La directive (UE) 2022/2555, dite NIS2, relève le niveau de cybersécurité exigé d’un large périmètre d’organisations dans l’Union européenne. Son article 41 fixait au 17 octobre 2024 la date limite de transposition dans le droit national. Le statut de cette transposition dans votre pays se vérifie auprès de l’autorité nationale compétente.
Cet article ne dit pas si une organisation est concernée. Ce point dépend de son secteur, de sa taille et de son statut, et doit être examiné avec un juriste.
Ce que demande l’article 21
L’article 21 liste les mesures minimales de gestion des risques. Parmi elles figurent l’analyse des risques et les politiques de sécurité des systèmes d’information, la gestion des incidents, la sécurité de la chaîne d’approvisionnement, la gestion des vulnérabilités, ainsi que la gestion des actifs.
La surface d’attaque externe touche directement ces points. On ne peut pas gérer des vulnérabilités sur des actifs dont on ignore l’existence.
Une feuille de route simple
- Inventaire. Établissez la liste des domaines, sous-domaines et services exposés sur Internet, et l’hébergeur de chacun.
- Responsabilités. Désignez une personne chargée de tenir cet inventaire à jour, et précisez qui valide l’ouverture d’un nouveau service.
- Traitement des vulnérabilités. Définissez qui reçoit les alertes, qui décide de la priorité et dans quel délai on corrige.
- Fournisseurs. Listez les prestataires qui exposent des services en votre nom, et leur niveau d’engagement sur la sécurité.
- Preuves. Conservez les comptes rendus de découverte et de correction. Ce sont eux qui montrent que la démarche existe.
Ce qu’un outil peut et ne peut pas faire
Un outil de découverte aide à remplir les points 1 et 5. Il ne décide pas à votre place, il ne rend pas une organisation conforme à elle seule, et il ne remplace ni la gouvernance ni les procédures.
Atlas, en développement, vise cet usage. Pour en savoir plus, écrivez-nous.