Objectif 13 · Pilier Résilience · EI et EE

Continuité et reprise d'activité

Avoir des sauvegardes et restaurations qui fonctionnent, testées au moins une fois par an. Les EE définissent en plus des plans de continuité et de reprise d'activité.

Mesures pour une EI4

Mesures pour une EE7

Directive NIS 2Art. 21.2.c

Pourquoi c'est important

Face à un rançongiciel, une sauvegarde hors ligne et testée fait la différence entre quelques jours et plusieurs mois d'arrêt.

Ce que couvre la directive

Art. 21.2.c · Continuité des activités, sauvegardes et gestion de crise

Les 7 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

13.1-EI/EEDSIPriorité critique

Avez-vous des procédures de sauvegarde et de restauration de vos SI et de leurs données ?

Action si absent: Rédiger et appliquer une politique de sauvegarde (par exemple règle 3-2-1).
Preuve attendue: Politique de sauvegarde

13.2-EI/EEDSIPriorité critique

Testez-vous la sauvegarde et la restauration au moins une fois par an ?

Action si absent: Planifier un test de restauration annuel et le documenter.
Preuve attendue: Procès-verbal de test de restauration

13.3-EI/EEDSIPriorité critique

Vos sauvegardes sont-elles protégées contre un rançongiciel (copie hors ligne ou non modifiable) ?

Action si absent: Mettre en place une copie hors ligne ou immuable.
Preuve attendue: Configuration des sauvegardes

13.4-EEDirectionPriorité élevéeEE uniquement

Avez-vous défini pour chaque activité la durée maximale d'interruption admissible (DMIA) et la perte de données maximale (PRD) ?

Action si absent: Définir DMIA et PRD avec chaque responsable métier.
Preuve attendue: Bilan d'impact sur l'activité

13.5-EI/EEDSIPriorité élevée

Vos sauvegardes sont-elles dimensionnées selon les besoins de disponibilité de chaque service ?

Action si absent: Adapter fréquence et durée de conservation des sauvegardes aux besoins métier.
Preuve attendue: Plan de sauvegarde par service

13.6-EEDirectionPriorité critiqueEE uniquement

Avez-vous un PCA et un PRA adaptés aux crises cyber et cohérents avec vos DMIA et PRD ?

Action si absent: Rédiger PCA et PRA intégrant les scénarios cyber (rançongiciel).
Preuve attendue: PCA, PRA

13.7-EEDirectionPriorité moyenneEE uniquement

Ces plans s'appuient-ils sur la cartographie de l'écosystème et sur les procédures d'incident et de crise ?

Action si absent: Relier PCA et PRA aux procédures d'incident et de crise.
Preuve attendue: PCA et PRA avec renvois