NIS2 et exercices de reprise : comment vérifier que votre organisation peut réellement redémarrer

Qu’est-ce qu’un exercice de reprise ?

Un exercice de reprise (« recovery drill ») est un test planifié qui simule l’indisponibilité ou la compromission d’une ou de plusieurs applications importantes, puis vérifie leur remise en service à partir de points de sauvegarde.

Selon le périmètre retenu, il peut comprendre :

• Un scénario de départ : par exemple, une attaque par rançongiciel, une corruption logique d’une base de données ou l’indisponibilité d’un site informatique.
• Un parcours de reprise : depuis les données, le stockage et les sauvegardes jusqu’aux bases de données, aux applications, aux droits d’accès et aux interfaces nécessaires.
• Une validation fonctionnelle : des critères vérifiables pour déterminer si l’application est de nouveau utilisable, par exemple des tests définis avec les équipes métier.
• Des mesures adaptées aux objectifs : notamment le RTO (délai de remise en service) et le RPO (perte de données maximale visée). Selon le contexte, le débit de restauration peut aussi être utile pour repérer les goulets d’étranglement ; ce n’est pas une mesure universelle imposée par NIS2.

L’objectif n’est pas seulement de constater qu’une restauration technique a abouti : il s’agit de vérifier, autant que possible, le redémarrage du service ou du processus concerné.

Pourquoi les exercices de reprise sont-ils importants dans le contexte de NIS2 ?

La directive européenne NIS2 définit un cadre de gestion des risques de cybersécurité et de résilience. En France, sa transposition nationale est toujours en cours : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité n’est pas une loi en vigueur. L’ANSSI indique que les futures entités concernées sont invitées à se préparer dès à présent ; les ressources de préparation publiées par l’Agence, dont le ReCyF, ne doivent pas être confondues avec des obligations françaises déjà applicables au titre de NIS2.

Pour les organisations, cette distinction n’empêche pas de renforcer dès maintenant leur capacité de reprise. Les exercices aident à vérifier si les sauvegardes et les procédures fonctionnent dans des conditions réalistes, à clarifier les rôles et à faire apparaître les dépendances techniques. Les organisations restent par ailleurs soumises aux règles qui leur sont déjà applicables, le cas échéant, au titre de la réglementation sectorielle, des contrats ou d’autres textes.

La directive et le projet français ne justifient pas d’affirmer qu’une fréquence fixe d’exercice, un format de preuve déterminé ou une mesure technique particulière s’impose universellement à toutes les organisations. La démarche pertinente dépend du périmètre, des risques et des règles applicables à chaque entité.

À quelles conditions un exercice de reprise est-il réussi ?

Une restauration qui se termine sans erreur ne suffit pas, à elle seule, à démontrer qu’un service est prêt à redémarrer. Les critères suivants peuvent aider à évaluer un exercice ; ils sont à adapter aux objectifs et au contexte de l’organisation.

1. Les objectifs de reprise sont vérifiés
   • L’exercice permet de comparer les résultats aux objectifs RTO et RPO définis pour le service concerné.
   • Les écarts, y compris les objectifs non atteints, sont consignés et donnent lieu à des actions de suivi.
2. Le service est de nouveau utilisable
   • L’application est accessible dans l’environnement prévu.
   • Les responsables métier vérifient les fonctions essentielles à l’aide de scénarios de test adaptés.
   • Les dépendances nécessaires au processus — par exemple les interfaces ou les droits d’accès — sont également prises en compte.
3. La reprise est contrôlée
   • L’équipe vérifie que le point de restauration choisi est approprié et que les contrôles de sécurité prévus ont été réalisés.
   • Elle recherche les signes d’une compromission persistante avant de remettre le service à disposition.
   • Des mécanismes de protection contre la modification ou la suppression des sauvegardes peuvent faire partie de la stratégie de défense, selon l’analyse de risques et l’architecture retenue. Ils ne constituent pas, à eux seuls, une exigence universelle de NIS2.
4. Les résultats sont mesurés de façon utile
   • Le temps nécessaire entre le lancement de la reprise et la validation fonctionnelle peut être comparé à l’objectif RTO.
   • Le point de données restauré peut être comparé à l’objectif RPO.
   • Lorsque cela aide à comprendre les performances ou les limites de l’architecture, l’équipe peut aussi relever le volume restauré, le débit observé ou les étapes qui ont ralenti l’opération. Aucun seuil universel de débit n’est prescrit ici.
5. L’exercice débouche sur des améliorations
   • Les difficultés rencontrées — procédures manquantes, capacité réseau insuffisante ou responsabilités mal définies, par exemple — sont recensées.
   • Des actions concrètes sont attribuées à des responsables et suivies dans le temps.

Qui associer à l’exercice ?

Un exercice de reprise gagne à réunir les équipes qui conçoivent, exploitent et utilisent les services concernés. L’implication des responsables de l’organisation aide à clarifier les priorités, à arbitrer les moyens et à intégrer les enseignements dans la gouvernance. Cela ne signifie pas qu’une responsabilité personnelle ou une sanction s’applique automatiquement du seul fait de NIS2 en France, où la transposition reste en cours.

• Responsable sécurité ou RSSI : contribue à relier l’exercice à la gestion des risques, au choix des scénarios et aux critères d’acceptation ; partage les résultats avec les instances concernées.
• Direction informatique et responsables infrastructure/stockage : définissent l’architecture et le parcours de reprise, ainsi que les dépendances liées au stockage, au réseau et aux ressources de calcul.
• Responsables continuité d’activité et reprise après sinistre : coordonnent le périmètre, le calendrier, les interfaces avec la gestion de crise et la mise à jour des procédures.
• Responsables applicatifs et bases de données : préparent les tests fonctionnels et vérifient que les services restaurés répondent aux besoins opérationnels.
• Équipes de supervision et de sécurité opérationnelle : surveillent l’environnement pendant l’exercice et, si cela est prévu, examinent les événements liés aux sauvegardes et au stockage.

Que documenter ?

Il n’existe pas ici de format de compte rendu universellement imposé au titre de NIS2. Pour faciliter l’analyse interne, la répétition de l’exercice et les échanges avec les parties prenantes concernées, l’organisation peut conserver des informations telles que :

1. Le cadrage de l’exercice : date, durée, systèmes et applications concernés, périmètre et objectif.
2. Le scénario et les hypothèses : nature de l’incident simulé et ressources considérées comme disponibles, comme les équipes, la connectivité ou les copies de sauvegarde.
3. Le déroulement technique : points de restauration utilisés et principales étapes, de la restauration des données jusqu’au démarrage et à la validation de l’application.
4. Les résultats : objectifs RTO/RPO, résultats observés et, si cela est utile, volumes, délais ou performances mesurés.
5. L’analyse et le plan d’action : réussites, difficultés, mesures correctives, responsables et échéances.

La plateforme de stockage est l’un des éléments de cette chaîne : elle héberge ou met à disposition les données à partir desquelles la reprise s’effectue. Les résultats de l’exercice dépendent toutefois aussi des bases de données, des applications, du réseau, des procédures et des équipes. La contribution de chaque composant doit être évaluée dans l’environnement réel de l’organisation.

À quelle fréquence s’exercer ?

La fréquence doit être déterminée en fonction des risques, des priorités métier, des évolutions de l’environnement et des règles applicables à l’organisation. Cet article ne présente pas de fréquence fixe comme une exigence universelle de NIS2.

Une organisation peut envisager un exercice plus complet pour les services prioritaires, puis des tests ciblés après une évolution importante de l’architecture, l’ajout d’une application essentielle ou un incident pertinent. Le périmètre et le rythme sont à adapter aux objectifs de reprise et aux capacités disponibles.

L’essentiel est de tirer des enseignements des tests et de vérifier que les améliorations décidées ont bien été prises en compte.

Conclusion

Pour les équipes de sécurité, la direction informatique et les responsables métier, les exercices de reprise sont un moyen concret de confronter les plans à la réalité opérationnelle. Ils permettent de vérifier que les sauvegardes, les procédures, les responsabilités et les dépendances techniques s’articulent comme prévu — et de repérer ce qui doit être amélioré.

Dans le contexte français, cette démarche est une préparation pragmatique à l’évolution du cadre NIS2, dont la transposition reste en cours ; elle ne doit pas être présentée comme la preuve d’une conformité à une loi française NIS2 déjà entrée en vigueur.

Le stockage est une composante importante de la capacité de reprise, mais il ne garantit pas, à lui seul, le redémarrage d’un service. Everpure peut contribuer à la réflexion sur l’infrastructure de données et sa place dans l’architecture de résilience ; les résultats dépendent de la configuration mise en œuvre et de l’ensemble du parcours de reprise.