Objectif 14 · Pilier Résilience · EI et EE

Réaction aux crises d'origine cyber

Se préparer et réagir aux crises cyber avec une organisation, des processus et des outils, et tenir à disposition de l'ANSSI les contacts externes utiles. Les EE font des retours d'expérience.

Mesures pour une EI5

Mesures pour une EE10

Directive NIS 2Art. 21.2.c, Art. 21.2.j

Pourquoi c'est important

Une crise cyber se joue dans les premières heures : sans annuaire papier ni procédure, la réaction est improvisée.

Ce que couvre la directive

Art. 21.2.c · Continuité des activités, sauvegardes et gestion de crise
Art. 21.2.j · Authentification multifacteur et communications sécurisées

Raccourci reconnu par l'ANSSI : Le recours à une PACS qualifiée par l'ANSSI pour préparer le dispositif de crise, suivie d'un plan d'action, peut être présenté pour démontrer cet objectif.

Les 10 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

14.1-EI/EEDirectionPriorité critique

Avez-vous une procédure de gestion de crise cyber (passage en mode crise, par exemple pour un incident important) ?

Action si absent: Rédiger la procédure de crise cyber en suivant le guide de l'ANSSI.
Preuve attendue: Procédure de crise

14.2-EI/EEDirectionPriorité élevée

Avez-vous une liste imprimée et à jour des personnes à mobiliser en crise, avec leurs coordonnées ?

Action si absent: Imprimer et tenir à jour l'annuaire de crise.
Preuve attendue: Annuaire de crise papier

14.3-EI/EEDirectionPriorité moyenne

Cette liste est-elle accessible sur papier si le SI tombe, et en numérique si le papier n'est pas accessible ?

Action si absent: Conserver l'annuaire de crise en double format.
Preuve attendue: Emplacements de l'annuaire

14.4-EI/EEDirectionPriorité élevée

Avez-vous un annuaire des parties prenantes externes utiles en crise (ANSSI, assureur, prestataires, autorités) ?

Action si absent: Créer l'annuaire des contacts externes de crise.
Preuve attendue: Annuaire externe de crise

14.5-EI/EEDirectionPriorité moyenne

Faites-vous un retour d'expérience (RETEX) après chaque exercice ou crise réelle ?

Action si absent: Organiser un RETEX systématique avec un plan d'amélioration.
Preuve attendue: Comptes rendus de RETEX

14.6-EEDirectionPriorité moyenneEE uniquement

Avez-vous des critères écrits pour activer et désactiver la cellule de crise ?

Action si absent: Définir les critères d'activation de la cellule de crise.
Preuve attendue: Critères d'activation

14.7-EEDirectionPriorité moyenneEE uniquement

Vos procédures de crise suivent-elles les recommandations de l'ANSSI sur les crises cyber ?

Action si absent: Aligner le dispositif de crise sur les guides de l'ANSSI.
Preuve attendue: Dispositif de crise documenté

14.8-EEDSIPriorité élevéeEE uniquement

Avez-vous prévu comment isoler, protéger et reconstruire vos SI (y compris externalisés) en cas d'incident ?

Action si absent: Préparer un plan d'isolement et de reconstruction.
Preuve attendue: Plan de reconstruction

14.9-EEDirectionPriorité moyenneEE uniquement

Avez-vous une stratégie de communication de crise cyber (scénarios, organisation, éléments de langage) ?

Action si absent: Préparer la communication de crise et des messages types.
Preuve attendue: Kit de communication de crise

14.10-EEDirectionPriorité moyenneEE uniquement

Avez-vous des moyens de communication de secours si la messagerie et la téléphonie habituelles ne fonctionnent plus ?

Action si absent: Prévoir et tester des moyens de communication de secours.
Preuve attendue: Moyens de secours testés