Solutions · Direction
Depuis la loi allemande de transposition de NIS2 (NIS2UmsuCG), la direction est expressément tenue d’agir. Elle doit mettre en œuvre les mesures de cybersécurité, en surveiller la mise en œuvre et suivre régulièrement des formations. Sightadel vous présente l’état d’avancement sur une seule page, met en évidence les décisions en suspens et consigne ce que vous avez décidé et quand.
Situation de départ
La sécurité de l’information a longtemps été l’affaire de l’informatique. La direction validait un budget et se faisait faire un point de temps en temps. Avec la nouvelle version de la loi allemande sur le BSI (BSIG), cela ne suffit plus pour les entités concernées. Selon le § 38 de la BSIG, la direction est elle-même tenue de mettre en œuvre les mesures de gestion des risques prévues au § 30 et d’en surveiller la mise en œuvre. Si elle manque à cette obligation de manière fautive et qu’un dommage en résulte, elle en répond envers sa propre entité selon les règles du droit des sociétés, par exemple le droit allemand des SARL ou des sociétés anonymes.
Le travail lui-même, d’autres s’en chargent : le RSSI, l’informatique, les achats, des prestataires externes. La responsabilité reste malgré tout la vôtre. En cas de crise, personne ne demande si l’informatique a bien travaillé. On demande si la direction connaissait la situation, a pris des décisions et en a suivi la mise en œuvre. Un classeur de politiques ne répond pas à cette question. Des décisions datées, des rapports réguliers et des mesures traçables, si.
Pour la direction, c’est avant tout une question de vue d’ensemble. Vous n’avez pas besoin d’accéder à chaque contrôle. Vous avez besoin d’un état fiable : où en sommes-nous, qu’est-ce qui reste ouvert, où cela bloque-t-il, que dois-je décider ? C’est exactement pour cela qu’est conçue la vue direction de Sightadel.
Pourquoi maintenant
La nouvelle BSIG s’applique depuis décembre 2025. Les entités importantes et essentielles doivent s’enregistrer auprès de l’Office fédéral de la sécurité des technologies de l’information (BSI), mettre en œuvre des mesures et notifier les incidents. Les obligations de la direction s’appliquent dès le premier jour, et non après une période de transition.
Les membres de la direction doivent participer régulièrement à des formations. L’objectif est de pouvoir identifier et évaluer les risques liés à la sécurité de l’information et d’apprécier leurs conséquences sur les services de l’entreprise. Une présentation ponctuelle ne suffit pas à long terme.
Après une attaque par logiciel malveillant ou une panne prolongée, le conseil de surveillance ou l’assemblée des associés pose des questions. Ce qui compte alors, c’est que vous ayez décidé et surveillé en amont, et que vous puissiez le prouver.
Les grands clients doivent évaluer leur chaîne d’approvisionnement. Ils envoient des questionnaires, exigent des certificats et des clauses contractuelles. Sans réponses organisées, vous perdez du temps commercial ou, dans le pire des cas, le contrat.
Les assureurs cyber, les banques prêteuses et les commissaires aux comptes demandent désormais précisément l’authentification multifacteur, la sauvegarde des données et la planification de crise. Les réponses doivent provenir d’un état tenu à jour, pas de mémoire.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
Obligatoire pour les entités importantes et essentielles au sens de la BSIG. La direction doit mettre en œuvre les mesures du § 30 de la BSIG, en surveiller la mise en œuvre et participer régulièrement à des formations. La directive européenne prévoit que la direction approuve les mesures. La loi allemande va plus loin et la rend elle-même responsable de leur mise en œuvre. L’assujettissement de votre entreprise dépend du secteur et de la taille.
Voir le framework →Pour les banques, assureurs, entreprises d’investissement, établissements de paiement et autres entités financières, DORA prime. L’organe de direction y porte la responsabilité ultime du risque lié aux TIC. Il approuve le cadre de gestion du risque lié aux TIC, fixe l’appétence au risque, alloue les moyens, approuve les politiques de continuité d’activité et relatives aux prestataires et maintient ses propres connaissances à jour par des formations.
Voir le framework →Pas une obligation légale, mais le référentiel que les clients exigent le plus souvent. La norme confère à la direction un rôle défini : fixer la politique et les objectifs, fournir les ressources et évaluer régulièrement le système lors de la revue de direction. Elle remplit ainsi, sous une forme auditée, une grande partie de ce que NIS2 attend de la direction.
Voir le framework →S’applique à toute entreprise qui traite des données à caractère personnel. Le responsable du traitement au sens du RGPD est l’entreprise, donc en définitive la direction. Protection des données et sécurité de l’information s’imbriquent pour les mesures, les prestataires et les incidents, et peuvent être pilotées ensemble.
Voir le framework →Ordre recommandé
Votre entreprise relève-t-elle de NIS2 ou de DORA et, si oui, dans quelle catégorie ? Faites consigner la classification avec sa justification et effectuer l’enregistrement auprès du BSI. En cas de doute, l’appréciation juridique revient à votre conseil juridique.
Désignez une personne responsable de la sécurité de l’information, en interne ou en externe, et donnez-lui du temps et des pouvoirs. Définissez comment et à quelle fréquence elle vous rend compte. Sans cette décision, chaque projet reste une activité annexe.
Formez-vous, ainsi que les autres membres de la direction, avant de prendre des décisions importantes. Vous comprendrez ensuite mieux les propositions de l’équipe. La participation est archivée comme preuve, avec la date et l’échéance de renouvellement.
L’équipe passe en revue les exigences point par point et montre ce qui est prouvé et ce qui manque. Vous en recevez une liste de points ouverts avec une proposition d’ordre de traitement, et non cent pages de rapport d’audit.
Vous décidez des priorités, du budget, du personnel et des risques résiduels acceptés. La décision est datée, signée et archivée. Chaque point ouvert devient une mesure avec un responsable et une échéance.
Surveiller ne signifie pas contrôler soi-même chaque tâche. Cela signifie examiner l’état à intervalles fixes, aborder les retards et réajuster. Un court rendez-vous par trimestre avec un résultat documenté est un bon début.
Votre rôle
Beaucoup de choses peuvent être déléguées. Ces points-là, non. Ils définissent le cadre dans lequel l’équipe travaille, et c’est ce qu’une autorité de surveillance ou un tribunal voudra voir plus tard.
Quels sites, sociétés, systèmes et services en font partie ? Un cadre trop étroit laisse des écarts, un cadre trop large retarde tout. La délimitation est une décision d’entreprise, pas une décision technique.
Aucune entreprise ne peut éliminer tous les risques. Vous fixez le niveau de risque acceptable et acceptez expressément les risques résiduels. Cette acceptation doit figurer dans la documentation avec sa date et sa justification.
Sans temps ni argent, les mesures restent des déclarations d’intention. Vous décidez du nombre d’heures disponibles en interne, de ce qui est acheté et du conseil externe à mobiliser.
Qui est le RSSI, avec quels pouvoirs et quel lien direct avec la direction ? La désignation est consignée par écrit et communiquée en interne.
La politique de sécurité de l’information et les règles essentielles, par exemple sur les accès, la sauvegarde des données ou les situations d’urgence, portent votre approbation. Elles s’imposent ainsi à tous les collaborateurs.
Maintenir, remplacer ou faire corriger contractuellement un prestataire critique malgré des preuves insuffisantes est un arbitrage entre coûts, dépendance et risque. Cet arbitrage revient à la direction.
Viser ou non une certification ISO 27001, pour quand et pour quel périmètre, dépend des clients, du marché et de l’effort. Cette décision détermine la planification et le budget de l’équipe pour les mois à venir.
Comment Sightadel vous aide
Le tableau de bord affiche l’avancement par framework, par exemple NIS2 et ISO 27001 côte à côte. Vous voyez combien d’exigences sont traitées et prouvées et où l’équipe n’a pas encore progressé. Avec le rôle Viewer, vous avez un accès en lecture à tout, sans risque de modifier quelque chose par erreur.
En savoir plus →Chaque mesure ouverte a une personne responsable et une échéance. Les points en retard ressortent sans que vous ayez à demander. L’obligation de surveillance se résume ainsi à un coup d’œil court et régulier sur une liste plutôt qu’à une réunion pleine de points d’étape.
En savoir plus →Le Security Score évalue l’image que vos domaines et systèmes donnent de l’extérieur, sous forme de note et de chiffre. Les principaux problèmes figurent directement sur le tableau de bord. La direction et l’informatique parlent ainsi de la même chose, sans que vous ayez besoin de connaître le jargon technique.
En savoir plus →Les décisions de la direction, les preuves de formation et les politiques approuvées sont stockées avec date et version dans la bibliothèque de preuves. Le journal d’activité consigne qui a fait quoi et quand. En cas de crise, vous démontrez ainsi que vous avez décidé et surveillé.
En savoir plus →Les prestataires critiques figurent dans une liste avec leur évaluation, leurs contrats et leurs preuves. Lorsqu’un certificat a expiré ou que des réponses manquent, vous le voyez avant qu’un client ou un auditeur ne pose la question.
En savoir plus →Dans le Trust Center, vous présentez aux clients votre niveau de sécurité, vos certificats et les documents approuvés au même endroit. Les commerciaux renvoient vers une adresse au lieu d’échanger des questionnaires pendant des semaines.
En savoir plus →Effort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. Le facteur le plus déterminant est la rapidité avec laquelle la direction prend ses décisions et le temps qu’elle accorde à l’équipe.
Ce que vous souscrivez · généralement Professional
Une entreprise soumise à NIS2 qui vise en même temps une certification ISO 27001 prend les deux frameworks dans l’édition Professional. Elle comprend dix utilisateurs, assez pour la direction, la personne responsable, l’informatique et quelques services métiers. Si ISO 27001 fait partie de votre licence, vous bénéficiez d’une remise permanente sur NIS2.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
Selon le § 38 de la BSIG, la direction répond envers son entité des dommages qu’elle cause par un manquement fautif à ses obligations. Les règles de responsabilité du droit des sociétés applicables à la forme juridique concernée sont déterminantes. Clarifiez avec votre conseil juridique ce que cela signifie dans votre cas. Sightadel ne fournit pas de conseil juridique, mais veille à ce que vos décisions soient documentées.
Le travail, oui ; la responsabilité, non. La loi adresse l’obligation de mise en œuvre et de surveillance à la direction. Vous pouvez désigner une personne responsable et faire appel à une aide externe. Mais vous devez savoir ce qui se passe et intervenir lorsque cela bloque.
La loi ne prescrit aucune forme. Un rythme fixe a fait ses preuves : rapport régulier de la personne responsable, examen des mesures ouvertes et en retard, décisions sur les points de blocage et un bref procès-verbal. Dans Sightadel, vous voyez pour cela l’état par framework et les problèmes ouverts d’un coup d’œil.
La loi exige une participation régulière, mais ne fixe pas d’intervalle. De nombreuses entreprises prévoient une mise à jour par an et une autre après des changements importants. La participation est consignée avec la date ; Sightadel vous prévient avant la prochaine échéance.
Pour les entités financières, DORA s’applique en priorité. Là aussi, l’organe de direction porte la responsabilité ultime du risque lié aux TIC, approuve le cadre et les politiques essentielles, fixe l’appétence au risque et se forme régulièrement. L’autorité de surveillance est l’autorité fédérale allemande de supervision financière (BaFin).
Non. Avec le rôle Viewer, vous voyez le tableau de bord, l’avancement par framework, les problèmes ouverts et les plans d’action, sans devoir traiter vous-même des contrôles. Le travail proprement dit est assuré par la personne responsable et l’équipe.
Non. Il n’existe pas de certificat NIS2 ; la surveillance relève du BSI. Sightadel ne délivre pas non plus de certificats. Pour ISO 27001, vous choisissez un organisme de certification indépendant, issu de notre réseau de partenaires ou de votre choix. Aucune commission n’est versée pour les audits, ni à nous ni aux partenaires.
Vous ajoutez alors un forfait de conseil dans l’application. Des consultants expérimentés vous aident sur les points difficiles, par exemple le périmètre, l’évaluation des risques ou la préparation d’un audit. Vous pouvez également inviter vos propres consultants externes dans votre compte.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
