Aligner votre dispositif de crise sur NIS 2
La plupart des organisations disposent déjà d'un plan de crise. Peu l'ont confronté à ce que la directive NIS 2 exigera d'elles. Nous reprenons votre dispositif existant et l'alignons sur ces exigences, sans repartir de zéro.
Une exigence, pas une bonne pratique
L'article 21 de la directive énumère dix catégories de mesures minimales. La troisième couvre la continuité des activités, la gestion des sauvegardes, la reprise après sinistre et la gestion de crise. L'ANSSI la restitue dans les mêmes termes. Ce n'est donc pas une recommandation de bonne pratique, c'est une obligation au même titre que le chiffrement ou l'authentification multifacteur.
Le dispositif que vous avez construit pour un incendie, un rappel de produit ou un conflit social ne répond pas mécaniquement à ces exigences. NIS 2 introduit une horloge réglementaire, un destinataire imposé, une implication formelle de la direction et une exigence de preuve. Ce sont les quatre points sur lesquels nous constatons le plus d'écarts.
Le Référentiel Cyber France publié par l'ANSSI, le ReCyF, le confirme sans ambiguïté. Sur ses vingt objectifs de sécurité, quatre portent directement sur ce sujet : l'identification et la réaction aux incidents de sécurité, la continuité et la reprise d'activité, la réaction aux crises d'origine cyber, et les exercices, tests et entraînements. Ce dernier objectif attend au minimum un exercice sur table à une fréquence définie par l'entité, et un programme triennal d'entraînement et d'exercice pour les entités essentielles. La version 2.5 du référentiel, datée du 17 mars 2026, demeure un document de travail.
Les écarts les plus fréquents
- Le déclenchementLe plan démarre sur une alerte humaine et non sur la détection d'un incident par la chaîne de sécurité des systèmes d'information.
- Les délaisPersonne n'est nommément chargé de produire l'alerte des 24 heures ni la notification des 72 heures, et rien ne le rappelle pendant la crise.
- L'autoritéL'annuaire de crise recense les clients, les médias et les assureurs, rarement l'autorité nationale compétente.
- La directionLes dirigeants sont informés mais ne sont pas engagés dans une décision tracée, alors que l'article 20 les rend responsables.
- Les fournisseursLe scénario d'une défaillance chez un prestataire numérique n'est pas joué, alors que c'est l'un des vecteurs les plus fréquents.
- La preuveRien n'est conservé qui permette de démontrer, après coup, que le dispositif a fonctionné.
Ce que NIS 2 change pour votre cellule de crise
Les six points qui distinguent une cellule de crise conforme d'une cellule de crise seulement expérimentée.
Une horloge réglementaire
24 heures pour l'alerte précoce, 72 heures pour la notification circonstanciée, un mois pour le rapport final. Ces délais courent pendant la crise, pas après.
Un destinataire imposé
La notification se fait auprès de l'autorité nationale compétente, selon un canal et un format définis. Ce n'est pas de la communication de crise, c'est une obligation déclarative.
La direction dans la boucle
L'organe de direction approuve les mesures et en supervise la mise en oeuvre. En crise, cela suppose des décisions prises à ce niveau et consignées.
La qualification de l'incident
Encore faut-il savoir ce qui constitue un incident important au sens de la directive. Cette décision se prend en quelques heures, sous incertitude, avec des informations partielles.
La chaîne de sous-traitance
Une crise déclenchée chez un fournisseur vous concerne. Votre dispositif doit prévoir la remontée d'information et la coordination avec lui.
L'exigence de preuve
Journaux, décisions, chronologie. Ce qui n'est pas tracé pendant la crise ne pourra pas être démontré ensuite.
Notre démarche
Nous partons de votre dispositif existant et le mettons à l'épreuve, plutôt que d'en écrire un nouveau.
Revue du dispositif existant
Plans, procédures, annuaires, kit de crise, comptes rendus d'exercices et de crises passées. Nous partons de ce qui existe et de ce qui a déjà servi.
Croisement avec les exigences
Chaque exigence de la directive touchant la continuité et la crise est confrontée à votre dispositif. Nous produisons la liste des écarts, pas un plan neuf.
Reconstruction ciblée
Procédures de qualification et de notification, fiches réflexes, annuaire, main courante, articulation avec la chaîne de sécurité des systèmes d'information.
Exercice de mise à l'épreuve
Un exercice sur scénario cyber, joué en conditions réalistes, avec l'horloge réglementaire comme contrainte du jeu.
Formation des dirigeants et maintien
Formation des membres de la direction, telle que l'article 20 la prévoit, puis maintien en conditions par un rythme d'exercices et de mises à jour.
Ce que nous apportons
Nous partons de l'existant
Remplacer un dispositif éprouvé par un dispositif conforme mais inconnu des équipes est le meilleur moyen de le voir échouer le jour venu.
L'exercice comme vérification
Un plan de crise ne vaut que par ce qu'il produit sous contrainte. L'exercice n'est pas une option de fin de mission, c'est la preuve que l'alignement tient.
Une astreinte réelle
Le cabinet assure une assistance opérationnelle 24h/24. Nous écrivons des dispositifs que nous serions capables d'armer nous-mêmes.
Le cadre de référence
Confronter votre dispositif de crise à NIS 2
Décrivez votre dispositif actuel et votre secteur. Un consultant vous rappelle pour cadrer l'alignement.
assistance opérationnelle 24h/24 · +33 (0)1 47 33 03 12