Maturitate NIS 2 · Directivă europeană obligatorie
Obligațiile dumneavoastră NIS 2, măsurate pe fiecare domeniu tematic și transpuse într-un plan de acțiune cuantificat.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate NIS 2 · Directivă europeană obligatorie
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Directiva (UE) 2022/2555, denumită NIS 2 lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care le leagă) este cel care transformă o constatare într-o traiectorie.
Dispozitivul de notificare a incidentelor permite respectarea termenului de alertă timpurie de 24 de ore către autoritatea competentă?
- N1
Nicio procedură de notificare. Canalul de declarare către autoritate și conținutul așteptat nu sunt identificate.
- N2
O procedură există pe hârtie. Criteriile de declanșare rămân neclare și nimeni nu a fost desemnat să emită notificarea în afara orelor de program.
- N3
Criteriile de calificare sunt definite, un rol de notificare este desemnat cu supleant, iar canalul către autoritate a fost testat cel puțin o dată.
- N4
Notificarea este integrată în lanțul de permanență, termenele de 24 de ore, 72 de ore și o lună sunt urmărite ca indicatori, fiecare notificare este trasată cu marcajele sale temporale.
- N5
Dispozitivul este testat prin exerciții care includ scenarii de noapte și de weekend, și revizuit după fiecare exercițiu sau incident real, cu o urmărire documentată a revizuirilor.
Acțiune pentru trecerea de la N2 la N3
Redactarea criteriilor de calificare a unui incident semnificativ, desemnarea unui emitent de notificare și a supleantului său în tabelul de permanență, apoi realizarea unui test al canalului de declarare către autoritate cu ocazia următorului exercițiu de criză.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe NIS 2.
Despre ce vorbește acest cadru de referință
Directiva (UE) 2022/2555, denumită NIS 2, înlocuiește directiva NIS din 2016 și extinde considerabil numărul entităților vizate. Ea distinge entitățile esențiale și entitățile importante, repartizate pe 18 sectoare, de la energie la sănătate, de la transporturi la domeniul digital, trecând prin gestionarea deșeurilor și fabricarea produselor critice. Articolul 21 enumeră 10 categorii de măsuri de gestionare a riscurilor: analiza riscurilor, tratarea incidentelor, continuitatea activității, securitatea lanțului de aprovizionare, achiziția și întreținerea sistemelor, evaluarea eficacității, igiena și formarea, criptografia, controlul accesului și gestionarea activelor, autentificarea multifactor. Articolul 20 angajează răspunderea organelor de conducere, care trebuie să aprobe măsurile și să urmeze o formare.
Dificultatea nu constă în citirea textului, ci în a ști unde se află organizația. Directiva stabilește obiective, nu cerințe tehnice detaliate, și lasă transpunerilor naționale sarcina de a preciza. Întrebările concrete revin pretutindeni: lanțul de aprovizionare este acoperit cu adevărat, sau doar furnizorii IT deja contractați? Dispozitivul de notificare respectă termenul de 24 de ore pentru alerta timpurie, inclusiv în weekend? Organul de conducere a aprobat formal măsurile, cu o urmă exploatabilă? Aceste răspunsuri nu se deduc dintr-un inventar de instrumente.
O confuzie frecventă merită clarificată: NIS 2 nu se certifică. Niciun organism nu eliberează un certificat NIS 2. Controlul revine autorităților naționale competente, în Franța ANSSI, cu un regim de supraveghere mai exigent pentru entitățile esențiale decât pentru entitățile importante. Un alt punct adesea înțeles greșit: sfera de aplicare nu depinde doar de mărime, anumite entități fiind desemnate indiferent de numărul de angajați. În cele din urmă, transpunerile naționale nu au fost adoptate toate în același ritm, ceea ce nu anulează obligația de pregătire pentru grupurile prezente în mai multe state membre.
Diagnosticul de maturitate răspunde la o întrebare diferită de cea a auditului de conformitate. Auditul concluzionează prin conform sau neconform, la o dată dată. Diagnosticul situează fiecare practică pe o scală progresivă și indică ce acțiune precisă permite trecerea la nivelul superior. Pe un text care lasă o marjă de apreciere autorităților, această lectură pe niveluri este mai utilă decât un verdict binar: permite demonstrarea unei traiectorii, arbitrarea investițiilor și compararea entităților din același grup.
În Datamensio, cadrul de referință NIS 2 este gata de utilizare. De asemenea, îl puteți adapta la contextul dumneavoastră: IA ajustează domeniile tematice, întrebările și nivelurile conform metodei CMMI, sau construiește o adaptare sectorială pornind de la propriile dumneavoastră documente, politica de securitate, planul de continuitate sau cerințele transpunerii naționale.
Standard de referință: Directiva (UE) 2022/2555, denumită NIS 2
Domeniile tematice evaluate
Sfera de aplicare și guvernanță
Calificarea ca entitate esențială sau importantă, înregistrarea la autoritatea națională, roluri și responsabilități, aprobarea măsurilor de către organul de conducere, formarea conducerii.
Analiza riscurilor și politica de securitate
Politică formalizată și aprobată, metodă de evaluare a riscurilor, sfera acoperită, criterii de acceptare, frecvența reevaluărilor.
Gestionarea incidentelor
Detectarea și calificarea, proceduri de tratare, jurnalizare, retrospective, articularea cu echipele operaționale.
Notificarea autorităților
Dispozitiv de alertă timpurie în 24 de ore, notificare în 72 de ore, raport final într-o lună, informarea destinatarilor serviciilor, permanență și lanț decizional.
Continuitatea activității și gestionarea crizelor
Copii de siguranță și restaurare testată, planuri de continuitate și de recuperare, gestionarea crizelor, exerciții și scenarii de ransomware.
Securitatea lanțului de aprovizionare
Cartografierea furnizorilor și prestatorilor critici, clauze contractuale de securitate, evaluarea terților, gestionarea vulnerabilităților transmise prin lanț.
Achiziție, dezvoltare și întreținere
Securitate pe parcursul ciclului de viață al sistemelor, gestionarea corecțiilor, divulgarea și tratarea vulnerabilităților, recepție și punere în producție.
Controlul accesului și gestionarea activelor
Inventarul activelor, gestionarea conturilor cu privilegii, revizuiri ale drepturilor de acces, autentificare multifactor, comunicări securizate de urgență.
Criptografie și protecția datelor
Politică de criptare, gestionarea cheilor, criptarea datelor în repaus și în tranzit, utilizarea protocoalelor.
Igienă informatică, formare și evaluarea eficacității
Program de conștientizare, practici de igienă de bază, indicatori, audituri interne, măsurarea eficacității măsurilor de gestionare a riscurilor.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
NIS 2 este certificabilă?
Nu. Niciun organism nu eliberează un certificat NIS 2. Controlul revine autorităților naționale competente, cu un regim de supraveghere diferențiat în funcție de calificarea entității ca esențială sau importantă. Diagnosticul de maturitate servește la demonstrarea unei traiectorii documentate, nu la obținerea unei etichete.
Ce diferență există între acest diagnostic și un audit de conformitate NIS 2?
Auditul verifică prezența cerințelor la o dată dată și concluzionează printr-un decalaj. Diagnosticul situează fiecare practică pe cinci niveluri și indică acțiunea care permite trecerea la nivelul următor. Cele două se completează: diagnosticul pregătește și prioritizează, auditul validează.
Cât timp durează evaluarea?
Versiunea scurtă se completează în 20 până la 30 de minute. Versiunea completă, în mod colaborativ cu mai mulți contribuitori, se desfășoară în general pe durata a una până la două săptămâni, cea mai mare parte a timpului fiind dedicată colectării elementelor de la echipele de securitate, achiziții și continuitate.
Suntem deja certificați ISO 27001, mai trebuie refăcut un diagnostic?
ISO 27001 acoperă o mare parte din măsurile articolului 21, dar nu în totalitate. Notificarea autorităților în termenele impuse, răspunderea organului de conducere și nivelul de exigență privind lanțul de aprovizionare necesită o examinare specifică. Diagnosticul identifică acest decalaj mai degrabă decât să reevalueze totul.
Se poate adapta cadrul de referință la sectorul nostru sau la transpunerea noastră națională?
Da. Puteți modifica întrebările, nivelurile, adăuga propriile domenii tematice sau porni de la o bază necompletată. IA construiește de asemenea o adaptare pornind de la documentele dumneavoastră, de exemplu cerințele precizate de autoritatea națională. Controlul asupra cadrului de referință vă aparține.
Cum se compară mai multe entități ale aceluiași grup?
Fiecare unitate de afaceri își desfășoară evaluarea pe același cadru de referință, ceea ce face scorurile comparabile pe fiecare domeniu tematic. O foaie de parcurs transversală consolidează planurile de acțiune și regrupează acțiunile redundante, în loc să le trateze entitate cu entitate.
Planul de acțiune este cuantificat?
Fiecare decalaj între scor și țintă generează o acțiune. Catalogul de prestații deschide o soluție în fața fiecărei acțiuni, cu costul, termenul și impactul așteptat asupra scorului. IA regrupează apoi aceste acțiuni într-o foaie de parcurs prioritizată.
Unde sunt găzduite datele?
În Franța, la OVH, cu copie de siguranță la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA utilizate pot fi selectate, inclusiv dintre soluțiile europene.