Logiciel · NIS2
Un logiciel NIS2 doit démontrer que votre entité remplit les obligations de la loi allemande sur le BSI (BSIG) : les dix mesures de gestion des risques selon le § 30 de la BSIG, les obligations de notification selon le § 32, l’enregistrement selon le § 33 et la responsabilité de la direction selon le § 38. Cette page montre ce qu’un logiciel doit offrir pour cela, à quoi vous devez veiller lors du choix et comment Sightadel le met en œuvre.
Situation de départ
En Allemagne, NIS2 s’applique aux entités importantes et essentielles par l’intermédiaire de la loi sur le BSI. Il n’existe pas de certificat NIS2. Ce qui est demandé, c’est un état des preuves solide vis-à-vis du BSI, des clients et des auditeurs. Les dix domaines de mesures selon le § 30, al. 2 de la BSIG vont de l’analyse des risques et de la gestion des incidents à la sauvegarde et à la planification d’urgence, à la chaîne d’approvisionnement, aux vulnérabilités, à la formation et à la cryptographie, jusqu’au contrôle d’accès et à l’authentification multifacteur.
Par rapport à un SMSI classique, trois points sont surtout nouveaux. Les incidents de sécurité importants doivent être notifiés au BSI par étapes : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final au plus tard un mois après la transmission de la notification ; les deux premiers délais courent à compter de la prise de connaissance. Les entités concernées doivent s’enregistrer auprès du BSI. Et la direction met en œuvre les mesures, en surveille la mise en œuvre et participe régulièrement à des formations.
Un logiciel NIS2 doit donc faire plus que cocher des mesures. Les canaux de notification doivent être en place avant que quoi que ce soit n’arrive. Les décisions de la direction doivent être archivées avec leur date. Les preuves comme les tests de restauration ou les évaluations des fournisseurs doivent rester à jour. C’est toujours la direction qui décide : de l’acceptation des risques, des ressources et des responsabilités.
Pourquoi maintenant
Le secteur, l’effectif et le chiffre d’affaires montrent que vous relevez de la loi sur le BSI. L’enregistrement, les mesures et les obligations de la direction doivent maintenant être abordés de manière ordonnée.
Selon le § 38 de la BSIG, la responsabilité reste à la direction, même si d’autres font le travail. Elle veut voir ce qui est mis en œuvre, ce qui manque et pour quand.
Même les entreprises non concernées elles-mêmes sont touchées par les exigences via leurs clients. Ceux-ci doivent évaluer leurs prestataires et demandent des justificatifs.
Vous avez ISO 27001 et souhaitez réutiliser les preuves. S’y ajoutent la chaîne de notification, l’enregistrement et la décision de la direction, sans double documentation.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
Pour les entités importantes et essentielles au sens de la loi sur le BSI. Dans Sightadel, décomposé en 40 contrôles portant sur les dix mesures du § 30, plus la chaîne de notification, l’enregistrement et la décision de la direction. Il faut typiquement trois à neuf mois pour atteindre un état des preuves solide.
Voir le framework →Pas obligatoire pour NIS2, mais les mesures selon le § 30 de la BSIG recoupent largement l’annexe A. Qui exploite un SMSI se situe plutôt dans le bas de la fourchette en termes de charge.
Voir le framework →Un incident de sécurité peut être en même temps une violation de données et déclencher les deux obligations de notification. Les mesures techniques selon l’art. 32 utilisent les mêmes preuves.
Voir le framework →Pour les entités financières, DORA prime. Beaucoup de mesures se recoupent, les délais de notification diffèrent par leur point de départ : DORA se rattache à la classification, NIS2 à la prise de connaissance.
Voir le framework →Ordre recommandé
Consigner la classification comme entité importante ou essentielle avec sa justification, effectuer l’enregistrement auprès du BSI et l’archiver comme preuve.
Définir les responsables, les suppléants et les moyens de les joindre, déposer les modèles de notification. Cela passe avant tout le reste, car un incident n’attend pas.
Parcourir de manière guidée les 40 contrôles, rattacher les documents existants. À la fin, vous savez ce qui est justifié et ce qui manque.
Des plans d’action avec responsables et échéances. Les gros morceaux typiques sont les tests de restauration, l’évaluation des fournisseurs et la couverture de l’authentification multifacteur.
La direction se forme, décide avec date de la mise en œuvre des mesures et fixe la manière dont elle en surveille la mise en œuvre.
Contrôle interne, revue de direction et exercice du processus de gestion des incidents. Ces étapes reviennent ensuite sous forme de cycle.
Choix
Beaucoup d’outils proposent une checklist des dix mesures. Vérifiez si le logiciel couvre aussi les éléments qui distinguent NIS2 d’un SMSI classique.
Les exigences doivent renvoyer aux § 30, § 32, § 33 et § 38 de la BSIG, pas seulement à la directive européenne. Le contrôle se fait selon le droit allemand.
Les responsables, les suppléants et les modèles doivent être enregistrés à l’avance. Veillez à ce que les trois délais soient calculés à partir du moment de la prise de connaissance.
Le logiciel doit archiver avec leur date la décision de la direction et les preuves de formation de la direction. Sans ce justificatif, il manque la partie dont la direction est personnellement responsable.
Les prestataires critiques, les questionnaires, les exigences contractuelles et les certificats avec date d’expiration doivent figurer dans une liste avec rappel de la prochaine évaluation.
Qui dispose d’un SMSI ne doit pas avoir à copier ses preuves. Un justificatif doit compter à la fois pour l’annexe A et pour le § 30 de la BSIG.
Il n’existe pas de certificat NIS2. Méfiez-vous des fournisseurs qui en font miroiter un. L’objectif est un état des preuves solide.
Comment Sightadel vous aide
Les dix mesures du § 30 de la BSIG en 40 contrôles, chacun sous forme de question expliquée. S’y ajoutent des contrôles sur la chaîne de notification, l’enregistrement et la responsabilité de la direction.
En savoir plus →Procès-verbaux de tests, listes de formation et politiques avec version et date de validité. Sightadel envoie un rappel avant l’expiration. Une preuve compte à la fois pour NIS2, ISO 27001 et le RGPD.
En savoir plus →Les prestataires avec criticité, questionnaires et preuves, y compris leur date de validité. Les certificats expirés sautent aux yeux, les réévaluations arrivent sous forme de rappel.
En savoir plus →Les écarts deviennent des mesures avec responsable et échéance. Avec le rôle Viewer, la direction voit ce qui est ouvert et en retard et peut ainsi remplir son obligation de surveillance.
En savoir plus →Le Security Score évalue la surface d’attaque visible de l’extérieur de vos domaines par une note de 0 à 100 et liste des problèmes concrets. Cela soutient la gestion des vulnérabilités selon le § 30, al. 2, n° 5.
En savoir plus →Les modèles sectoriels fournissent des projets, par exemple pour la politique générale, le concept de cryptographie et les modèles de notification. L’IA fait des propositions à partir de vos données déjà saisies. Quels procédés sont admissibles et quel risque résiduel est acceptable, c’est vous qui le fixez.
En savoir plus →Effort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. Les facteurs les plus déterminants sont le nombre de sites et de prestataires, la situation de départ et le temps que la direction y consacre.
Ce que vous souscrivez · généralement Professional
Une entité avec plusieurs intervenants et un certain nombre de prestataires critiques prend typiquement NIS2 dans l’édition Professional, souvent avec ISO 27001. Si ISO 27001 fait partie de la licence, NIS2 coûte durablement moins cher. Avec de nombreux fournisseurs ou de nombreuses sociétés, l’édition Enterprise convient.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
La loi n’impose aucun logiciel. Elle exige des mesures mises en œuvre et justifiables, des canaux de notification qui fonctionnent et une direction qui surveille la mise en œuvre. Un logiciel devient rentable dès que plusieurs personnes sont impliquées, que les preuves doivent être renouvelées régulièrement et que la direction a besoin d’un état à jour.
Excel peut lister les dix mesures. Les échéances des preuves, les rappels des évaluations des fournisseurs et les liens vers les justificatifs doivent alors être tenus à la main. Les tableaux existants peuvent être importés dans Sightadel.
Sightadel est proposé sous licence annuelle par framework et par édition. Les montants actuels figurent sur la page des tarifs. Si ISO 27001 est déjà sous licence, NIS2 coûte durablement moins cher. Vous pouvez tester gratuitement pendant 14 jours, sans données de paiement.
Non. NIS2 ne prévoit aucun certificat. L’objectif est un état des preuves solide vis-à-vis du BSI, des clients et des auditeurs. Un certificat ISO 27001 peut y contribuer, mais ne remplace ni la chaîne de notification, ni l’enregistrement, ni la décision de la direction. Plus d’informations sur la page NIS2.
Non. Sightadel vous guide à travers les exigences et consigne l’état d’avancement. Vous choisissez votre consultant dans le réseau de partenaires depuis l’application ou venez avec le vôtre. Les contrôles sont réalisés par des auditeurs indépendants, eux aussi issus du réseau de partenaires ou choisis par vous. Aucune mise en relation ne donne lieu à une commission.
Elle met en œuvre les mesures, en surveille la mise en œuvre et participe régulièrement à des formations. La responsabilité reste la sienne, même si d’autres font le travail. Elle décide de l’acceptation des risques, des ressources et des responsabilités. Sightadel archive avec leur date la décision et les preuves de formation.
Non. C’est vous qui effectuez la notification. Sightadel tient à disposition les canaux de notification, les responsables, les suppléants et les modèles, et calcule les trois délais à partir du moment de la prise de connaissance.
Sightadel est développé en Allemagne et exploité en Allemagne.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
