Directive NIS2 : on nous dit qu'on est concernés, comment vérifier notre statut en Italie ?

Avant de signer des contrats de conseil hors de prix, passez le questionnaire du client en revue avec votre équipe informatique. La plupart du temps ils demandent du MFA (double facteur), des sauvegardes régulières et testées, de la sécurité sur les postes de travail (EDR) et du chiffrement. C'est de l'hygiène informatique de base, une bonne partie peut se mettre en place avec un budget raisonnable.

Dans les exigences NIS2 pour les prestataires, l'accent est surtout mis sur la gestion des accès et les plans de réponse aux incidents. On va sûrement vous demander d'être capables de détecter et notifier une intrusion sur votre réseau sous 24h. Si vos machines CNC en atelier sont sur le même réseau local que les postes de bureau, la toute première étape sera de segmenter vos réseaux.

On est un fournisseur de pièces avec 55 salariés, notre CA tourne autour de 11 millions d'euros. Notre client principal en Italie a demandé un audit similaire il y a six mois. Faire appel à un soutien externe et mettre les systèmes en conformité avec les normes nous a coûté environ 18 000 euros et trois mois de travail, mais on a évité de perdre le contrat principal.

Les grands clients corporate, en ce moment, avec la panique NIS2, essaient de refiler leurs propres responsabilités légales à leurs sous-traitants. Tous les points du formulaire qu'ils vous envoient ne sont pas forcément obligatoires juridiquement. Le décret italien précise que les fournisseurs doivent être évalués selon le principe de proportionnalité. Négociez en proposant des mesures de sécurité alternatives pour les points qui dépassent vos capacités.

l'acn avait publié une sorte de guide-questionnaire sur son site officiel tu rentres ton code ateco et ça te dit direct si t'es dans le périmètre. mais si le client met la pression ce code compte plus trop malheureusement, s'ils veulent pas ils renouvellent pas le contrat.

Il est évident que votre société, avec 68 salariés et 14 millions d'euros de chiffre d'affaires, entre dans la catégorie des entreprises de taille moyenne. Les organisations qui fournissent des pièces critiques au secteur de l'énergie sont censées se conformer indirectement à la réglementation sur la sécurité de la chaîne d'approvisionnement, même si elles restent directement hors périmètre. Nous vous recommandons de répondre attentivement au formulaire concerné et de tenir vos registres d'entreprise à disposition.

Voici les étapes à suivre actuellement : 1) Confirmez votre périmètre officiel avec votre code ATECO sur le portail ACN, 2) Listez les points manquants du questionnaire client par ordre d'urgence et établissez un budget, 3) Plutôt que de répondre non immédiatement au client, gagnez du temps en lui présentant une feuille de route de six mois incluant les améliorations de sécurité.

Il y a deux ans, on avait vécu une situation similaire avec un fabricant allemand lors d'un processus de certification qualité. Au début ça nous avait paru très inutile et lourd, mais une fois ces réglementations mises en place et la sécurité interne renforcée, on a à la fois évité des pertes de données en interne et utilisé ça comme une solide référence pour soumissionner auprès d'autres grandes entreprises.

Vous avez raison. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

Si c'est une première commencez petit l'échelle viendra plus tard. bref voilà, désolé si je me suis étendu.

Vous avez raison.

C'est vrai en théorie, mais ça ne marche pas ainsi en pratique. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Je suis aussi curieux de savoir si d'autres font autrement.

Chez nous, ça s'est passé comme ça. Quand on essaie de tout changer en même temps, rien ne prend.

Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Chez nous ça s'est passé comme ça. bon si la double authentification est activée un mot de passe volé seul ne suffit pas.

Bon courage.

J'ai vécu la même chose.

Je partage mon expérience. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

Je le note au cas où.

Je ne peux pas totalement adhérer à cela. genre la plupart des incidents ne viennent pas d'une faille mais d'un mot de passe divulgué.

Je trouve difficile d'être aussi catégorique côté directive nis2. Quand on essaie de tout changer en même temps, rien ne prend.

Voilà, désolé si je me suis étendu.