Objectif 16 · Pilier Gouvernance · Entités essentielles

Mise en œuvre d'une approche par les risques

Mettre en œuvre, sous la responsabilité du dirigeant, une approche par les risques : connaître et suivre les risques, définir les mesures pour les maîtriser, accepter les risques résiduels.

Mesures pour une EINon applicable

Mesures pour une EE4

Directive NIS 2Art. 21.2.a

Pourquoi c'est important

La conformité seule ne couvre pas les menaces propres à votre activité : l'analyse de risques les fait apparaître.

Ce que couvre la directive

Art. 21.2.a · Analyse des risques et politiques de sécurité des SI

Raccourci reconnu par l'ANSSI : Un SMSI certifié ISO/CEI 27001:2022, ou une PACS qualifiée par l'ANSSI pour l'analyse de risques, peut être présenté pour démontrer cet objectif.

Les 4 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

16.1-EEDirectionPriorité critiqueEE uniquement

Avez-vous une gouvernance par les risques qui garantit que la direction connaît le risque cyber et alloue les moyens nécessaires ?

Action si absent: Mettre en place un comité des risques avec arbitrage budgétaire.
Preuve attendue: Comptes rendus du comité des risques

16.2-EERSSIPriorité critiqueEE uniquement

Chaque SI (ou chaque activité) fait-il l'objet d'une analyse de risques (par exemple avec la méthode EBIOS RM) ?

Action si absent: Réaliser l'analyse de risques avec la méthode EBIOS RM.
Preuve attendue: Analyse de risques

16.3-EEDirectionPriorité élevéeEE uniquement

L'analyse de risques est-elle validée, les risques résiduels acceptés et le plan de traitement suivi ?

Action si absent: Faire valider l'analyse et signer l'acceptation des risques résiduels.
Preuve attendue: Décision d'acceptation des risques

16.4-EERSSIPriorité moyenneEE uniquement

L'analyse est-elle revue au moins tous les trois ans, et après un incident ou un changement majeur ?

Action si absent: Planifier la revue de l'analyse de risques.
Preuve attendue: Historique des révisions