Objectif 2 · Pilier Gouvernance · EI et EE

Mise en œuvre d'un cadre de gouvernance de la sécurité numérique

Placer la sécurité numérique sous la responsabilité du dirigeant exécutif : une organisation, des rôles, une PSSI et des politiques thématiques, une analyse de conformité et un plan d'action suivi dans la durée.

Mesures pour une EI10

Mesures pour une EE11

Directive NIS 2Art. 20, Art. 21.2.a, Art. 21.2.f, Art. 21.2.h, Art. 21.2.i

Pourquoi c'est important

NIS 2 rend la direction responsable. Sans gouvernance écrite, aucune mesure technique n'est pilotée ni démontrable.

Ce que couvre la directive

Art. 20 · Responsabilité des organes de direction
Art. 21.2.a · Analyse des risques et politiques de sécurité des SI
Art. 21.2.f · Évaluation de l'efficacité des mesures
Art. 21.2.h · Cryptographie et chiffrement
Art. 21.2.i · Sécurité RH, contrôle d'accès et gestion des actifs

Raccourci reconnu par l'ANSSI : Un SMSI certifié ISO/CEI 27001:2022 peut être présenté lors d'un contrôle pour démontrer cet objectif sur le périmètre certifié.

Les 11 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

Rôles et responsabilités

2.A.1-EI/EEDirectionPriorité critique

Le dirigeant exécutif est-il officiellement responsable de la sécurité numérique et du suivi de la conformité ?

Action si absent: Formaliser la responsabilité du dirigeant (note de direction ou délibération).
Preuve attendue: Note de direction ou délibération

2.A.2-EEDirectionPriorité élevéeEE uniquement

Le dirigeant a-t-il désigné au moins une personne pour le conseiller, qui sert aussi de point de contact de l'ANSSI ?

Action si absent: Désigner un référent sécurité, point de contact de l'ANSSI.
Preuve attendue: Lettre de désignation

2.A.3-EI/EEDirectionPriorité élevée

Avez-vous une organisation claire pour la sécurité (responsable sécurité, RACI, comités réguliers) ?

Action si absent: Nommer un responsable sécurité, écrire un RACI et réunir un comité sécurité régulier.
Preuve attendue: Organigramme sécurité, RACI, comptes rendus de comité

Politique de sécurité (PSSI)

2.B.1-EI/EERSSIPriorité critique

Avez-vous une politique de sécurité des systèmes d'information (PSSI) écrite et appliquée ?

Action si absent: Rédiger la PSSI et la diffuser à tous.
Preuve attendue: PSSI en vigueur

2.B.2-EI/EERSSIPriorité élevée

La PSSI décrit-elle la gouvernance (rôles internes et externes), les objectifs de sécurité, l'engagement du dirigeant, le respect de NIS 2 et les règles de votre secteur ?

Action si absent: Compléter la PSSI avec les rubriques minimales attendues par l'ANSSI.
Preuve attendue: PSSI couvrant ces rubriques

2.B.3-EI/EEDirectionPriorité élevée

La PSSI est-elle approuvée par le dirigeant exécutif ?

Action si absent: Faire approuver et signer la PSSI par le dirigeant.
Preuve attendue: PSSI signée et datée

2.B.4-EI/EERSSIPriorité moyenne

La PSSI est-elle revue au moins une fois par an et mise à jour après un changement important (menace, métier, technique) ?

Action si absent: Inscrire la revue annuelle de la PSSI au calendrier du comité sécurité.
Preuve attendue: Historique des versions de la PSSI

2.B.5-EI/EERSSIPriorité élevée

Avez-vous des politiques dédiées, au minimum sur le chiffrement, le contrôle d'accès physique et logique, la revue des mesures et la gestion des comptes ?

Action si absent: Rédiger les quatre politiques thématiques minimales.
Preuve attendue: Politiques chiffrement, accès, revue et comptes

Gestion de la conformité

2.C.1-EI/EERSSIPriorité critique

Avez-vous analysé, pour chaque SI, l'écart entre vos mesures actuelles et celles du référentiel ?

Action si absent: Réaliser l'analyse de conformité par SI (ce questionnaire en est la base).
Preuve attendue: Analyse de conformité par SI

2.C.2-EI/EERSSIPriorité critique

Avez-vous un plan d'action pour corriger les écarts, avec une échéance et un responsable par action, suivi dans la durée ?

Action si absent: Construire le plan d'action avec échéances et responsables, et le suivre en comité.
Preuve attendue: Plan d'action à jour

2.C.3-EI/EERSSIPriorité moyenne

Si vous appliquez des mesures différentes de celles proposées par l'ANSSI, sont-elles justifiées dans votre analyse de conformité ?

Action si absent: Documenter chaque mesure alternative et sa justification.
Preuve attendue: Annexe « mesures alternatives »