que vous craigniez.
