Directive NIS 2 : Comment être en conformité ? (3/4)

Mickaël MARTIN Responsable Sécurité Système d'Information (RSSI) chez Blue

"Pour une entité souhaitant se conformer à la directive NIS 2, la première étape clé consiste à adopter une approche structurée et stratégique. En tant que RSSI, voici les actions que je mettrai en place pour lancer une démarche cyber et guider ma transition vers une conformité à NIS2 de manière efficace".

Mobiliser le top management

La mise en conformité ne peut être réussie sans l’adhésion et l’engagement des dirigeants. Mon rôle de RSSI impose de leur présenter des données concrètes pour les sensibiliser à l’importance de cette démarche : les pertes financières associées à une cyberattaque, par exemple, ou l’impact direct d’un arrêt de la production sur la rentabilité. Je m’appuierai également sur des exemples réels présentant les impacts humains, financiers et psychologiques, liés aux cyberattaques. Cela permet de rendre les risques tangibles et d’obtenir l’appui nécessaire de la direction pour faire de la cybersécurité une opportunité pour le groupe.

De plus, soulignons les bénéfices de la cybersécurité : fidéliser les clients, se démarquer de la concurrence, protéger la chaîne de production et surtout, anticiper les risques pour minimiser les pertes potentielles. Ces éléments ont un objectif très précis : transformer la cybersécurité d’un simple centre de coûts en un levier stratégique pour l’entreprise.

Réaliser une cartographie complète

Avant toute chose, je ne peux que recommander d’avoir une vision claire et exhaustive du système d’information de l’entité. La cartographie permet de découvrir d’éventuelles failles de conception nécessitant des corrections immédiates. Mais surtout, elle constitue un prérequis pour l’analyse de risques. Ces deux étapes sont centrales pour réaliser sa mise en conformité à la directive NIS 2.

Mener une analyse de risques rigoureuse

L’analyse de risques est un outil incontournable pour identifier et évaluer les menaces pesant sur l’entité. Concrètement, j’utiliserais la méthode EBIOS RM, publiée par l’ANSSI, qui repose sur des scénarios techniques réalistes.

La méthode permet de déterminer comment des attaquants ou d’autres sources de risques (y compris les parties prenantes internes et externes) pourraient exploiter les vulnérabilités identifiées. Au final, l’analyse débouche sur un plan de traitement des risques, qui guide les actions prioritaires pour renforcer la sécurité.

Définir une stratégie SSI claire et cohérente

Une fois les risques identifiés, au RSSI de poser un cadre stratégique. Pourquoi faisons-nous de la sécurité ? Cette pensée doit être le fil conducteur pour le RSSI et les dirigeants afin d’orienter ses idées vers ses objectifs. Une entreprise fait de la sécurité pour protéger les données de ses salariés, de ses clients et de ses processus internes. Le tout dans l’objectif de minimiser les impacts d’incidents potentiels. Ces objectifs doivent être formalisés dans une stratégie SSI qui inclut un plan d’action détaillé pour l’implémentation des mesures de sécurité et permettre d’atteindre ses objectifs.

Cette stratégie doit aussi intégrer un cadre de gouvernance solide, avec des comités de pilotage, un plan de contrôle et des processus pour surveiller et évaluer en continu l’efficacité des mesures mises en place. La stratégie va permettre de garantir une amélioration constante et de rester en conformité avec les exigences réglementaires.

En résumé, retenons que la conformité NIS 2 n’est pas seulement un impératif réglementaire : c’est aussi une opportunité de renforcer la résilience et la compétitivité de son entité. Au sein d’une structure, le RSSI guide son entité dans cette transformation, en intégrant les bonnes pratiques et en mobilisant chaque acteur dans la démarche de sécurité.