Pack de préparation NIS2 : une vérification du périmètre, un rapport d’écarts au regard des dix mesures de sécurité de l’article 21 et vos politiques de départ, rédigés à partir de vos réponses en 10 jours ouvrés

Les fournisseurs de services d’informatique en nuage, de services de centres de données, de services gérés et de services de sécurité gérés figurent tous à l’annexe I, et la directive cite le logiciel en tant que service parmi les modèles de services d’informatique en nuage. Pour ces fournisseurs, le pays qui vous supervise est celui où sont principalement prises vos décisions relatives aux mesures de cybersécurité. Le contrôle du périmètre confronte vos services à ces définitions.

Cela peut l’être. En vertu de l’article 21, paragraphe 2, point d), les entreprises couvertes par NIS2 doivent gérer la sécurité de leur chaîne d’approvisionnement, y compris leurs fournisseurs directs, et elles transmettent donc des exigences de sécurité à des fournisseurs que la directive ne couvre pas. Le contrôle du périmètre peut conclure que vous n’êtes pas concerné. Le pack devient alors le dossier de preuves que ces clients vous demandent : des politiques écrites et un rapport d’écarts que vous pouvez leur montrer.

Des politiques d’analyse des risques et de sécurité des systèmes d’information ; la gestion des incidents ; la continuité des activités, notamment les sauvegardes et la reprise après sinistre, et la gestion de crise ; la sécurité de la chaîne d’approvisionnement ; la sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris le traitement et la divulgation des vulnérabilités ; l’évaluation de l’efficacité des mesures ; les pratiques de base en matière de cyberhygiène et la formation ; la cryptographie et, le cas échéant, le chiffrement ; la sécurité des ressources humaines, le contrôle des accès et la gestion des actifs ; et l’authentification multifacteur et les communications sécurisées, le cas échéant.

En vertu de l’article 23, un incident important est signalé à votre CSIRT ou à l’autorité nationale en plusieurs étapes : une alerte précoce dans les 24 heures suivant sa découverte, une notification d’incident dans les 72 heures, puis un rapport final au plus tard un mois après la notification. La procédure du pack indique qui décide, qui signale et ce que contient chaque rapport. Si vous voulez un plan de réponse aux incidents complet, rédigé puis testé avec votre équipe, le plan de réponse aux incidents avec exercice sur table s’en charge pour 690 €, payés une seule fois.

En vertu de l’article 20, il approuve les mesures de sécurité, supervise leur mise en œuvre et peut être tenu responsable des manquements, et ses membres doivent suivre une formation. La synthèse d’une page lui présente le résultat du contrôle du périmètre et les principaux écarts, et la politique de formation couvre sa propre formation.

Cela dépend de votre pays, et le contrôle du périmètre indique les démarches pour le vôtre. En Italie, en vertu du décret législatif 138/2024, les entreprises s’enregistrent chaque année sur la plateforme de l’Agence nationale de cybersécurité (ACN) entre le 1er janvier et le 28 février. En Allemagne, la loi sur le BSI impose de s’enregistrer auprès de l’Office fédéral de la sécurité des technologies de l’information (BSI) dans les trois mois suivant le premier assujettissement, via le portail du BSI.

Les pays de l’UE devaient adopter leurs lois avant le 17 octobre 2024 et les appliquer à partir du 18 octobre 2024, ce qu’ils ont fait à des dates différentes. Le jour de la livraison, nous vérifions la loi en vigueur dans votre pays et les pages de son autorité, et le contrôle du périmètre les cite. Lorsqu’une loi nationale n’est pas encore en vigueur, le contrôle du périmètre l’indique et s’appuie sur la directive.

Pour les manquements aux articles 21 ou 23, chaque pays doit permettre d’infliger aux entités essentielles des amendes pouvant atteindre au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu, et aux entités importantes des amendes pouvant atteindre au moins 7 millions d’euros ou 1,4 %, le montant le plus élevé étant retenu. La loi nationale fixe les montants exacts.

Non. Nous préparons le contrôle du périmètre et les documents à partir de vos réponses et des textes publiés. Nous ne sommes pas un cabinet d’avocats, nous ne testons pas vos systèmes et nous ne certifions rien. Votre propre conseil juridique ou l’autorité nationale a le dernier mot sur le périmètre, et le pack ne suffit pas à lui seul à vous rendre conforme.

Vos réponses sont lues par des modèles d’IA dont les fournisseurs sont situés aux États-Unis, dans le cadre de conditions commerciales qui interdisent au fournisseur de s’en servir pour l’entraînement, et AIGROW n’entraîne pas de modèles d’IA sur vos données. Ces transferts suivent les clauses contractuelles types adoptées par la Commission européenne en 2021, que notre accord de traitement des données intègre. Nous supprimons vos réponses, vos documents et nos fichiers de travail 30 jours après la livraison, ou plus tôt si vous le demandez.

Sous 10 jours ouvrés après réception de vos réponses complètes. Si une autorité ou un client a besoin du pack plus tôt, écrivez à hello@aigrow.gg avant de payer et nous vous dirons si nous pouvons tenir la date.