On nous dit qu'on est concernés par NIS2 — Sommes-nous assujettis en Espagne, que faut-il faire ?

L'exigence technique la plus pointue dans ce formulaire concerne généralement la segmentation réseau et le contrôle des accès. Si vous fournissez des pièces ou de la télémaintenance à un distributeur d'énergie, vous devrez prouver que votre réseau de production industrielle est totalement isolé du réseau bureautique et des serveurs ouverts sur l'extérieur.

Prenez le formulaire dès demain et séparez-le en trois colonnes : ce que vous faites déjà, ce qui se règle en 15 jours avec de petits paramétrages et ce qui demande du budget. Remplissez et renvoyez immédiatement les deux premiers volets au client, et donnez-lui un calendrier pour la partie investissement. La plupart du temps, cette approche suffit largement à sécuriser le contrat.

Le mois dernier, un de nos clients dans la logistique à Barcelone nous a envoyé un document similaire. Un consultant externe nous demandait 12.000 EUR pour l'audit. On s'est posé avec le responsable sécurité du client, et en fait ils voulaient juste une formation de base à la cybersécurité pour les employés et l'obligation d'un gestionnaire de mots de passe ; on a réglé le truc en interne pour 600 EUR.

Même si vous êtes légalement exempté le cahier des charges d'un grand compte fait loi : si vous ne remplissez pas les conditions, vous êtes hors course pour l'appel d'offres.

Est-ce que le document demande simplement un questionnaire d'auto-évaluation ou bien un rapport d'audit tiers indépendant voire un certificat de conformité à l'Esquema Nacional de Seguridad (ENS) ? Ce détail change totalement votre budget.

Alors même que la transposition de NIS2 dans la loi espagnole n'est pas encore totalement calée, les grandes boîtes balancent leurs modèles types de documents d'audit à tous leurs fournisseurs. C'est le réflexe habituel pour se couvrir sur le dos des PME, mais la plupart des points sont négociables.

Voici les 3 points critiques de sécurité à mettre en place rapidement : 1) Double authentification obligatoire sur tous les accès distants et les e-mails, 2) Routine de sauvegardes chiffrées et isolées physiquement, 3) Procédure écrite attestant de la révocation immédiate des accès des employés des sous-traitants lors de leur départ.

Traiter des ateliers de 30-40 personnes comme nous comme si on gérait une centrale nucléaire, c'est parfois usant. franchement mais dites-vous qu'une fois ces procédures en place, ça devient un énorme argument commercial face à vos concurrents.

Je suis entièrement d'accord. Une sauvegarde non testée n'est pas une sauvegarde.

Tout va bien les trois premiers mois, les problèmes arrivent au quatrième. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

on en parle beaucoup mais chez nous cela ne s'est jamais passé ainsi puis bref tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

c'est confirmé par l'expérience.

Sujet très actuel.

Pour entrer dans le détail : La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Bien sûr, cela change si votre situation est différente.

Ce qui est écrit correspond exactement à ce que nous avons vécu. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Bien sûr, cela change si votre situation est différente.

Exact. Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je parle du point de vue du fournisseur, c'est mon côté. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Je parle du point de vue du fournisseur, c'est mon côté. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Cette approche a un coût dont on ne parle pas. genre les gens défendent l'habitude, pas le processus... La résistance vient de là.

Je le note au cas où.

Il y a un point auquel il faut faire attention. bref n'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

À votre place, j'irais par cette voie.