Objectif 1 · Pilier Gouvernance · EI et EE

Recensement des systèmes d'information

Tenir à jour la liste de toutes vos activités et services, et des systèmes d'information qui les font fonctionner. Tous ces SI sont soumis aux objectifs, sauf exclusion justifiée par une analyse de risques.

Mesures pour une EI3

Mesures pour une EE3

Directive NIS 2Art. 21.2.i

Pourquoi c'est important

On ne protège pas ce qu'on ne connaît pas : sans cette liste, le périmètre de conformité est flou et contestable lors d'un contrôle.

Ce que couvre la directive

Art. 21.2.i · Sécurité RH, contrôle d'accès et gestion des actifs

Les 3 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

1.1-EI/EEDirectionPriorité élevée

Avez-vous la liste de toutes vos activités et services (y compris hors périmètre NIS 2), avec pour chacun un responsable et les systèmes d'information qui les supportent ?

Action si absent: Dresser la liste des activités et services, nommer un responsable par entrée et rattacher les SI.
Preuve attendue: Registre des activités et des SI

1.2-EI/EERSSIPriorité moyenne

Avez-vous indiqué dans cette liste les SI que vous excluez du périmètre, avec une justification écrite fondée sur une analyse de risques ?

Action si absent: Justifier par écrit chaque SI exclu (aucun risque d'interruption, de fuite ou d'altération).
Preuve attendue: Colonne « exclusion et justification » du registre

1.3-EI/EEDirectionPriorité moyenne

Cette liste est-elle validée et revue au moins une fois par an, et à chaque nouveau SI ou nouvelle activité ?

Action si absent: Planifier une revue annuelle de la liste, validée par la direction.
Preuve attendue: Compte rendu de revue daté