Pourquoi les questionnaires arrivent
NIS2 est entrée en vigueur dans le droit national dans l’ensemble de l’UE à partir d’octobre 2024. Elle couvre l’énergie, les transports, la banque, la santé, l’eau, l’infrastructure numérique, l’administration publique, la fabrication de certains biens, l’alimentation, les fournisseurs numériques et d’autres secteurs, et elle exige des organisations concernées qu’elles gèrent la sécurité de la chaîne d’approvisionnement : évaluer la sécurité de leurs fournisseurs directs et de leurs prestataires de services. La forme pratique de cette évaluation est un questionnaire, qui sera envoyé à chaque fournisseur ayant accès aux systèmes ou aux données de l’organisation.
Ce que demande un questionnaire structuré selon NIS2
La directive énumère les mesures que les entités couvertes doivent prendre, et les questionnaires suivent cette liste : analyse des risques et politiques de sécurité ; gestion des incidents ; continuité d’activité, sauvegardes et gestion de crise ; sécurité de la chaîne d’approvisionnement, ce qui implique des questions sur vos propres fournisseurs ; sécurité lors de l’acquisition, du développement et de la maintenance des systèmes, y compris la gestion des vulnérabilités ; manière dont vous évaluez l’efficacité de vos mesures ; cyberhygiène et formation ; cryptographie ; sécurité des ressources humaines et contrôle d’accès ; ainsi qu’authentification multifacteur et communications sécurisées.
Les questions sur les incidents sont celles qui se démarquent. Une entité couverte doit transmettre une alerte précoce à son autorité dans les 24 heures suivant la prise de connaissance d’un incident significatif, elle vous demandera donc si vous la notifierez assez rapidement, par quel canal et avec quelles informations. Préparez une réponse indiquant un délai et un contact nommé.
Répondre en tant que fournisseur
Répondez comme pour tout questionnaire de sécurité : le contrôle, le propriétaire, la fréquence, les preuves. Deux ajouts renforcent la confiance des relecteurs NIS2. D’abord, un engagement clair de notification des incidents : « nous informons les clients concernés dans les X hours suivant la confirmation d’un incident affectant leurs données, par e-mail à la personne de contact sécurité désignée, avec un suivi dans les 72 hours ». Ensuite, votre propre liste de fournisseurs : l’obligation du client suit la chaîne, il vous demandera donc qui sont vos fournisseurs d’hébergement, d’e-mail et d’IA, et comment vous les évaluez.
Les mêmes réponses, un titre de plus
Les mesures listées par NIS2 recoupent presque entièrement les contrôles d’ISO 27001 et le critère de sécurité de SOC 2. Une bibliothèque avec une réponse approuvée par contrôle répond aussi à un questionnaire NIS2 ; ce qui change, c’est l’accent mis sur la notification, la continuité et les fournisseurs. Responsemate rédige chaque questionnaire à partir de cette bibliothèque unique et montre où vos réponses sont insuffisantes, ce qui, pour NIS2, concerne généralement les lignes relatives à la notification et aux fournisseurs. Comment la base de connaissances maintient les réponses à jour.
Questions fréquentes
NIS2 s’applique-t-elle à nous si nous sommes un petit fournisseur de logiciels ?
En général, pas directement. NIS2 couvre les entités essentielles et importantes dans les secteurs listés, au-delà d’un seuil de taille. Mais si vos clients sont couverts, ils doivent gérer le risque que vous représentez, et leur questionnaire est la manière dont ils le font. Être hors du champ de NIS2 ne vous dispense pas du questionnaire.
Que demande un questionnaire NIS2 que les autres ne demandent pas ?
Davantage d’informations sur la notification des incidents, notamment si vous pouvez informer le client assez vite pour qu’il respecte sa propre obligation d’alerte précoce sous 24 heures, sur la continuité d’activité et la gestion de crise, ainsi que sur vos propres fournisseurs, car la directive suit la chaîne.