Objectif 3 · Pilier Gouvernance · EI et EE

Maîtrise de l'écosystème

Connaître vos prestataires et fournisseurs informatiques et vos interconnexions, et vous assurer par contrat qu'ils respectent vos obligations de sécurité et de signalement des incidents.

Mesures pour une EI4

Mesures pour une EE4

Directive NIS 2Art. 21.2.d, Art. 21.2.i

Pourquoi c'est important

Une grande partie des attaques passent par un prestataire ou une interconnexion. NIS 2 fait de la chaîne d'approvisionnement une obligation.

Ce que couvre la directive

Art. 21.2.d · Sécurité de la chaîne d'approvisionnement
Art. 21.2.i · Sécurité RH, contrôle d'accès et gestion des actifs

Les 4 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

Cartographie de l'écosystème

3.A.1-EI/EEAchatsPriorité élevée

Avez-vous une cartographie à jour de vos prestataires et fournisseurs informatiques (infogérance, cloud, maison mère…) et des interconnexions avec vos SI ?

Action si absent: Recenser prestataires informatiques et interconnexions dans une cartographie de l'écosystème.
Preuve attendue: Cartographie de l'écosystème

3.A.2-EI/EEAchatsPriorité moyenne

Avez-vous au moins un contact à jour pour chaque prestataire ou interconnexion ?

Action si absent: Ajouter un contact joignable pour chaque entrée.
Preuve attendue: Annuaire des contacts fournisseurs

Sécurité dans les contrats

3.B.1-EI/EEAchatsPriorité critique

Vos contrats avec les prestataires informatiques garantissent-ils qu'ils respectent vos obligations (gestion des risques, signalement des incidents importants) ?

Action si absent: Ajouter des clauses sécurité NIS 2 : plan d'assurance sécurité, notification d'incident, droit d'audit.
Preuve attendue: Clauses contractuelles, plans d'assurance sécurité

3.B.2-EI/EEAchatsPriorité élevée

Vérifiez-vous régulièrement que ces prestataires respectent bien ces engagements ?

Action si absent: Mettre en place une revue périodique des fournisseurs (questionnaire, indicateurs, audit).
Preuve attendue: Questionnaires fournisseurs, rapports d'audit