Qu'exige NIS2 d'une entreprise de taille moyenne concernée ?

Quatre choses, en gros. D'abord la gouvernance : l'organe de direction approuve les mesures de cybersécurité, les supervise et suit une formation (article 20). Ensuite la gestion des risques : des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, fondées sur une approche « tous risques », couvrant au moins les dix domaines de l'article 21, paragraphe 2, de l'analyse des risques et de la gestion des incidents aux sauvegardes, à la chaîne d'approvisionnement, à la cryptographie, au contrôle d'accès et à l'authentification multifacteur. Puis la notification : les incidents importants sont signalés au CSIRTCSIRT: équipe de réponse aux incidents de sécurité informatique. L'équipe nationale à laquelle on signale les incidents importants. ou à l'autorité compétente par étapes, une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le mois (article 23). Enfin l'enregistrement et la supervision prévus par la loi nationale. Proportionné signifie adapté à votre taille et à votre exposition. NetSenX aide pour la détection, les preuves d'incident et le suivi des délais ; le reste relève de votre programme.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 40 questions sur NIS2 : périmètre et obligationsTous les thèmes