NIS2 et conformité

Directement, en règle générale, les moyennes et grandes entreprises des secteurs couverts, avec des exceptions pour les services critiques quelle que soit la taille. Indirectement, elle touche chaque fournisseur d'une entité concernée, qui doit évaluer et engager contractuellement sa chaîne d'approvisionnement.

Alerte précoce sous 24 heures après connaissance d'un incident important, notification avec première évaluation sous 72 heures et rapport final sous un mois. Ces délais ne peuvent être tenus que si l'incident est détecté ; la surveillance 24/7 est donc un prérequis, pas une option.

Pas automatiquement, mais en grande partie. ISO 27001 apporte le système de management et la plupart des mesures techniques ; NIS2 ajoute les délais de déclaration, les obligations de la direction, la chaîne d'approvisionnement et l'enregistrement auprès de l'autorité. Une analyse des écarts montre ce qui manque.

L'Office gouvernemental de la sécurité de l'information (URSIV) ; les incidents sont déclarés au centre national de réponse SI-CERT. Nous intégrons la procédure de déclaration à votre plan de réponse pour ne pas avoir à la chercher en cas d'incident.

L'analyse des écarts prend deux à quatre semaines. Combler les écarts dépend du point de départ : une entreprise à l'IT bien tenue a besoin de trois à six mois, une entreprise sans politiques ni surveillance généralement d'un an.

SOC et NOC 24/7 pour détecter et déclarer les incidents, tests d'intrusion pour vérifier les mesures, maintenance IT pour les sauvegardes et correctifs, et formation des employés et de la direction. Politiques et preuves sont préparées dans la partie conseil.