NIS2 et REC : préparer la résilience physique et organisationnelle
Deux directives européennes redessinent les obligations de résilience : NIS2 (directive (UE) 2022/2555) élargit considérablement le champ des entités soumises à des exigences de cybersécurité, et REC (directive (UE) 2022/2557) impose aux entités critiques de renforcer leur résilience, y compris physique. Or on l’oublie souvent : la sécurité des systèmes d’information commence par la sécurité physique des locaux qui les hébergent.
Là où la sûreté physique entre en jeu
- Protection physique des locaux techniques, salles serveurs et locaux de supervision
- Contrôle d’accès aux zones sensibles et gestion des habilitations
- Protection des équipements réseau et des points de convergence (baies, rocades, arrivées opérateurs)
- Sûreté des sites dans les plans de continuité et de gestion d’incident
- Maîtrise des intervenants extérieurs et de la chaîne de sous-traitance sur site
Notre accompagnement
- Qualification : votre organisation est-elle concernée, à quel titre et avec quelles échéances, sur la base des textes en vigueur et des publications officielles (ANSSI, Légifrance)
- État des lieux physique et organisationnel : écarts entre vos dispositifs actuels et les exigences identifiées
- Feuille de route : mesures priorisées et proportionnées, articulées avec le plan d’action cyber porté par votre RSSI
- Mise en œuvre : renforcement des protections physiques, procédures, sensibilisation, en mobilisant nos piliers Technique et Organisationnel
Prudence utile : la transposition française de ces directives et ses textes d’application se déploient progressivement. Nous fondons chaque recommandation sur l’état du droit au moment de la mission, en le vérifiant dans les sources officielles, et nous vous signalons ce qui reste incertain plutôt que de l’inventer.
Questions fréquentes
NIS2, c’est l’affaire du RSSI. Pourquoi un bureau d’études sûreté ?
Parce qu’une partie des mesures attendues est physique et organisationnelle : accès aux locaux sensibles, protection des équipements, gestion des intervenants. Le RSSI pilote ; nous apportons la brique sûreté physique qui lui manque souvent.
Nous sommes sous-traitant d’un opérateur concerné. Sommes-nous impactés ?
Possiblement, par ricochet contractuel : les entités assujetties répercutent des exigences sur leur chaîne d’approvisionnement. Anticiper ces demandes est souvent un avantage commercial autant qu’une obligation.
Que risque-t-on à ne rien faire ?
Les régimes de contrôle et de sanction se mettent en place au rythme de la transposition. Au-delà des sanctions, le risque le plus immédiat est opérationnel et commercial : perte de confiance de clients et donneurs d’ordre qui, eux, s’organisent déjà.
Voir aussi : le secteur Data centers, la sous-page Vigipirate, PPMS, DLS, POMSE et le schéma directeur de sûreté qui intègre ces exigences dans la durée.
Êtes-vous concernés, et par quoi exactement ?
Un échange de qualification suffit souvent à y voir clair. Sans dramatisation, sans minimisation.