NIS2
Surveillance réseau NIS2 pour les ETI et PME
La surveillance réseau au titre de NIS2 consiste à observer la façon dont les hôtes de votre réseau communiquent, afin qu'un incident important soit détecté assez tôt pour être notifié dans les délais, avec des éléments de preuve déjà disponibles. NIS2 n'impose aucun outil précis, mais exige la gestion des incidents comme mesure de gestion des risques (article 21) et un calendrier de notification fixe (article 23).
Le fait à retenir
Directive (UE) 2022/2555 (NIS2), article 23, paragraphe 4 : une alerte précoce dans les 24 heures après avoir eu connaissance d'un incident important, une notification d'incident dans les 72 heures et un rapport final au plus tard un mois après la notification. Les États membres devaient appliquer leurs règles nationales à partir du 18 octobre 2024 (article 41).
Source : Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex
Ce que NetSenX fait aujourd'hui
- Détecte le beaconing C2 (command-and-control), les balayages et les mouvements latéraux ainsi que les volumes sortants inhabituels à partir du comportement réseau : une nouvelle variante de logiciel malveillant sans signature laisse elle aussi une trace.
- Suit chaque incident au regard des délais de l'article 23 de NIS2 (24 heures, 72 heures, un mois) et prépare pour votre DPO une notification de violation au titre de l'article 33 du RGPD. Rapports PDF à partir de l'offre Starter.
- Explique chaque alerte en langage clair, dans toutes les offres, et consigne les alertes, les décisions des analystes et les changements de configuration dans un journal d'audit que vous pouvez remettre à votre auditeur.
- À partir de l'offre Pro, lit Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP et S7comm par capture passive, pour les sites industriels, l'énergie et les services publics ; les équipements OT ne sont jamais interrogés activement.
Ce que NetSenX ne fait pas
NetSenX ne détermine pas si votre organisation relève de NIS2, ne l'enregistre pas auprès de l'autorité et ne transmet pas de notifications au CSIRT en votre nom : ces obligations restent celles de votre organisation, et aucun outil ne les remplit à lui seul. NetSenX n'est ni un EDR, ni un SIEM, ni un service de détection managé (MDR), et ne les remplace pas.
Questions des acheteurs
NIS2 impose-t-elle une surveillance du réseau ?
NIS2 ne cite ni la surveillance réseau ni le NDR, mais l'article 21 range la gestion des incidents parmi les mesures obligatoires de gestion des risques, et l'article 23 impose de notifier les incidents importants dans des délais fixés. On ne peut pas notifier un incident que l'on n'a pas détecté : une surveillance continue du réseau est donc un moyen concret de répondre aux deux exigences.
Quels sont les délais de notification des incidents NIS2 ?
Selon l'article 23, paragraphe 4 : une alerte précoce dans les 24 heures après avoir eu connaissance d'un incident important, une notification d'incident dans les 72 heures, un rapport intermédiaire à la demande de l'autorité et un rapport final au plus tard un mois après la notification. Les lois nationales peuvent préciser ces règles ; vérifiez celles de votre pays.
NIS2 s'applique-t-elle aux entreprises de taille moyenne ?
En règle générale, NIS2 s'applique aux entités des secteurs énumérés à ses annexes I et II qui sont au moins des moyennes entreprises au sens de la recommandation 2003/361/CE (50 salariés ou plus, ou un chiffre d'affaires annuel et un total du bilan supérieurs tous deux à 10 millions d'euros), ainsi qu'à certaines entités quelle que soit leur taille. Votre autorité nationale ou votre conseil juridique peut confirmer si votre organisation est concernée.
NetSenX transmet-il la notification NIS2 à notre place ?
Non. NetSenX suit les délais de l'article 23 pour chaque incident, conserve les alertes et le journal d'audit sur lesquels s'appuie la notification et prépare pour votre DPO une notification de violation au titre de l'article 33 du RGPD ; c'est votre organisation qui transmet les notifications à son CSIRT ou à l'autorité compétente.
Sources
- Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex
- Commission Recommendation 2003/361/EC (definition of micro, small and medium-sized enterprises) — EUR-Lex
- European Commission — NIS2 transposition status by Member State
Cette page est une information générale et ne constitue pas un conseil juridique. Vérifiez vos obligations auprès de votre autorité nationale ou de votre conseil juridique.
Pages associées
Essayez NetSenX sur votre propre réseau
Commencez avec l'offre Free pour 3 appareils au maximum, ou réservez une démo de 20 minutes.