NIS2 et REC : préparer la résilience physique et organisationnelle
La NIS2 sécurité physique concerne les locaux qui hébergent vos systèmes d’information : sans protection physique, la cybersécurité ne tient pas.
En outre, pour aller plus loin sur le sujet « NIS2 sécurité physique », consultez le site de l’ANSSI.
Deux directives européennes redessinent les obligations de résilience. D’une part, NIS2 (directive (UE) 2022/2555) élargit le champ des entités soumises à des exigences de cybersécurité. Enfin, REC (directive (UE) 2022/2557) impose aux entités critiques de renforcer leur résilience, y compris physique.
Là où la NIS2 sécurité physique entre en jeu
- Protection physique des locaux techniques, salles serveurs et locaux de supervision
- Contrôle d’accès aux zones sensibles et gestion des habilitations
- Protection des équipements réseau et des points de convergence (baies, rocades, arrivées opérateurs)
- Sûreté des sites dans les plans de continuité et de gestion d’incident
- Maîtrise des intervenants extérieurs et de la chaîne de sous-traitance sur site
Notre accompagnement NIS2 sécurité physique et résilience
- Qualification : votre organisation est-elle concernée, à quel titre et avec quelles échéances, sur la base des textes en vigueur et des publications officielles (ANSSI, Légifrance)
- État des lieux physique et organisationnel : écarts entre vos dispositifs actuels et les exigences identifiées
- Feuille de route : mesures priorisées et proportionnées, articulées avec le plan d’action cyber porté par votre RSSI
- Mise en œuvre : en pratique, renforcement des protections physiques, procédures, sensibilisation, en mobilisant nos piliers Technique et Organisationnel
Prudence utile : la transposition française de ces directives et ses textes d’application se déploient progressivement. Par conséquent, nous fondons chaque recommandation sur l’état du droit au moment de la mission. Nous le vérifions dans les sources officielles, et nous vous signalons ce qui reste incertain plutôt que de l’inventer.
Ce qui change selon le contexte
Selon le site, la NIS2 sécurité physique n’impose pas les mêmes mesures.
- Par exemple, un opérateur qui héberge ses propres salles techniques n’a pas les mêmes points de contrôle qu’un client qui loue ses baies dans un centre tiers.
- En outre, un sous-traitant d’un opérateur concerné subit des exigences par ricochet contractuel : la préparation porte alors sur les intervenants qu’il envoie sur site.
- Par exemple, un site isolé avec peu de personnel dépend davantage de la protection physique des équipements réseau que d’une surveillance humaine permanente.
- Enfin, une organisation déjà dotée d’un RSSI structuré doit surtout articuler son plan cyber avec la dimension physique, sans la recopier.
Questions fréquentes
NIS2, c’est l’affaire du RSSI. Pourquoi un bureau d’études sûreté ?
En effet, une partie des mesures attendues est physique et organisationnelle : accès aux locaux sensibles, protection des équipements, gestion des intervenants. En revanche, le RSSI pilote ; nous apportons la brique sûreté physique qui lui manque souvent.
Nous sommes sous-traitant d’un opérateur concerné. Sommes-nous impactés ?
Possiblement, par ricochet contractuel : les entités assujetties répercutent des exigences sur leur chaîne d’approvisionnement. Ainsi, anticiper ces demandes est souvent un avantage commercial autant qu’une obligation.
Que risque-t-on à ne rien faire ?
En revanche, les régimes de contrôle et de sanction se mettent en place au rythme de la transposition. En outre, au-delà des sanctions, le risque le plus immédiat est opérationnel et commercial : perte de confiance de clients et donneurs d’ordre qui, eux, s’organisent déjà.
Voir aussi : le secteur Data centers, la sous-page Vigipirate, PPMS, DLS, POMSE et le schéma directeur de sûreté, qui intègre ces exigences dans la durée.
Êtes-vous concernés, et par quoi exactement ?
Qualifier votre exposition est la première étape d’une démarche NIS2 sécurité physique.
Un échange de qualification suffit souvent à y voir clair. Sans dramatisation, sans minimisation.