Votre situation
Quatre situations amènent le plus souvent un dirigeant à s’interroger sur sa cybersécurité.
Les exigences de vos clients et de votre assureur
Un donneur d’ordre évalue la cybersécurité de ses fournisseurs par un questionnaire de sécurité. Un assureur l’évalue à la souscription ou au renouvellement d’un contrat cyber.
Ce qu’on vous demande
- La double authentification.
- Une sauvegarde hors ligne, testée, programmes et recettes compris.
- La maîtrise des accès distants, ceux des constructeurs compris.
L’intervention
1. Bilan cybersécurité
Où vous en êtes face à ces questions.
2. Audit détaillé
Le plan d’action qui y répond.
3. Mise en œuvre
Chaque action close par une preuve datée, à joindre à vos réponses.
Ni label, ni certification.
Le plan d’action prépare vos réponses au questionnaire et à l’assureur.
NIS 2 vous concerne directement
NIS 2 est une directive européenne sur la cybersécurité, adoptée en 2022. Elle remplace la directive NIS de 2016 et étend ses obligations aux moyennes et grandes entreprises de nombreux secteurs, dont une partie de l’industrie.
- Effectif
- 50 salariés
- ou plus
- Ou chiffre d’affaires et bilan
- 10 M€
- chacun
- Secteurs
- Fabrication, agroalimentaire, chimie
- machines, équipements électriques, produits électroniques, dispositifs médicaux, véhicules, matériels de transport
Ce que NIS 2 vous demandera
- Vous déclarer à l’ANSSI.
- Prendre des mesures adaptées à vos risques, atelier compris.
- Signaler vos incidents importants.
- Faire approuver ces mesures par la direction, qui doit être formée à ces risques.
L’intervention
1. Bilan cybersécurité
L’écart avec ces exigences.
2. Audit détaillé
Le plan d’action qui vous y prépare.
3. Mise en œuvre
Les mesures en place, chacune avec sa preuve datée.
La responsabilité de la direction.
Les dirigeants approuvent les mesures de cybersécurité et peuvent être tenus responsables de leurs manquements.
Hors de ces secteurs, NIS 2 vous concerne à travers vos donneurs d’ordre : les exigences de vos clients et de votre assureur.
Un nouveau projet : ERP, machine ou ligne
Une entreprise industrielle investit dans ses outils : logiciels de gestion, équipements de production, extensions d’atelier. Ces projets touchent aussi sa cybersécurité.
Ce que le projet change
Le projet ajoute des logiciels, des accès et des prestataires :
- des comptes et des droits à attribuer
- des accès à distance pour l’éditeur ou le constructeur
- des sauvegardes à étendre
- des liaisons avec l’existant
L’intervention
Je vérifie que le projet s’inscrit dans votre cadre de cybersécurité : les exigences de vos clients et de votre assureur, NIS 2 si vous y êtes soumis, les règles déjà en place chez vous.
Les exigences de cybersécurité entrent au cahier des charges.
Avant la signature avec l’éditeur, le constructeur ou l’intégrateur.
Un incident, chez vous ou chez un voisin
Un client, un fournisseur ou une entreprise voisine a subi une attaque, une panne ou une fraude. Ou votre entreprise en a déjà connu une, et l’activité a repris. Dans les deux cas, l’incident amène à se questionner sur sa propre organisation.
Pas d’intervention d’urgence.
Pendant une attaque, 17Cyber (17cyber.gouv.fr), le service de l’État, oriente vers des prestataires d’intervention.
Les questions qui se posent
- Combien de temps l’activité s’arrêterait chez vous.
- Si vos sauvegardes permettent de repartir.
- Ce qui a rendu l’incident possible, et si cela existe chez vous.
L’intervention
1. Bilan cybersécurité
Ce qui vous exposerait au même incident.
2. Audit détaillé
Le plan d’action qui réduit ce risque.
3. Mise en œuvre
Les mesures en place, chacune avec sa preuve datée.