Aller au contenu
FREN
Prendre contact

Mise en conformité NIS2 : des mesures déployées et prouvables

Des mesures déployées, documentées, prouvables.

Durée indicative8 à 12 semaines
Demander un échange

Être conforme à NIS2 ne se résume pas à rédiger des politiques. L'autorité de contrôle attend des mesures appliquées, et la preuve qu'elles le sont. La mission transforme les exigences de l'article 21 de la directive (UE) 2022/2555 en pratiques réelles dans votre organisation.

Le travail part d'un état des lieux, issu d'un diagnostic préalable ou réalisé en ouverture de mission. Les chantiers sont ensuite menés dans un ordre réaliste : ce qui réduit le plus le risque d'abord, ce qui relève de la documentation ensuite. Chaque mesure est rattachée à une preuve vérifiable.

Deux obligations demandent une attention particulière. L'article 20 rend les organes de direction responsables de l'approbation et du suivi des mesures. L'article 23 impose une alerte précoce sous 24 heures après la prise de connaissance d'un incident important, une notification sous 72 heures et un rapport final dans un délai d'un mois. Ces circuits doivent exister avant l'incident.

Ce que vous obtenez

  • Politique d'analyse des risques et politique de sécurité des systèmes d'information, approuvées par la direction
  • Plan de continuité d'activité, stratégie de sauvegarde testée et procédure de gestion de crise
  • Clauses et questionnaires de sécurité pour les fournisseurs critiques
  • Procédure de gestion et de notification des incidents alignée sur l'article 23
  • Dossier de preuves organisé mesure par mesure, prêt pour un contrôle

Déroulé

  1. Point de départ

    Reprise du diagnostic existant ou analyse d'écart rapide. Le plan de travail et les interlocuteurs de chaque chantier sont validés par la direction.

  2. Gouvernance et risques

    Analyse des risques, politiques de sécurité, rôles et responsabilités. La direction approuve formellement, comme l'exige l'article 20.

  3. Mesures opérationnelles

    Continuité et sauvegardes, contrôle d'accès, authentification multifacteur, sécurité des fournisseurs, gestion des incidents. Chaque mesure est mise en place avec vos équipes.

  4. Preuves et passation

    Constitution du dossier de preuves, exercice de notification d'incident, transfert aux responsables internes qui feront vivre le dispositif.

Questions fréquentes

Pourquoi une durée de 8 à 12 semaines ?

L'écart dépend de votre point de départ et du nombre de systèmes concernés. La fourchette exacte est fixée au cadrage, une fois le périmètre connu, puis tenue par écrit.

Faut-il un outil pour piloter la conformité ?

Ce n'est pas obligatoire. Un tableur bien tenu peut suffire sur un périmètre restreint. Valtieri édite Presidio, une plateforme de conformité qui couvre quatorze référentiels, mais la mission ne l'impose pas.

NIS2 et ISO 27001 se recoupent-elles ?

Largement. Une grande partie des mesures de l'article 21 trouve un équivalent dans l'annexe A de l'ISO/IEC 27001:2022. Le travail réalisé pour l'une sert l'autre, ce qui évite de documenter deux fois.

Qui reste responsable après la mission ?

Votre direction, au sens de l'article 20. La mission lui remet un dispositif documenté et des responsables internes formés. Un accompagnement continu reste possible, sans obligation.

Pour aller plus loin

Dans le même pôle : Cybersécurité

Toutes les prestations

Parlons de votre contexte.

Trente minutes pour qualifier le besoin. Le cadrage écrit suit sous quatorze jours ouvrés.

Demander un échange