Objectif 4 · Pilier Gouvernance · EI et EE

Intégration de la sécurité numérique dans la gestion des ressources humaines

Sensibiliser tous les utilisateurs, en particulier les dirigeants, former les fonctions à responsabilité numérique et intégrer la sécurité de l'arrivée au départ de chaque personne.

Mesures pour une EI4

Mesures pour une EE5

Directive NIS 2Art. 21.2.g

Pourquoi c'est important

L'hameçonnage et les accès oubliés d'anciens salariés restent des portes d'entrée majeures.

Ce que couvre la directive

Art. 21.2.g · Cyberhygiène et formation

Les 5 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

4.1-EI/EERHPriorité élevée

Avez-vous une charte informatique opposable à tous les utilisateurs (signée ou annexée au règlement intérieur) ?

Action si absent: Rédiger la charte d'usage des SI et la rendre opposable.
Preuve attendue: Charte signée ou annexée au règlement intérieur

4.2-EI/EERHPriorité élevée

Avez-vous un programme de sensibilisation à la cybersécurité pour tous, tout au long de leur présence ?

Action si absent: Lancer un programme de sensibilisation continu (modules, faux hameçonnage, rappels).
Preuve attendue: Plan de sensibilisation, taux de participation

4.3-EERHPriorité moyenneEE uniquement

Vos contrats de travail contiennent-ils des clauses de sécurité (confidentialité pendant et après le contrat) ?

Action si absent: Ajouter une clause de confidentialité aux contrats de travail.
Preuve attendue: Modèle de contrat avec clause

4.4-EI/EERHPriorité critique

Avez-vous un processus arrivée, départ et changement de poste : règles lues à l'arrivée, accès adaptés, accès retirés et matériel rendu au départ ?

Action si absent: Formaliser le processus arrivées-départs avec une liste de contrôle RH et informatique.
Preuve attendue: Procédure et listes de contrôle signées

4.5-EI/EERHPriorité moyenne

Les personnes ayant des responsabilités dans le numérique suivent-elles des formations sécurité adaptées à leur poste ?

Action si absent: Définir un plan de formation sécurité pour les fonctions informatiques et dirigeantes.
Preuve attendue: Plan de formation, attestations