NIS2 : faire de la capacité de reprise une priorité de direction

En bref

Disposer de sauvegardes et d’un plan de reprise est un point de départ. La question essentielle est de savoir si les services les plus critiques peuvent être remis en fonctionnement après un incident, dans des délais compatibles avec les besoins de l’organisation, et si cette capacité a été vérifiée.

La directive européenne NIS2 met l’accent sur la gestion des risques, la continuité des activités et l’implication des organes de direction. En France, sa transposition nationale est en cours : le projet de loi ne doit pas être présenté comme une loi déjà entrée en vigueur. Dans l’attente, l’ANSSI invite les futures entités concernées à renforcer leur niveau de sécurité.

Des sauvegardes à une capacité de reprise démontrable

Un plan de reprise décrit une intention ; un exercice permet d’en vérifier les étapes et les dépendances. Pour les équipes de sécurité et de direction, une question concrète peut guider la démarche :

Sommes-nous en mesure de restaurer nos services les plus critiques à partir de sauvegardes protégées, dans des délais acceptables pour l’activité, et de rendre compte des résultats obtenus ?

Dans la préparation à NIS2, il est utile de considérer ensemble :

• la disponibilité et l’intégrité des services essentiels à l’activité ;
• la capacité à rétablir ces services après un incident majeur ;
• la documentation des mesures de sécurité et des exercices réalisés ;
• le rôle de la direction dans la validation et le suivi des mesures de cybersécurité.

La directive fixe un cadre européen, mais les obligations applicables en France dépendront de sa transposition nationale et des textes correspondants. Les pratiques décrites ici sont des pistes de préparation, et non une liste universelle d’exigences techniques imposées dès à présent par le droit français.

Trois chantiers à examiner

1. Périmètre et gouvernance

• Votre organisation pourrait-elle relever du périmètre NIS2 ? Les catégories d’entités et les critères applicables doivent être vérifiés au regard du cadre européen et de la transposition française lorsqu’elle sera finalisée.
• Qui coordonne, en interne, les travaux de préparation concernant les sauvegardes et la reprise : RSSI, DSI, direction des opérations ou plusieurs de ces fonctions ?
• Existe-t-il un cadre de pilotage où les risques, les actions engagées et les enseignements des exercices peuvent être examinés et suivis ?

Une gouvernance claire facilite la coordination entre sécurité, informatique, continuité d’activité et responsables métier. Elle évite aussi que la préparation se réduise à une série d’actions techniques sans lien avec les priorités de l’organisation.

2. Fondations techniques : protection des sauvegardes et objectifs de reprise

• Les sauvegardes des systèmes prioritaires sont-elles protégées contre les modifications ou les suppressions non autorisées ? Les mécanismes adaptés dépendent de l’architecture et des risques propres à l’organisation.
• Les changements sensibles — par exemple une modification des règles de conservation ou la désactivation d’une protection — font-ils l’objet de contrôles et d’une traçabilité adaptés ?
• Les objectifs de temps de reprise (RTO) et de perte de données admissible (RPO) sont-ils définis pour les services prioritaires ? Des tests ou exercices permettent-ils d’évaluer leur réalisme ?

La directive NIS2 ne rend pas une technologie particulière, telle qu’une sauvegarde immuable, universellement obligatoire pour toutes les organisations. Le choix des protections doit s’inscrire dans une analyse des risques et tenir compte des dispositions nationales applicables.

3. Surveillance et éléments de preuve

• Les événements importants liés aux systèmes de stockage et de sauvegarde — comme des suppressions ou des changements de règles de conservation — sont-ils visibles par les équipes de sécurité ?
• Des alertes ou procédures de réponse existent-elles pour les événements qui pourraient compromettre la capacité de reprise ?
• Les politiques, comptes rendus d’exercice et informations de supervision sont-ils accessibles aux personnes qui en ont besoin ?

Des éléments utiles peuvent être conservés dans plusieurs outils et espaces de travail. Les organiser de manière cohérente peut faciliter le suivi interne et aider à comprendre ce qui a été testé, les résultats obtenus et les éventuelles actions correctives. Il n’existe pas ici de format de preuve unique à présenter comme une exigence générale de NIS2.

La contribution d’Everpure — et ses limites

Everpure n’est ni un cabinet juridique ni un organisme d’audit. Nous n’interprétons pas les textes, ne fournissons pas d’avis juridique et ne prenons pas en charge un programme global de conformité NIS2.

En complément des outils de sauvegarde et de sécurité déjà en place, l’infrastructure de stockage peut contribuer à une démarche de résilience. Selon l’architecture retenue, elle peut notamment soutenir :

• la protection des points de sauvegarde au niveau du stockage ;
• la restauration de données et l’évaluation des performances de reprise ;
• le chiffrement, la journalisation et la remontée d’événements vers des outils de supervision de sécurité ;
• la préparation d’exercices permettant de mesurer les délais et les volumes restaurés, puis d’en consigner les résultats.

La définition du programme NIS2 et de sa gouvernance, l’interprétation juridique, les échanges avec les autorités ainsi que la conception des processus de contrôle et de gestion des risques relèvent d’autres responsabilités et expertises.

Pourquoi Everpure prend part à cette discussion

La reprise après incident dépend de plusieurs composantes : les sauvegardes, le stockage, les applications, les équipes et les procédures. La capacité à restaurer les données constitue donc un sujet à traiter conjointement par les équipes informatiques, de sécurité et de continuité d’activité.

Everpure intervient comme fournisseur d’infrastructure, et non comme conseiller en conformité. Notre contribution porte sur une partie délimitée de la résilience : une base de stockage et de sauvegarde conçue pour soutenir la protection des données, leur restauration et la collecte d’informations utiles au suivi opérationnel.