D’abord : êtes-vous concerné par NIS2 ?
NIS2 est une directive européenne qui oblige les organisations des secteurs critiques et importants à organiser leur cybersécurité de manière démontrable. La Belgique l’a transposée par la loi NIS2, les Pays-Bas par la Cyberbeveiligingswet. Le fait d’être concerné dépend surtout de votre secteur et de votre taille. Le cas échéant, vous êtes une entité essentielle ou importante, chacune soumise à un niveau de contrôle différent.
Commencez donc par cette question et documentez votre raisonnement. Même si vous n’êtes pas concerné, l’exercice est utile : les clients soumis à NIS2 imposent de plus en plus d’exigences à leurs fournisseurs.
Cinq étapes pour démarrer
- Déterminez votre position. Vérifiez si la loi s’applique à votre organisation, comment, et quelles obligations en découlent, comme l’enregistrement auprès de l’autorité compétente.
- Identifiez ce qui compte vraiment. Quels processus, données et systèmes sont critiques ? De quels fournisseurs dépendez-vous ? C’est la base de toutes les étapes suivantes.
- Faites le point sur votre situation. Réalisez une mesure initiale au regard d’un cadre de référence reconnu. En Belgique, de nombreuses organisations utilisent les CyberFundamentals (CyFun) ou ISO/IEC 27001.
- Impliquez la direction. NIS2 rend explicitement la direction responsable. Celle-ci doit approuver les mesures, en assurer la supervision et suivre une formation.
- Établissez une feuille de route. Traduisez les constats en priorités, avec un responsable et une échéance pour chaque action. N’oubliez pas l’obligation de notification : les incidents graves doivent être notifiés rapidement et par étapes, ce qui nécessite une procédure établie.
Ne commencez pas par les documents
Une erreur fréquente consiste à rédiger d’emblée des politiques. Des politiques qui ne reflètent pas votre situation réelle restent lettre morte. Commencez par comprendre vos risques et vos mesures actuelles, puis construisez vos politiques, procédures et améliorations techniques sur cette base.
Comment Cyberwise vous aide
Avec le Cyberwise Baseline nous faisons le point sur votre situation et sur les actions prioritaires, avec une analyse des écarts au regard du cadre qui vous est applicable. Nous accompagnons ensuite les améliorations et vous aidons à maintenir votre niveau de sécurité. Pour en savoir plus sur la loi elle-même, consultez nos pages consacrées à la Loi NIS2 (Belgique) et à la Cyberbeveiligingswet (Pays-Bas).
Cet article est une introduction générale et ne constitue pas un avis juridique. Vos obligations précises dépendent de votre situation.