NIS2 : qualifier son périmètre avant d’engager la moindre dépense

La directive NIS2 — directive (UE) 2022/2555 — élargit considérablement le nombre d’organisations soumises à des obligations de cybersécurité en Europe, et engage explicitement la responsabilité des dirigeants. Ce qu’elle implique concrètement pour une organisation donnée dépend du texte de transposition national et de ses textes d’application, dont il faut vérifier l’état auprès de l’autorité compétente avant toute décision d’investissement.

Ce que j’observe est l’inverse de cette prudence : des chantiers lancés, des outils achetés et des prestations engagées avant que la question du périmètre n’ait été tranchée par écrit.

Trois questions à traiter avant toute dépense

Sommes-nous dans le champ ?

L’appartenance dépend du secteur d’activité, de la taille de l’organisation et, dans certains cas, du rôle tenu dans la chaîne d’approvisionnement d’une entité assujettie. Une entreprise hors seuil peut se retrouver contrainte par ses clients, par voie contractuelle, sans être elle-même dans le champ. Les deux situations n’appellent pas le même plan ni le même budget.

À quel titre ?

La directive distingue les entités essentielles et les entités importantes. La différence porte moins sur les mesures attendues que sur le régime de supervision et de sanction. Se ranger spontanément dans la catégorie la plus exigeante conduit à surdimensionner le programme, et à perdre en crédibilité interne dès la première demande de budget.

Sur quel périmètre ?

Un groupe multi-entités, une collectivité et son intercommunalité, un industriel et ses filiales : le périmètre assujetti est rarement égal au périmètre du SI. Le délimiter par écrit évite d’étendre des obligations à des systèmes qui n’en relèvent pas, et de financer des travaux que rien n’impose.

Les mesures qui comptent, dans l’ordre

Quel que soit le régime applicable, les exigences de fond convergent avec ce que l’on sait déjà de la sécurité opérationnelle. Dans une organisation qui part de loin, cet ordre produit le plus d’effet à moyens constants.

• Savoir ce que l’on expose. Inventaire des actifs et de la surface publiée. Aucun plan n’est crédible sans lui.
• Maîtriser les accès à privilèges. Comptes d’administration, authentification renforcée, cloisonnement des chemins d’administration.
• Prouver la capacité de reprise. Sauvegardes isolées, restauration testée, délais mesurés.
• Détecter et notifier. Journalisation utile, chaîne d’alerte, procédure de notification d’incident et respect des délais associés.
• Encadrer la chaîne d’approvisionnement. Exigences contractuelles envers les fournisseurs critiques, et vérification qu’elles sont tenues.
• Former la direction. La responsabilité des dirigeants figure explicitement dans la directive et ne se délègue pas au RSSI.

Ce qui fait échouer les programmes de conformité

Trois causes reviennent. Le démarrage par l’outillage, quand un produit est acheté avant que le processus n’existe et produit des alertes que personne ne traite. La documentation déconnectée, faite de politiques rédigées pour un audit et jamais appliquées. Et l’absence de propriétaire : un programme de conformité sans arbitre finit en liste d’actions sans priorité, révisée deux fois par an.

Une trajectoire réaliste

Pour une organisation de taille intermédiaire disposant d’une petite équipe, un plan tenable s’étale sur douze à dix-huit mois : qualification et inventaire d’abord, mesures structurantes ensuite, formalisation documentaire en dernier. Les approches purement documentaires proposent souvent l’ordre inverse, parce qu’il se vend mieux et se constate plus vite.

Le point de contrôle utile n’est pas le taux d’avancement du plan. C’est votre capacité à répondre sans préparation à trois questions : qu’exposons-nous, qui peut administrer quoi, en combien de temps sait-on redémarrer.