La plupart des entreprises concernées par NIS2 font déjà les choses. Les sauvegardes tournent. Le MFA est actif. Quelqu''un applique les correctifs. L''écart se situe rarement dans la mesure elle-même : il tient au fait que personne ne peut présenter à un régulateur une procédure écrite, datée et approuvée décrivant comment la mesure fonctionne et qui en répond.
L''article 21, paragraphe 2 de la directive énumère dix domaines, et la formulation compte : il réclame à plusieurs reprises des politiques et des procédures, pas des capacités. Traitement des incidents. Continuité d''activité. Sécurité de la chaîne d''approvisionnement. Contrôle d''accès et sécurité des ressources humaines. Des politiques et procédures pour évaluer l''efficacité des mesures. Un outil qui fait la chose n''équivaut pas à une procédure qui décrit la chose.
Voici un examen pratique du volet documentaire de NIS2, écrit pour les équipes ops et IT européennes. Transparence complète : nous développons Loopyback, un outil de documentation de processus hébergé dans l''UE. Nous ne sommes donc pas neutres. Nous ne sommes pas non plus une plateforme GRC, et les limites honnêtes de tout cela figurent plus bas.
Ce que demande la directive, traduit en documentation
L''article 21, paragraphe 1 donne le ton : les mesures doivent être appropriées et proportionnées à la taille, à l''exposition et au risque de l''entité. On n''attend pas d''un transporteur de soixante personnes ce qu''on attend d''une banque. Mais proportionné ne veut pas dire inexistant, et « on le fait, on ne l''a simplement jamais écrit » est la position la plus faible possible lors d''un contrôle.
L''article 20 relève l''enjeu. Les organes de direction doivent approuver les mesures de gestion des risques et superviser leur mise en œuvre, et leur responsabilité peut être engagée. Approuver suppose quelque chose à approuver. Ce quelque chose est un document portant une version, une date et un nom.
L''article 21, paragraphe 2, point g ajoute l''hygiène informatique de base et la formation à la cybersécurité. Une formation qui ne laisse aucune trace n''a pas eu lieu, du point de vue de la preuve.
Les quatre propriétés qui font d''un guide une preuve
Une procédure ne compte que si elle répond à quatre questions sur-le-champ.
| Page de wiki | Fichier Word sur un lecteur partagé | Guide pas à pas enregistré | |
|---|---|---|---|
| Qui l''a écrit, et quand | Généralement visible | Souvent perdu à la copie | Capturé à l''enregistrement |
| Quelle version a été approuvée | Rarement suivi | Au mieux dans le nom du fichier | Historique de versions par guide |
| Est-ce encore exact | Inconnu jusqu''à vérification | Inconnu | Les captures montrent l''interface réelle, l''écart se voit |
| Qui l''a lu | Non | Non | Dépend de l''outil, à demander |
La troisième ligne est sous-estimée. Une procédure écrite vieillit sans bruit : le texte se lit très bien deux ans après le changement de la console d''administration. Un guide fondé sur des captures échoue bruyamment, puisque l''écran du guide ne correspond plus à l''écran réel. Pour un dossier de preuve, l''échec bruyant est un avantage.
Quand la documentation devient elle-même un risque
Les procédures de sécurité comportent un piège spécifique. Le guide qui explique comment faire tourner une clé, réinitialiser un compte ou accéder à la production est, par construction, une cartographie de vos contrôles. Deux conséquences.
Il contient ce qui ne doit pas y figurer. Enregistrer une procédure de contrôle d''accès signifie des captures de listes d''utilisateurs, d''adresses e-mail, de rôles, parfois d''un jeton dans la barre d''adresse. Au regard du RGPD, c''est un traitement de données personnelles ; au regard de NIS2 (21.2.i), c''est aussi un artefact de contrôle d''accès. Un caviardage appliqué avant que la capture ne quitte le navigateur l''écarte entièrement du circuit. Un caviardage postérieur non, puisque l''original a déjà circulé.
Son hébergement est une question de chaîne d''approvisionnement. L''article 21.2.d vise la sécurité dans la relation avec vos fournisseurs directs. Votre éditeur de documentation est un fournisseur direct détenant une description de vos mesures de sécurité. Quatre questions deviennent donc légitimes, à nous poser aussi :
- Où le contenu est-il stocké, et où sont les sauvegardes ?
- Qui sont les sous-traitants ultérieurs, et la liste est-elle à jour ?
- Quel mécanisme de transfert s''applique si un traitement a lieu hors UE ?
- Comment le partage est-il encadré, et peut-on désactiver les liens publics au niveau de l''organisation ?
Notre comparatif des logiciels européens de SOP et documentation traite la question de l''hébergement outil par outil.
Erreurs fréquentes
Écrire des politiques au lieu de procédures. « Nous effectuons des sauvegardes régulières » est une politique. Une procédure dit qui exécute le test de restauration, sur quel système, à quelle fréquence, et à quoi ressemble un résultat conforme. L''article 21.2.f porte précisément sur l''évaluation de l''efficacité : ce test a donc besoin de sa propre procédure.
Ne documenter que le chemin nominal. La procédure d''incident qui compte est celle qu''on suit à 2 h du matin, sous tension. Si elle n''indique pas qui appeler et quoi faire quand le contact principal ne répond pas, elle ne survivra pas au premier incident réel.
Aucune trace d''approbation. Une procédure parfaite que personne dans l''organe de direction n''a validée ne satisfait pas l''article 20. Inscrivez la date d''approbation et le nom de l''approbateur dans le document lui-même, pas dans un fil d''e-mails.
Prendre l''outil de documentation pour le système de conformité. Il ne l''est pas. Une bibliothèque de guides contient des procédures, pas votre registre des risques, votre inventaire d''actifs ou votre journal d''incidents. Quiconque vous vend un logiciel de documentation comme de la conformité NIS2 exagère, nous compris. Ce qu''il supprime, c''est l''excuse la plus courante à l''absence de procédures : les écrire prend trop de temps.
Laisser la langue bloquer la compréhension. Si l''équipe qui applique la procédure ne lit pas l''anglais, une procédure en anglais n''est pas une mesure effective, quel que soit le contenu du fichier.
Ne jamais y revenir. Les procédures écrites pour l''audit puis oubliées dérivent en deux trimestres. Associez une date de revue à chacune et traitez une revue manquée comme un petit incident.
Questions fréquentes
Sommes-nous concernés par NIS2 ?
La directive vise en principe les entités moyennes et grandes des secteurs des annexes I et II, la transposition nationale précisant le reste. En France, elle passe par la loi de transposition et le cadre de l''ANSSI. Les seuils exacts se lisent dans le texte national, pas dans la seule directive.
Quelle quantité de documentation suffit ?
L''article 21.1 dit proportionnée. Un plancher praticable : une procédure écrite par domaine du paragraphe 2, chacune avec un responsable, une date de revue et une approbation. La profondeur découle de votre profil de risque, pas d''un modèle.
Peut-on réutiliser notre documentation ISO 27001 ?
En grande partie. Le recouvrement avec l''annexe A est important et les autorités le reconnaissent. NIS2 insiste davantage sur la responsabilité de la direction, la chaîne d''approvisionnement et les délais de notification : prévoyez d''étendre plutôt que de recommencer.
Les captures d''écran dans les procédures de sécurité posent-elles un problème RGPD ?
Elles le peuvent. Listes d''utilisateurs, boîtes mail et consoles d''administration contiennent des données personnelles, et une procédure conservée des années survit aux enregistrements qu''elle montre. Caviardez avant la capture quand l''outil le permet, et gardez un moyen de retrouver les captures en cas de demande d''effacement. Notre article sur créer des SOP sans y passer des heures traite le volet structure.
---
Loopyback enregistre une procédure une fois, caviarde les données personnelles avant qu''elles ne quittent le navigateur, conserve l''historique des versions et publie en plus de 10 langues depuis une infrastructure européenne en Belgique. Les tarifs démarrent à une formule gratuite, 16 € par mois en individuel et 24 € par utilisateur pour les équipes.
Fondateur de Loopyback
Suleyman est le fondateur de Loopyback, un outil belge qui transforme les workflows en guides étape par étape. Il écrit sur la documentation, les SOP et le partage du savoir.