Les 21 mesures, expliquées simplement.

Politiques de sécurité de l’information — approuvées au niveau du conseil

Une politique écrite approuvée au conseil fixe l’appétit de risque, le périmètre et la cadence de revue — sans elle, tout autre contrôle devient ad hoc. L’annexe A.5.1 d’ISO 27001 est la référence opérationnelle.

Rôles, responsabilités et redevabilité formellement documentés

Chaque contrôle a un propriétaire nommé ; la séparation des tâches est documentée pour les opérations à fort risque. Les superviseurs demanderont « qui a validé » lors de l’examen post-incident.

Formation des dirigeants au risque cyber

L’article 20, paragraphe 2 rend la formation des dirigeants obligatoire et traçable. Les modules de sensibilisation génériques ne suffisent pas — la formation doit permettre aux dirigeants de comprendre les risques propres à leur entité.

Revue indépendante annuelle du programme de sécurité

Un audit externe ou interne indépendant examinant la maturité du programme chaque année. Les conclusions sont remontées au conseil avec plan de remédiation et calendrier.

Méthodologie d’analyse de risque et registre des risques tenu à jour

Une méthode documentée (qualitative ou quantitative) et un registre revu au minimum chaque trimestre. Les registres figés sont un signal d’alarme typique côté superviseur.

Inventaire des actifs : systèmes d’information et données

On ne protège pas ce que l’on ignore opérer. L’inventaire couvre matériel, logiciels, services cloud, flux de données et dépendances — rafraîchi automatiquement quand possible.

Plans de continuité d’activité et de gestion de crise

Les plans couvrent perte de site, perte de fournisseur et perte d’accès. Ils définissent RTO/RPO par service, protocoles de communication et chaîne de commandement en crise.

Sauvegardes : procédures de restauration testées

Une sauvegarde jamais restaurée reste théorique. NIS2 attend des preuves de tests de restauration réguliers, idéalement avec configurations résistantes aux rançongiciels (immuables, hors ligne ou air-gapped).

Authentification multifacteur sur tous les accès critiques

L’article 21, point 2 j) exige explicitement la MFA. L’accès critique couvre comptes administrateurs, accès distant, applications exposées et données sensibles — les facteurs résistants au phishing sont de plus en plus attendus.

Politique de cryptographie et de chiffrement

Une politique précisant algorithmes, cycle de vie des clés et où le chiffrement est requis (données au repos, en transit, dans les sauvegardes). L’ENISA pointe la préparation post-quantique comme critère prospectif.

Segmentation réseau et principes zero-trust

Les réseaux plats laissent un compromis initial devenir une panne sectorielle. La segmentation isole les systèmes critiques ; le zero-trust remplace la confiance implicite par une vérification continue de l’identité et de la posture des terminaux.

Gestion des vulnérabilités et cadence de patching

Un SLA documenté de patching par criticité (critique / élevé / moyen), un processus de patches d’urgence hors cycle, et le suivi des exceptions sur systèmes non patchables avec contrôles compensatoires.

Détection et réponse sur les terminaux (EDR)

EDR ou XDR sur postes et serveurs — au-delà de l’antivirus historique. La télémétrie doit être conservée suffisamment longtemps pour l’investigation forensique (typiquement 6–12 mois) et alimenter le SOC ou MSSP.

Cycle de développement logiciel sécurisé

Modélisation de menace en conception, scan de dépendances en CI, détection de secrets, revue de code et tests applicatifs runtime. Vaut autant pour les équipes internes que pour les développeurs externalisés.

Évaluations de sécurité des fournisseurs

Tiérez vos fournisseurs (lesquels peuvent vous mettre à terre ?) et exigez des évaluations de sécurité proportionnées au tier — questionnaires, certifications (ISO 27001, SOC 2) ou audits sur site pour les plus critiques.

Clauses de sécurité contractuelles pour les fournisseurs critiques

Droit d’audit, délais de notification d’incident (alignés sur vos propres obligations NIS2), localisation des données si requise, divulgation des sous-traitants, assistance de sortie/transition. Les clauses doivent survivre aux renouvellements et aux fusions-acquisitions.

Surveillance continue de l’exposition tiers

Surveillance de la surface d’attaque externe, criblage des sanctions, veille brèches, et réévaluation lors d’un changement d’actionnariat fournisseur. Un questionnaire annuel figé ne satisfait pas l’exigence « continue » de NIS2.

Playbooks de détection, classification et escalade

Runbooks documentés pour les scénarios probables (rançongiciel, exfiltration de données, DDoS, compromission de chaîne d’approvisionnement, menace interne). Chaque runbook liste étapes de triage, critères de classification et chaîne d’escalade.

Alerte précoce 24 h au CSIRT

Dans les 24 heures suivant la prise de connaissance d’un incident significatif, alerte précoce au CSIRT ou à l’autorité compétente — même avec une information partielle. Le compteur part de la prise de connaissance, pas de la compréhension complète.

Notification d’incident à 72 h avec évaluation de gravité

Notification formelle dans les 72 heures incluant la gravité initiale, les indicateurs de compromission et l’éventuel impact transfrontalier. Les mises à jour suivent l’évolution de l’évaluation.

Rapport final dans un délai d’un mois

Rapport détaillé sous un mois couvrant cause racine, impact réel, mitigations appliquées et leçons retenues. Ce rapport sert de base à toute relance du superviseur.