Diagnostic NIS2 : savoir si vous êtes concerné et ce qui vous manque
Où vous en êtes, et ce qui manque.
La directive (UE) 2022/2555, dite NIS2, élargit fortement le nombre d'organisations soumises à des obligations de cybersécurité. Beaucoup de dirigeants de PME et d'ETI se posent d'abord une question simple : suis-je concerné, et à quel titre ? Le diagnostic y répond avant toute dépense de mise en conformité.
La directive distingue deux catégories, les entités essentielles et les entités importantes, selon le secteur d'activité et la taille. Le régime de supervision et de sanction n'est pas le même. Une qualification juste évite deux erreurs coûteuses : en faire trop sur un périmètre qui ne l'exige pas, ou découvrir trop tard une obligation ignorée.
Le diagnostic mesure ensuite l'écart entre votre situation réelle et les mesures de gestion des risques listées à l'article 21, paragraphe 2 : analyse des risques, gestion des incidents, continuité, chaîne d'approvisionnement, cryptographie, contrôle d'accès, authentification multifacteur, entre autres. Vous obtenez un état des lieux factuel et un ordre de priorité, pas une liste théorique.
Ce que vous obtenez
- Note de qualification : secteur, critères de taille, catégorie probable, points à confirmer
- Grille d'écart sur chacune des dix mesures de l'article 21, avec niveau de maturité observé
- Cartographie des actifs critiques et des dépendances, fournisseurs compris
- Plan de remédiation séquencé : actions, ordre, effort estimé, responsables pressentis
- Restitution en comité de direction, avec support réutilisable en interne
Déroulé
Cadrage
Un échange avec la direction et le responsable informatique fixe le périmètre : entités juridiques, sites, systèmes concernés. Les documents existants sont collectés dès le départ.
Entretiens et revue
Entretiens courts avec les personnes clés, revue des politiques, des contrats fournisseurs et des configurations principales. L'objectif est de constater, pas de juger.
Analyse d'écart
Chaque mesure de l'article 21 est évaluée sur pièces. Les écarts sont classés selon leur exposition au risque et leur effort de correction.
Restitution
Le plan de remédiation est présenté en comité. Vous repartez avec une décision possible, que la suite soit menée en interne, avec Valtieri ou avec un autre prestataire.
Questions fréquentes
Le diagnostic suffit-il pour être conforme à NIS2 ?
Non. Il établit votre situation et la route à suivre. La conformité suppose ensuite de déployer et de documenter les mesures, ce qui fait l'objet d'une mission distincte que vous restez libre d'engager ou non.
Que se passe-t-il si mon entreprise n'est pas concernée ?
La note de qualification l'indique clairement. Le diagnostic reste utile : les mesures de l'article 21 constituent un socle de sécurité raisonnable, souvent demandé par les clients soumis eux-mêmes à la directive.
Quel temps faut-il mobiliser de notre côté ?
Quelques entretiens ciblés avec la direction, l'informatique et les métiers critiques, plus la transmission des documents existants. Le calendrier est fixé au cadrage pour ne pas perturber l'activité.
Pour aller plus loin
Dans le même pôle : Cybersécurité
- Mise en conformité
Des mesures déployées, documentées, prouvables.
- RSSI à temps partagé
La responsabilité pèse sur les dirigeants. Nous portons le sujet avec eux.
- Intégration des outils de sécurité
Un outil installé n'est pas un outil en service.
- Tests d'intrusion
Trouver les failles avant ceux qui les cherchent.
- Préparation à l'ISO/IEC 27001
De l'analyse d'écart à l'audit de certification.
- Sensibilisation et simulations d'hameçonnage
Le premier vecteur d'attaque reste l'humain. Il se forme.
- Réponse à incident
Quand l'incident arrive, vous savez qui appeler.
Parlons de votre contexte.
Trente minutes pour qualifier le besoin. Le cadrage écrit suit sous quatorze jours ouvrés.
Demander un échange