02 / Conformité et certification
NIS 2, lue à la lumière de votre fonctionnement réel
Nous vous aidons à déterminer si la directive vous concerne, où vos mesures de sécurité restent en deçà, et comment montrer à l'autorité que le travail est fait et qu'il continue.
Présentation
Ce que la directive NIS 2 vous demande
La directive NIS 2, directive (UE) 2022/2555, fixe des obligations de cybersécurité pour les entités essentielles et les entités importantes d'un grand nombre de secteurs. En résumé : prendre des mesures de gestion des risques appropriées, notifier les incidents importants aux autorités selon un calendrier précis, et rendre les organes de direction responsables des deux.
NIS 2 étant une directive, elle s'applique à vous par le droit national. Chaque État membre adopte sa propre loi, désigne ses autorités et règle des points comme l'enregistrement et la supervision. Vos obligations dépendent donc de vos pays d'activité et de votre secteur, et c'est par là que nous commençons.
Black Fox n'est ni un cabinet d'avocats, ni un régulateur, ni une autorité. Nous réalisons le travail de sécurité que décrit le texte et tenons les preuves en ordre. Les questions juridiques sur votre qualification relèvent de votre conseil, avec qui nous travaillons volontiers.
À qui s'adresse ce service
Les moyennes et grandes organisations des secteurs listés par la directive, et certaines plus petites désignées directement par un État membre. Également les fournisseurs qui ne sont pas eux-mêmes concernés, mais dont les clients posent désormais des questions NIS 2 dans chaque contrat.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Analyse d'assujettissement
Nous rapprochons vos activités, secteurs et pays de la directive et des lois nationales, pour savoir si vous êtes probablement une entité essentielle, une entité importante, ou ni l'une ni l'autre.
Analyse d'écarts
Une revue de vos mesures au regard des mesures de gestion des risques, par exemple l'analyse des risques, la gestion des incidents, la continuité d'activité, le contrôle d'accès, la cryptographie et le traitement des vulnérabilités.
Processus de notification
Un processus qui précise ce qui est important, qui décide, et qui envoie à temps l'alerte précoce, la notification et le rapport final à l'autorité.
Sécurité de la chaîne d'approvisionnement
Un regard sur vos fournisseurs et prestataires directs : lesquels comptent, ce que vos contrats disent de la sécurité, et comment vérifier qu'ils s'y tiennent.
Formation de la direction
Des sessions pour les organes de direction, qui doivent approuver les mesures, en superviser l'application et suivre une formation. Un langage clair, des scénarios réels, pas de diapositives remplies d'articles.
Preuves
Politiques, registres et enregistrements organisés pour qu'une demande de l'autorité trouve sa réponse dans un dossier, pas dans la mémoire de quelqu'un.
Déroulement de la mission
Lancement
Nous convenons du périmètre, des entités et pays concernés et des interlocuteurs, et signons d'abord un accord de confidentialité si vous le souhaitez.
Assujettissement et contexte
Nous recueillons ce que vous faites, où et pour qui, et présentons la qualification probable avec les questions ouvertes pour votre conseil.
Analyse d'écarts
Entretiens, revue documentaire et sondages techniques, avec à la clé un rapport d'écarts classés par risque et par effort.
Accompagnement à la mise en œuvre
Nous travaillons avec vos responsables sur les écarts : mesures, documents, processus de notification et exigences envers les fournisseurs.
Exercice et formation
Un exercice de notification calé sur les délais et une session de formation pour les organes de direction.
Restitution et suivi
Recommandations, rapport de synthèse avec appréciation des risques et rapport technique, puis un suivi optionnel à mesure que les règles nationales se précisent.
Ce que vous recevez
- Note d'assujettissement avec les questions ouvertes pour votre conseil
- Analyse d'écarts au regard des mesures de gestion des risques
- Plan d'action priorisé
- Procédure de notification des incidents et aide à la décision
- Exigences de sécurité fournisseurs et compte rendu de revue
- Supports de formation de la direction et feuille de présence
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Sommes-nous concernés ?
Cela dépend de votre secteur, de votre taille et du droit national de chaque État membre où vous opérez. Nous fournissons une analyse argumentée et signalons les points qui demandent un avis juridique. La qualification finale vous appartient, avec votre conseil et, le cas échéant, l'autorité.
Dans quels délais faut-il notifier un incident ?
La directive prévoit, pour les incidents importants, un calendrier en plusieurs temps : une alerte précoce dans les 24 heures après en avoir pris connaissance, une notification dans les 72 heures et un rapport final dans un délai d'un mois. Le droit national peut préciser les modalités et les destinataires.
Existe-t-il une certification NIS 2 ?
Pas en tant que telle. NIS 2 est supervisée par des autorités nationales, pas certifiée. Une certification comme l'ISO/IEC 27001 couvre une bonne partie du terrain et constitue une preuve utile, sans remplacer les obligations nationales.
Pourquoi la direction doit-elle s'impliquer ?
Parce que la directive l'exige. Les organes de direction approuvent les mesures de gestion des risques, supervisent leur application et peuvent être tenus responsables en cas de manquement. Le travail se délègue, la responsabilité non.
Services associés
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Gouvernance et risquesGestion des risques tiersRisques fournisseurs avec Black Fox Security : inventaire, classement, questionnaires, revue des preuves et clauses contractuelles, en lien avec NIS 2 et DORA.
- Conseil et réponseInvestigation numérique et réponse à incidentForensique et réponse à incident par Black Fox Security : analyse post-incident, réseau et stockage, rétro-ingénierie, récupération de données, exercices.
- Gouvernance et risquesAppréciation des risquesAppréciation des risques infrastructure, réseau et applications par Black Fox Security : probabilité contre gravité, registre des risques et options de traitement.
Sachez où vous en êtes
Dites-nous ce que vous faites et où. Nous vous dirons ce que NIS 2 vous demandera probablement et ce qui manque encore.