Objectif 15 · Pilier Résilience · EI et EE

Exercices, tests et entraînements

Réaliser régulièrement des exercices, tests et entraînements pour vérifier que l'organisation, les processus et les outils tiennent face aux incidents et aux crises.

Mesures pour une EI1

Mesures pour une EE4

Directive NIS 2Art. 21.2.b, Art. 21.2.c, Art. 21.2.g

Pourquoi c'est important

Une procédure jamais testée échoue presque toujours le jour où elle sert.

Ce que couvre la directive

Art. 21.2.b · Gestion des incidents
Art. 21.2.c · Continuité des activités, sauvegardes et gestion de crise
Art. 21.2.g · Cyberhygiène et formation

Raccourci reconnu par l'ANSSI : Le recours à une PACS qualifiée par l'ANSSI pour les exercices de crise, suivie d'un plan d'action, peut être présenté pour démontrer cet objectif.

Les 4 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

15.1-EI/EEDirectionPriorité élevée

Organisez-vous au moins un exercice sur table pour les personnes mobilisées en crise, à une fréquence que vous avez définie ?

Action si absent: Organiser un exercice de crise sur table.
Preuve attendue: Scénario et compte rendu d'exercice

15.2-EERSSIPriorité moyenneEE uniquement

Avez-vous une stratégie d'entraînement (acteurs, exercices, objectifs, scénarios prioritaires, suivi) ?

Action si absent: Écrire la stratégie d'entraînement.
Preuve attendue: Stratégie d'entraînement

15.3-EERSSIPriorité moyenneEE uniquement

Cette stratégie teste-t-elle la gestion des alertes, la continuité et la reprise, et la gestion de crise ?

Action si absent: Couvrir ces trois dispositifs dans les exercices.
Preuve attendue: Programme d'exercices

15.4-EERSSIPriorité moyenneEE uniquement

Avez-vous un programme d'exercices sur trois ans (fréquence, nature, objectifs) ?

Action si absent: Établir le programme triennal d'exercices.
Preuve attendue: Programme triennal