Dois-je implementer les 10 exigences?

Oui, si vous etes dans le perimetre de NIS2. Cependant, l'implementation doit etre "appropriee et proportionnee" a votre niveau de risque, votre taille et la criticite de vos services. Une petite entreprise aura des implementations plus simples qu'une grande entreprise.

Quelle est l'exigence de signalement d'incident en 24 heures?

Dans les 24 heures suivant la prise de connaissance d'un incident significatif, vous devez envoyer une "alerte precoce" a l'autorite competente (CCB en Belgique). Ce n'est qu'une notification initiale—vous avez 72 heures pour une notification complete d'incident et 1 mois pour un rapport final.

L'authentification multi-facteur est-elle obligatoire?

L'Article 21 de NIS2 mentionne specifiquement "l'authentification multi-facteur ou les solutions d'authentification continue, les communications vocales, video et textuelles securisees." Bien que tous les systemes n'aient pas besoin de MFA, elle devrait etre utilisee pour les systemes critiques et la ou des donnees sensibles sont accedees.

Comment evaluer la securite de ma chaine d'approvisionnement?

Commencez par identifier vos fournisseurs et prestataires critiques. Examinez leurs certifications de securite, renseignez-vous sur leurs pratiques de securite, incluez des exigences de securite dans les contrats, et surveillez leur conformite. Le cadre CyberFundamentals inclut des controles specifiques pour la securite de la chaine d'approvisionnement.

Qu'est-ce qui compte comme mesures "appropriees et proportionnees"?

Cela depend de votre exposition aux risques, de la taille de l'organisation, de la probabilite d'incidents, de la gravite de l'impact potentiel, et de l'etat de l'art en securite. Un hopital traitant des donnees de patients a besoin de mesures plus fortes qu'une petite entreprise de logistique. En cas de doute, suivez le niveau CyberFundamentals recommande pour votre secteur.

Exigences NIS2: Les 10 Regles les Plus Importantes

Pourquoi Ces 10 Regles Sont Importantes

L'Article 21 de la directive NIS2 enumere les mesures de cybersecurite specifiques que les organisations doivent mettre en oeuvre. Ce ne sont pas des suggestions—ce sont des exigences legales. La bonne nouvelle? Ce sont des pratiques de securite solides qui protegeront vraiment votre entreprise, pas de simples cases bureaucratiques a cocher.

Politiques et Procedures de Gestion des Risques

Vous avez besoin d'une approche systematique pour identifier, analyser et traiter les risques de cybersecurite. Cela signifie documenter quels actifs vous avez, quelles menaces ils affrontent, et comment vous les protegez.

Le cadre CyberFundamentals du CCB fournit une approche structuree de la gestion des risques alignee sur NIS2.

Gestion des Incidents (Detection, Reponse, Signalement)

Vous devez etre capable de detecter les incidents de securite, y repondre efficacement, et signaler les incidents significatifs aux autorites dans des delais stricts.

24 heures Alerte precoce aux autorites (CCB)

72 heures Notification complete d'incident

1 mois Rapport final avec analyse des causes

Continuite d'Activite et Gestion de Crise

Votre organisation doit pouvoir continuer a fonctionner pendant et apres un cyberincident. Cela inclut les strategies de sauvegarde, les plans de reprise apres sinistre et les procedures de gestion de crise.

La regle de sauvegarde 3-2-1 est un bon point de depart: 3 copies, 2 supports differents, 1 hors site.

Securite de la Chaine d'Approvisionnement

Vous etes responsable de la gestion des risques de cybersecurite de vos fournisseurs et prestataires. Une faiblesse dans votre chaine d'approvisionnement est une faiblesse dans votre securite.

Posez ces questions a vos fournisseurs:

Quelles certifications de securite ont-ils?
Comment gerent-ils vos donnees?
Quel est leur processus de reponse aux incidents?
Ont-ils une cyberassurance?

Securite dans l'Acquisition de Reseaux et Systemes

La securite doit etre prise en compte lors de l'acquisition, du developpement ou de la maintenance des systemes informatiques. Cela signifie integrer la securite des le depart, pas l'ajouter apres coup.

Incluez les exigences de securite dans votre checklist d'achat et vos criteres d'evaluation des fournisseurs.

Evaluation de l'Efficacite des Mesures de Securite

Vous devez regulierement tester et evaluer si vos mesures de securite fonctionnent reellement. La conformite sur papier ne suffit pas—vous devez verifier dans la pratique.

Evaluations de vulnerabilites Tests de penetration Audits de securite Exercices sur table Revues de conformite des politiques

Hygiene Cyber de Base et Formation

Tous les employes doivent comprendre les pratiques de base en cybersecurite et recevoir une formation appropriee. L'erreur humaine reste la principale cause des incidents de securite.

Reconnaitre les emails de phishing

Pratiques de mots de passe forts

Utilisation securisee des supports amovibles

Signaler les activites suspectes

Politique de bureau propre

Cryptographie et Chiffrement

Vous devez avoir des politiques et procedures pour l'utilisation de la cryptographie et du chiffrement pour proteger les donnees sensibles, tant en transit qu'au repos.

Chiffrer le stockage des ordinateurs portables et appareils mobiles

Utiliser TLS/HTTPS pour tout le trafic web

Chiffrer les emails sensibles

Chiffrement securise des sauvegardes

Gestion appropriee des cles

Securite RH et Controle d'Acces

La securite doit etre integree aux processus RH. Cela inclut les verifications d'antecedents le cas echeant, les responsabilites de securite dans les descriptions de poste, et une bonne gestion des acces.

Integration Accorder l'acces minimum necessaire

Changement de role Revoir et ajuster les droits d'acces

Depart Revoquer immediatement tous les acces

Authentification Multi-Facteur (MFA)

NIS2 exige explicitement l'authentification multi-facteur ou des solutions d'authentification continue le cas echeant. Les mots de passe seuls ne suffisent plus.

Priorite MFA:

Comptes email (priorite la plus haute)
Services cloud (Microsoft 365, Google Workspace)
Acces distant / VPN
Comptes administratifs
Systemes financiers

Bouclier en couches représentant la protection NIS2 complète — Toutes les exigences travaillent ensemble pour une sécurité complète

Pour Commencer: Etape par Etape

Ces 10 exigences peuvent sembler ecrasantes, mais rappelez-vous: NIS2 demande des mesures "appropriees et proportionnees". Vous n'avez pas besoin de tout implementer en une fois. Commencez par les bases, documentez vos progres, et ameliorez-vous continuellement.

1 Evaluez votre etat actuel par rapport a ces 10 exigences

2 Priorisez selon vos plus grands risques

3 Commencez par les gains rapides (MFA, sauvegardes, formation de base)

4 Documentez tout au fur et a mesure

5 Construisez progressivement vers une conformite complete

Comment Easy Cyber Protection Vous Aide

Notre plateforme traduit ces exigences en taches gérables, vous guide etape par etape dans l'implementation, et vous aide a documenter les preuves de conformite.

Approche structuree — Exigences mappees aux controles CyberFundamentals

Une tache a la fois — Pas de surcharge—juste des prochaines etapes claires

Collecte de preuves — Documentez la conformite au fur et a mesure

Suivi des progres — Voyez ou vous en etes pour chaque exigence

Gratuit pour commencer — Commencez avec notre niveau Small gratuit (7 controles)