Le risque cyber doit-il figurer dans la cartographie des risques de l'entreprise ?

Oui, rédigé en risques métier plutôt qu'en une ligne technique. Décrivez chaque risque dans des termes que la direction reconnaît : production arrêtée par un rançongiciel, données clients volées, fraude au paiement, fournisseur clé piraté, amende pour un délai de notification manqué. Pour chacun, notez l'impact probable, les mesures en place, le responsable et ce qui manque encore. Le risque cyber devient ainsi comparable aux autres au moment des budgets, et auditeurs comme assureurs disposent d'une trace claire. Revoyez la cartographie au moins une fois par an et après chaque incident sérieux. NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises. attend des entités concernées qu'elles fondent leurs mesures sur une analyse des risques, et l'ISO/IEC 27001 est construite autour d'une telle analyse. NetSenX ne tient pas de registre des risques ; il fournit des preuves pour les mesures de détection qui y figurent.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 40 questions sur Pour la direction et la financeTous les thèmes