Le référentiel cyber de l'ANSSI pour NIS 2, objectif par objectif.

Tenir à jour la liste de toutes vos activités et services, et des systèmes d'information qui les font fonctionner. Tous ces SI sont soumis aux objectifs, sauf exclusion justifiée par une analyse de risques.

EI : 3 mesuresEE : 3 mesuresArt. 21.2.i

Placer la sécurité numérique sous la responsabilité du dirigeant exécutif : une organisation, des rôles, une PSSI et des politiques thématiques, une analyse de conformité et un plan d'action suivi dans la durée.

EI : 10 mesuresEE : 11 mesuresArt. 20 · Art. 21.2.a · Art. 21.2.f · Art. 21.2.h · Art. 21.2.i

Connaître vos prestataires et fournisseurs informatiques et vos interconnexions, et vous assurer par contrat qu'ils respectent vos obligations de sécurité et de signalement des incidents.

EI : 4 mesuresEE : 4 mesuresArt. 21.2.d · Art. 21.2.i

Sensibiliser tous les utilisateurs, en particulier les dirigeants, former les fonctions à responsabilité numérique et intégrer la sécurité de l'arrivée au départ de chaque personne.

EI : 4 mesuresEE : 5 mesuresArt. 21.2.g

Disposer d'une cartographie assez détaillée pour maintenir vos SI et réagir vite, et appliquer les correctifs de sécurité selon un processus de maintien en condition de sécurité.

EI : 8 mesuresEE : 10 mesuresArt. 21.2.e · Art. 21.2.i

Mettre en œuvre, sous la responsabilité du dirigeant, une approche par les risques : connaître et suivre les risques, définir les mesures pour les maîtriser, accepter les risques résiduels.

Entités essentielles uniquementEE : 4 mesuresArt. 21.2.a

Réaliser ou faire réaliser des audits de sécurité réguliers et planifiés pour vérifier l'atteinte des objectifs et évaluer le niveau de sécurité.

Entités essentielles uniquementEE : 5 mesuresArt. 21.2.f

S'assurer que seules les personnes autorisées accèdent aux locaux, en particulier aux salles serveurs et locaux techniques, avec un contrôle d'accès et une gestion des visiteurs.

EI : 2 mesuresEE : 4 mesuresArt. 21.2

Identifier ce qui doit être exposé, cloisonner les SI et filtrer les communications entrantes et sortantes. Les EE cloisonnent en plus leurs SI en zones de sécurité.

EI : 6 mesuresEE : 13 mesuresArt. 21.2.e · Art. 21.2.h

Authentifier les personnes et processus qui accèdent à vos SI depuis l'extérieur et chiffrer le canal. Les EE imposent l'authentification multifacteur et le chiffrement des postes nomades.

EI : 2 mesuresEE : 5 mesuresArt. 21.2.e · Art. 21.2.h · Art. 21.2.j

Protéger vos ressources contre les codes malveillants et contrôler les équipements qui se connectent. Les EE n'autorisent que des équipements qu'elles gèrent (pas de BYOD).

EI : 5 mesuresEE : 7 mesuresArt. 21.2.e

Identifier et authentifier chaque utilisateur et processus, et gérer les droits selon le besoin : attribution, révocation au changement de poste, désactivation au départ.

EI : 16 mesuresEE : 17 mesuresArt. 21.2.e · Art. 21.2.i · Art. 21.2.j

Utiliser des comptes d'administration dédiés, réservés aux personnes autorisées. Les EE sécurisent en plus l'administration de leurs annuaires (cœur de confiance).

EI : 5 mesuresEE : 14 mesuresArt. 21.2.e · Art. 21.2.i

Réduire la surface d'attaque : n'installer que les logiciels nécessaires et configurer les ressources de façon sécurisée selon les recommandations de l'ANSSI, des éditeurs et des fabricants.

Entités essentielles uniquementEE : 4 mesuresArt. 21.2.e

Administrer les SI depuis des postes maîtrisés et conformes aux recommandations de l'ANSSI, avec des flux d'administration sécurisés et cloisonnés.

Entités essentielles uniquementEE : 12 mesuresArt. 21.2.e

Avoir une organisation, des processus et des outils pour se préparer et réagir aux événements de sécurité qui peuvent toucher vos activités ou services.

EI : 2 mesuresEE : 7 mesuresArt. 21.2.b

Superviser la sécurité : traiter les journaux et événements au plus tard sous 24 heures, améliorer la détection en continu et conserver les journaux au moins trois mois.

Entités essentielles uniquementEE : 6 mesuresArt. 21.2.b

Avoir des sauvegardes et restaurations qui fonctionnent, testées au moins une fois par an. Les EE définissent en plus des plans de continuité et de reprise d'activité.

EI : 4 mesuresEE : 7 mesuresArt. 21.2.c

Se préparer et réagir aux crises cyber avec une organisation, des processus et des outils, et tenir à disposition de l'ANSSI les contacts externes utiles. Les EE font des retours d'expérience.

EI : 5 mesuresEE : 10 mesuresArt. 21.2.c · Art. 21.2.j

Réaliser régulièrement des exercices, tests et entraînements pour vérifier que l'organisation, les processus et les outils tiennent face aux incidents et aux crises.

EI : 1 mesuresEE : 4 mesuresArt. 21.2.b · Art. 21.2.c · Art. 21.2.g