Notre donneur d'ordre nous dit que la directive NIS2 nous concerne : c'est quoi au juste et est-ce obligatoire en Espagne ?

Le processus fonctionne exactement comme ça : 1) Le grand donneur d'ordre est directement soumis à la directive NIS2. 2) La loi lui dit « les failles de tes fournisseurs sont tes failles, contrôle-les ». 3) Pour dégager sa responsabilité, le fabricant essaie donc de vous faire signer ce formulaire. Autrement dit, vous n'êtes pas impacté par la loi elle-même, mais par le contrat.

Les points techniques dans le formulaire du client sont généralement standards : VPN et MFA obligatoires pour l'accès à distance aux serveurs contenant les fichiers de conception CAD/CAM, sécurité des terminaux (EDR/antivirus) à jour sur les postes des employés et sauvegardes hors ligne hebdomadaires. Si vous prouvez que vous respectez ces quatre étapes, vous passerez l'audit sans problème.

Beaucoup d'entreprises se rassurent en voyant la clause « exempté pour les moins de 50 salariés », mais dans la pratique c'est un leurre. Quand les géants de l'automobile vous mettent le contrat sous le nez en disant « si tu signes pas, je t'achète plus de pièces », l'exemption prévue par la loi n'a plus aucune valeur commerciale.

On est une équipe de 25 personnes en automatisation industrielle à Barcelone. Le mois dernier, un client allemand similaire nous a envoyé un engagement de sécurité NIS2 de 40 points. On a payé 3 800 euros à un expert indépendant pour la journalisation interne (logs) et la configuration du pare-feu, on a comblé les manques et fait valider le formulaire.

Votre client demande-t-il simplement une déclaration d'auto-évaluation signée par le dirigeant ou bien exige-t-il un rapport de test d'intrusion ou d'audit réalisé par une société de cybersécurité tierce accréditée ? Cette distinction change considérablement vos coûts opérationnels.

En Espagne, l'Institut National de Cybersécurité (INCIBE) met à disposition des guides et des outils d'auto-évaluation pour les entreprises de la chaîne d'approvisionnement. Avant de répondre à votre client, il serait judicieux de consulter les mesures de sécurité minimales recommandées dans les guides PME de l'INCIBE.

Vous ne faites pas partie du groupe passible de sanctions directes au titre de la loi, mais pour ne pas perdre le client, vous êtes obligé d'appliquer les mesures minimales du cahier des charges.

La première fois qu'on en a entendu parler, ça nous a aussi paru être de la bureaucratie européenne inutile. Mais quand on a passé nos systèmes en revue à la demande du client, on s'est rendu compte que notre serveur interne était totalement ouvert et sans protection vers l'extérieur, et que les mots de passe d'anciens employés étaient toujours actifs. Même si l'obligation est pénible, au final vous protégez votre propre boîte d'une catastrophe.

Correction : je me suis trompé sur le chiffre, c'était un peu plus bas.

Je me pose aussi la question.

Je suis d'accord, j'aimerais même souligner ce point. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

C'est une bonne idée d'avoir ouvert ce sujet. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

C'est confirmé par l'expérience.

Trois avis différents sont sortis, ils se complètent tous. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

Bien sûr, cela change si votre situation est différente.

Comment avez-vous résolu ce point ? Les décisions hâtives finissent par être corrigées six mois plus tard.

Ne comptez pas sur une seule mesure de sécurité ; allez par couches. Je suis aussi curieux de savoir si d'autres font autrement.

Il y a un piège ici, je ne pouvais pas ne pas le mentionner. L'erreur commise du côté de directive NIS2 est généralement réversible mais coûteuse.

Si vous avez des questions écrivez-moi je répondrai au mieux.

Il y a aussi un aspect mesure à considérer. Si vous grondez les fausses alertes, plus personne ne signalera rien.

Voilà, désolé si je me suis étendu.

Il y a une erreur fréquente à commettre en faisant cela... Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Je le note au cas où.

Le point le plus souvent négligé concernant directive NIS2 est : Tous ceux qui se pressent sur directive NIS2 se heurtent au même obstacle.

Corrigez-moi si je me trompe.

Je trouve difficile d'être aussi catégorique côté directive NIS2. Essayer de faire cela seul est la voie la plus coûteuse.

La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.