NIS2 n'impose aucun outil de surveillance précis, mais elle exige des entités essentielles et importantes qu'elles gèrent les incidents (article 21) et notifient les incidents importants sous 24 heures, 72 heures et un mois (article 23). En pratique, il faut donc voir ce qui se passe sur le réseau et en conserver la preuve. Cette check-list transforme ces deux articles en onze étapes concrètes pour l'équipe IT d'une ETI.
Qui est concerné
NIS2 — la directive (UE) 2022/2555 — couvre les moyennes et grandes organisations des secteurs listés dans ses annexes I et II (énergie, transports, santé, infrastructures numériques, fabrication de certains produits, alimentation, gestion des déchets, etc.), ainsi que certaines entités quelle que soit leur taille. Une moyenne entreprise, au sens de l'UE, compte au moins 50 salariés ou réalise plus de 10 millions d'euros de chiffre d'affaires annuel ou de total de bilan.
Chaque État membre applique NIS2 par sa propre loi — par exemple la Cyberbeveiligingswet aux Pays-Bas et la loi polonaise modifiée sur le système national de cybersécurité (KSC). Vérifiez donc le périmètre, l'enregistrement et le CSIRT compétent auprès de votre autorité nationale.
Ce que la directive demande vraiment
- L'article 21 exige des « mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées ». Sa liste comprend la gestion des incidents, la continuité des activités, la sécurité de la chaîne d'approvisionnement et des politiques pour évaluer l'efficacité des mesures.
- L'article 23 exige une alerte précoce sous 24 heures après avoir pris connaissance d'un incident important, une notification d'incident sous 72 heures et un rapport final dans le mois qui suit la notification.
On ne peut pas tenir un délai de 24 heures pour un incident qu'on n'a pas détecté. C'est là qu'intervient la surveillance du réseau.
La check-list
- Confirmez votre statut. Déterminez si vous êtes une entité essentielle ou importante, quelle autorité nationale vous supervise et quel CSIRT reçoit vos notifications.
- Recensez ce que vous devez protéger. Listez les segments réseau et les actifs qui supportent les services concernés — y compris l'OT, la gestion technique des bâtiments et les sites distants, pas seulement le LAN des bureaux.
- Rendez chaque segment visible. Un port SPAN ou TAP, ou un capteur sur un hôte, dans chaque segment. Observez le trafic est-ouest entre hôtes internes, pas seulement le périmètre : la plupart des attaques se déplacent latéralement après la première prise.
- Guettez les comportements qui précèdent un incident. Le beaconing C2, les scans internes, les mouvements latéraux et les volumes inhabituels de données sortantes sont des étapes visibles dans le trafic avant que les données ne partent.
- Couvrez le trafic chiffré sans le casser. Les horaires, les volumes, les destinations et la négociation TLS révèlent le beaconing et l'exfiltration sans rien déchiffrer — ce qui rend aussi la surveillance plus facile à justifier au regard du RGPD.
- Surveillez l'OT de façon passive. Lisez les protocoles industriels depuis un port miroir ; ne sondez jamais activement les automates ni les équipements SCADA.
- Décidez qui regarde les alertes, et quand. Écrivez la procédure de gestion des incidents : qui fait le tri, dans quel délai, et qui peut qualifier un incident d'important. Une alerte qui explique pourquoi elle s'est déclenchée est traitée plus vite qu'une alerte qui ne le fait pas.
- Conservez les preuves. Pour chaque incident : les alertes, les décisions des analystes, une chronologie et les actions menées — dans un journal d'audit que vous pouvez remettre à un auditeur ou à un CSIRT.
- Tenez les délais de notification. Déclenchez les délais de l'article 23 dès que vous avez connaissance d'un incident important, et répétez l'alerte précoce de 24 heures au moins une fois avant d'en avoir besoin.
- Protégez les données de surveillance. Les métadonnées réseau contiennent des adresses IP, qui peuvent être des données personnelles. Sachez où votre fournisseur les stocke, signez un accord de traitement des données au titre de l'article 28 du RGPD et évaluez ce fournisseur dans le cadre de votre chaîne d'approvisionnement.
- Vérifiez que tout fonctionne. Testez régulièrement la détection et la notification, et consignez le résultat : l'article 21 demande des politiques pour évaluer l'efficacité de vos mesures.
La place de NetSenX
NetSenX est une plateforme de Network Detection and Response (NDR) pour les ETI et PME de l'UE, qui détecte les attaques à partir du comportement du réseau, explique chaque alerte en langage clair et conserve les données clients dans l'UE. Dans cette check-list, elle couvre les étapes 3 à 9 : un agent sur un port SPAN ou TAP observe tout un segment, chaque alerte liste les caractéristiques réseau à l'origine de son score, les protocoles OT sont lus passivement à partir de l'offre Pro, et chaque incident est suivi selon les délais de l'article 23. Les obligations NIS2 restent celles de votre organisation : un outil les facilite, il ne les remplit pas.
L'offre Free surveille jusqu'à 3 appareils sans frais ; l'offre Business, à 249 € par mois, couvre jusqu'à 100 appareils. Consultez les offres et tarifs NetSenX, la page sur la surveillance réseau NIS2 ou NetSenX comparé aux autres fournisseurs NDR.
Sources
- Directive (UE) 2022/2555 (NIS2), EUR-Lex — articles 2, 21 et 23, annexes I et II
- Recommandation 2003/361/CE de la Commission sur la définition des PME, EUR-Lex
- Commission européenne — état de la transposition de NIS2
- NCSC Pays-Bas — Cyberbeveiligingswet (NIS2)
- Biznes.gov.pl — NIS2 en Pologne et la loi KSC
Rédigé par l'équipe NetSenX chez TriStiX S.L. Cet article est une information générale, pas un conseil juridique. Questions : info@netsenx.com.