Liste de contrôle de conformité NIS2: 14 étapes pour les entreprises de l'UE dans le champ d'application: NIS2 s'applique à plus de secteurs que la plupart des entreprises ne le réalisent. Cette liste de contrôle en 14 étapes couvre les rapports d'incident, les risques de tiers, les contrôles d'accès et..
HubSecure est pertinent lorsque les équipes ont besoin de dossiers clients sécurisés, de collecte de documents, de propriété des flux de travail, d'accès fondé sur le rôle et de preuves prêtes à l'audit dans un espace de travail régi.
La directive sur la sécurité des réseaux et de l'information 2 (NIS2, directive 2022/2555/UE) a remplacé NIS1 en 2022 et a exigé la transposition par l'État membre d'ici octobre 2024. Elle a considérablement élargi sa portée, ajoutant de nouveaux secteurs, abaissant le seuil pour les entités « essentielles » et « importantes », et introduisant la responsabilité personnelle directe de la haute direction pour les manquements à la conformité.
Si votre organisation a une portée, voici la liste de contrôle de conformité pratique qui couvre ce que les superviseurs de NIS2 inspectent.
Voie d'achat HubSecure connexe
AML/KYC & Inboarding guide client logiciel de bord module AML/KYC Sumsub comparaison guide logiciel de conformité AML/KYC Guide Bibliothèque réserver une démo workflow
Ressources connexes en matière de sécurité, de protection de la vie privée et de gouvernance
Continuer avec HubSecure centre de sécurité et de confiance , accord de traitement de données , sous-processeurs , flux de travail de conformité , opérateur AI régi .
Cas d'utilisation connexe
Ce guide appartient au cluster Workspace Alternatives and Tool Consolidation Guides. Continuer avec le moyeu produit pour les alternatives d'espace de travail et la consolidation des outils .
Tu es dans le champ ?
NIS2 s'applique aux organisations de 18 secteurs classés comme « essentiels » ou « importants ». Si votre organisation compte plus de 50 employés ou un chiffre d'affaires annuel de 10 millions de dollars et exerce ses activités dans l'un ou l'autre de ces secteurs, vous êtes susceptible d'avoir une portée :
- Énergie (électricité, pétrole, gaz, chauffage urbain, hydrogène)
- Transports (air, rail, eau, route)
- Infrastructure bancaire et financière
- Santé (hôpitaux, laboratoires, produits pharmaceutiques, matériels médicaux)
- Eau (eau potable, eaux usées)
- Infrastructure numérique (DNS, cloud, centres de données, CDN, FST)
- Gestion des services TIC (PSM, PSM)
- Administration publique
- Espace
- Services postaux et de messagerie
- Gestion des déchets
- Produits chimiques, aliments, fabrication, fournisseurs numériques, recherche
Note à l'intention des entreprises de services financiers : Les banques et les entreprises d'investissement assujetties à la DORA (Digital Operational Resilience Act) ont des exigences qui se chevauchent mais distinctes. NIS2 est la base de référence; DORA est plus spécifique pour les entités financières et a priorité lorsqu'elles sont en conflit.
La liste de contrôle 14 étapes NIS2
- 1 Inscrivez-vous à votre ACN national. La plupart des États membres exigent que les entités concernées s'enregistrent auprès de l'autorité nationale compétente (ANC). La date limite varie selon les pays — vérifiez votre mise en œuvre nationale.
- 2 Désigner un organisme de gestion responsable. NIS2 L'article 20 exige que les cadres supérieurs approuvent les mesures de gestion des risques de cybersécurité et soient personnellement responsables des manquements à la conformité. Un ISO désigné ou équivalent est requis.
- 3 Effectuer une évaluation du risque de cybersécurité. Documentez vos actifs d'information, menaces, vulnérabilités et contrôles existants. Cela doit être revu au moins une fois par an.
- 4 Mettre en oeuvre une politique de cybersécurité. Une politique écrite couvrant la gestion des risques, l'intervention en cas d'incident, le contrôle d'accès, le chiffrement et la continuité des activités. Doit être approuvé au niveau du conseil d'administration ou de la haute direction.
- 5 Mettre en place la détection et l'enregistrement des incidents. Vous devez pouvoir détecter, enregistrer et enquêter sur les incidents de sécurité. SIEM, EDR ou outillage équivalent approprié à votre taille. Les journaux doivent être conservés (habituellement 12 mois et plus).
- 6 Élaborer un plan d'intervention en cas d'incident. Procédure documentée pour répondre à un incident de cybersécurité : détection → confinement → éradication → récupération → examen post-incident. Testez-le chaque année.
- 7 Établir le processus de notification initiale 24 heures sur 24. Dans le cas d'incidents importants, vous devez en aviser votre ACN dans les 24 heures suivant la prise de conscience. On entend par « significatif » la perturbation des services, la perte financière au-delà des seuils ou la violation de données touchant d'autres entités. Qui envoie cette notification et comment?
- 8 Établir le processus de rapport détaillé de 72 heures. Un rapport d'incident plus complet dans les 72 heures, couvrant la gravité, l'impact, les indicateurs de compromis et les premières étapes d'assainissement. Qui écrit ça ? De quelles données ont-ils besoin?
- 9 Évaluer et gérer le risque de la chaîne d'approvisionnement. NIS2 exige explicitement une évaluation des risques des fournisseurs directs et des fournisseurs de services. Les fournisseurs essentiels des TIC ont besoin d'évaluations de sécurité. C'est l'un des domaines les plus sous-financés dans les programmes de conformité actuels.
- 10 Mettre en oeuvre le contrôle de l'accès et la gestion de l'accès privilégié. Authentification multi-facteurs (AMF) requise pour tous les accès critiques au système. Le principe du minimum vital est appliqué. Comptes privilégiés examinés chaque trimestre.
- 11 Chiffrer les données sensibles au repos et en transit. Politiques de chiffrement des données documentées. Normes de chiffrement spécifiées (minimum AES-256 au repos, TLS 1.2+ en transit). Principaux processus de gestion définis.
- 12 Mettre en oeuvre la continuité des opérations et la sauvegarde. Stratégie de sauvegarde documentée et testée. Objectifs de temps de récupération (OTR) définis pour les systèmes critiques. Intégrité de sauvegarde vérifiée régulièrement.
- 13 Former tout le personnel à la cybersécurité. Formation annuelle obligatoire de sensibilisation à la cybersécurité. Formation spécifique du personnel ayant un accès privilégié. Formation de gestion sur leur responsabilité personnelle en vertu de la NIS2.
- 14 Documentez tout. Les superviseurs de NIS2 s'attendent à des preuves et non à des affirmations. Conservez la documentation sur : les évaluations des risques (avec les dates), les examens des politiques, l'achèvement de la formation, les registres des incidents, les évaluations des fournisseurs et les résultats de la vérification. Cette trousse de preuves devrait être produite dans les 48 heures suivant la demande de l'organisme de réglementation.
Ce que cherchent les superviseurs
Sur la base des premières activités de surveillance menées dans tous les États membres de l'UE, les audits NIS2 se concentrent surtout sur: la capacité de notification des incidents (vous pouvez effectivement obtenir un rapport dans 24 heures?), l'évaluation des risques de la chaîne d'approvisionnement (la plupart des organisations ne l'ont pas fait rigoureusement) et la responsabilité de la haute direction (les membres du conseil d'administration connaissent-ils leur responsabilité personnelle?).
La pénalité pour non-conformité varie de 7 M$ ou 1,4 % du chiffre d'affaires annuel mondial (entités importantes) à 10 M$ ou 2 % du chiffre d'affaires annuel mondial (entités essentielles) — plus la responsabilité personnelle de la direction.
Quand NIS2 est-il entré en vigueur?
NIS2 (directive 2022/2555/UE) a été publié en décembre 2022. Les États membres étaient tenus de le transposer en droit national avant le 17 octobre 2024. Les obligations s'appliquent maintenant, bien que les délais d'exécution varient selon les États membres.
Les NIS2 s'appliquent-ils aux entreprises de services financiers?
Oui — les infrastructures bancaires et financières sont explicitement incluses dans le champ d'application essentiel des NIS2. Les entreprises financières doivent également tenir compte de la DORA (Digital Operational Resilience Act), qui a des exigences spécifiques en matière de gestion des risques liés aux TIC. Dans les deux cas, la DORA a priorité sur les entités financières.
NIS2 et RGPD
Le module de gestion des incidents de HubSecure , B01 Réservez une démo pour voir comment.
Réservez une démo → Aperçu de la sécuritéLecture connexe :
Sources officielles et lectures complémentaires
Utiliser ces sources publiques pour vérifier le contexte réglementaire et la terminologie. HubSecure contenu est l'orientation des produits, pas des conseils juridiques.
Notes de crédibilité
Ce guide est rédigé pour l'évaluation des produits et des opérations, et non comme un avis juridique. Pour les obligations de conformité, confirmer les exigences auprès d'un avocat qualifié ou de l'organisme de réglementation pertinent.
Related HubSecure références: Sécurité · DPA · Sous-processeurs · Glossaire AML/KYC · Glossaire RBAC
Examen des équipes réglementées
Préparé par l'équipe de rédaction HubSecure à l'intention des exploitants, des responsables de la conformité et des examinateurs de TI qui évaluent les logiciels d'exploitation sécurisés des clients.
Auteurs · évaluateurs · Politique éditoriale