Un gros client nous dit qu'on est soumis à NIS2 : c'est quoi NIS2, est-ce vrai pour une PME en France ?

Les services juridiques des grands groupes font des copier-coller de ces formulaires à tout le monde pour se couvrir. Pas de panique, posez-vous avec eux en disant "nous ne sommes pas une infra critique, juste un éditeur de logiciel isolé" pour réduire la voilure.

On a reçu le même courrier il y a 3 mois d'un client dans l'énergie. Au début ils voulaient un audit en 60 points. On a discuté, on a prouvé nos logs d'accès à la BDD et la double authentification, on a réduit le truc à 8 points sans débourser un centime.

Vous êtes connectés comment exactement à leur système ? S'il y a un accès direct et permanent par VPN à leurs serveurs, leur inquiétude se comprend. C'est juste un flux API unidirectionnel ou vous avez les clés de chez eux ?

note : j'ai écrit cela d'après mon expérience, cela ne s'applique peut-être pas à tout le monde.

Préparez rapidement une synthèse sécu : double authentification interne, fréquence des backups et sensibilisation de base des équipes. Envoyez ça à leur pôle risques en mode "voici notre posture de sécurité adaptée à notre taille de PME".

En ce moment le marché pullule de "consultants NIS2" autoproclamés qui essaient de facturer 20k à 30k euros à des petites boîtes. Ne signez rien, la directive ne peut pas sanctionner directement les PME.

L'article 2 de la directive européenne fixe très clairement les seuils d'effectifs et financiers. Dans votre réponse écrite, vous avez tout intérêt à citer la définition des PME de la Commission européenne pour acter juridiquement que vous n'êtes pas assujetti direct.

notre client a paniqué pareil dès qu'ils entendent nis2 ils veulent refiler la facture au sous-traitant. genre restez calme, montrez les contrôles de base et en général ça s'arrête là.

Sujet très actuel. Une sauvegarde non testée n'est pas une sauvegarde.

Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je suis d'accord. Avant de décider, regardez quelles données vous avez en main.

Il faut faire une distinction ici. Tous ceux qui se pressent sur définition NIS2 se heurtent au même obstacle.

Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir. Corrigez-moi si je me trompe.

Si vous partez dans cette direction réglez cela dès le départ. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine. À votre place, j'irais par cette voie.

Oui, la situation est exactement ainsi concernant définition NIS2. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

la discussion part dans tous les sens je recentre. les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard. c'est confirmé par l'expérience.

Vous avez raison. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Je vais résumer ce qui a été dit jusqu'ici. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Si c'est une première, commencez petit l'échelle viendra plus tard.

Je suis du même avis. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

C'est noté, merci. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Nous avons aussi bloqué au même endroit à une époque. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion. Je le note au cas où.