{"id":12473,"date":"2024-04-29T14:05:49","date_gmt":"2024-04-29T12:05:49","guid":{"rendered":"https:\/\/citalid.com\/?p=12473"},"modified":"2026-10-01T19:13:22","modified_gmt":"2026-10-01T17:13:22","slug":"nis-2-quantification-conformite-crq","status":"publish","type":"post","link":"https:\/\/citalid.com\/fr\/resources\/nis-2-quantification-conformite-crq\/","title":{"rendered":"NIS 2: D\u00e9velopper sa maturit\u00e9 cyber et sa conformit\u00e9 gr\u00e2ce \u00e0 la CRQ"},"content":{"rendered":"Le 18 octobre 2024, la directive europ\u00e9enne <strong><a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/FR\/TXT\/PDF\/?uri=CELEX:32022L2555\" target=\"_blank\" rel=\"nofollow noopener\">NIS 2<\/a> (Network and Information Security)<\/strong> devra \u00eatre transpos\u00e9e en droit national, affectant de nombreux secteurs de l&rsquo;\u00e9conomie europ\u00e9enne. Elle renforce la directive <a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/FR\/TXT\/PDF\/?uri=CELEX:32016L1148\" target=\"_blank\" rel=\"nofollow noopener\">NIS 1<\/a>, adopt\u00e9e en 2016, qui a mis en place une approche institutionnelle et r\u00e9glementaire de la cybers\u00e9curit\u00e9 dans l&rsquo;Union europ\u00e9enne. L&rsquo;objectif de la nouvelle directive est d&rsquo;amener les 27 \u00c9tats membres au <strong>m\u00eame niveau de maturit\u00e9<\/strong> en mati\u00e8re de cybers\u00e9curit\u00e9. La NIS 1 avait permis \u00e0 de nombreuses entreprises europ\u00e9ennes de mieux se prot\u00e9ger contre les cyberattaques, et l&rsquo;impact global de cette directive avait \u00e9t\u00e9 concluant. L&rsquo;harmonisation pr\u00e9vue dans la NIS 2 vise \u00e0 \u00e9tendre le champ d&rsquo;application des r\u00e9glementations en mati\u00e8re de cybers\u00e9curit\u00e9 afin de<strong> prot\u00e9ger pleinement les services et les secteurs d&rsquo;importance strat\u00e9gique, tout en introduisant un principe de proportionnalit\u00e9<\/strong>.\r\n\r\nPar cons\u00e9quent, de nombreuses entreprises non couvertes par la NIS 1 devront s&rsquo;y conformer d&rsquo;ici \u00e0 la fin de 2024. Tout comme la loi sur la r\u00e9silience op\u00e9rationnelle num\u00e9rique (DORA), la quantification du risque cyber (CRQ) permettra aux entreprises d&rsquo;adopter une <strong>approche strat\u00e9gique, quantifi\u00e9e et structur\u00e9e<\/strong> de la gestion de ce risque.\r\n\r\n&nbsp;\r\n<h2>NIS 2 : Qui doit appliquer cette directive ?<\/h2>\r\nLa <a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/EN\/TXT\/PDF\/?uri=CELEX:32022L2555\" target=\"_blank\" rel=\"nofollow noopener\">directive NIS 2<\/a> \u00e9tend le champ d&rsquo;application de la directive NIS 1 et s&rsquo;applique d\u00e9sormais \u00e0 de nouveaux secteurs qui n&rsquo;\u00e9taient pas couverts par la l\u00e9gislation sur la cybers\u00e9curit\u00e9. Ces secteurs ne sont pas tous soumis aux m\u00eames restrictions, selon qu&rsquo;ils figurent \u00e0 l&rsquo;<strong>annexe 1<\/strong> ou \u00e0 l&rsquo;<strong>annexe 2<\/strong> de la directive.\r\n\r\n<img decoding=\"async\" class=\"wp-image-12492 aligncenter\" src=\"https:\/\/citalid.com\/wp-content\/uploads\/2024\/04\/NIS2-correcte_page-0002-533x300.jpg\" alt=\"NIS 2 : Quels secteurs concern\u00e9s ?\" width=\"1123\" height=\"632\" title=\"\" srcset=\"https:\/\/citalid.com\/wp-content\/uploads\/2024\/04\/NIS2-correcte_page-0002-533x300.jpg 533w, https:\/\/citalid.com\/wp-content\/uploads\/2024\/04\/NIS2-correcte_page-0002-1110x624.jpg 1110w, https:\/\/citalid.com\/wp-content\/uploads\/2024\/04\/NIS2-correcte_page-0002-768x432.jpg 768w, https:\/\/citalid.com\/wp-content\/uploads\/2024\/04\/NIS2-correcte_page-0002-1536x864.jpg 1536w, https:\/\/citalid.com\/wp-content\/uploads\/2024\/04\/NIS2-correcte_page-0002-2048x1152.jpg 2048w\" sizes=\"(max-width: 1123px) 100vw, 1123px\" \/>\r\n\r\nLa nouvelle directive distingue deux types d&rsquo;entit\u00e9s : les <strong>entit\u00e9s essentielles<\/strong> et les <strong>entit\u00e9s importantes<\/strong>. Une organisation est une \u00ab\u00a0entit\u00e9 essentielle\u00a0\u00bb si elle est grande ou moyenne, si elle emploie 50 personnes ou plus, si son chiffre d&rsquo;affaires est sup\u00e9rieur ou \u00e9gal \u00e0 20 millions d&rsquo;euros et si son secteur d&rsquo;activit\u00e9 est \u00e9num\u00e9r\u00e9 \u00e0 l&rsquo;annexe 1. Les \u00ab\u00a0entit\u00e9s importantes\u00a0\u00bb sont :\r\n<ul>\r\n \t<li>les entit\u00e9s de taille moyenne exer\u00e7ant des activit\u00e9s correspondant aux types d&rsquo;identit\u00e9 de l&rsquo;annexe 1<\/li>\r\n \t<li>Les entit\u00e9s moyennes et sup\u00e9rieures exer\u00e7ant des activit\u00e9s correspondant \u00e0 l&rsquo;annexe 2.<\/li>\r\n<\/ul>\r\nLa directive NIS 2 s&rsquo;applique indirectement aux f<strong>ournisseurs et prestataires de services des entit\u00e9s concern\u00e9es<\/strong>, puisqu&rsquo;elle impose<strong> l&rsquo;obligation de s\u00e9curiser la cha\u00eene d&rsquo;approvisionnement<\/strong> des entit\u00e9s essentielles et importantes. Le nombre d&rsquo;organisations concern\u00e9es est donc plus \u00e9lev\u00e9 que pr\u00e9vu.\r\n\r\n&nbsp;\r\n<h2>Quelles sont les principales exigences ?<\/h2>\r\nLes entreprises concern\u00e9es par NIS2 doivent mettre en place une s\u00e9rie de mesures de cybers\u00e9curit\u00e9. Ces mesures n&rsquo;ont pas encore \u00e9t\u00e9 pr\u00e9cis\u00e9es par l&rsquo;ANSSI, charg\u00e9e de transposer la directive en droit fran\u00e7ais. Sur la base de la directive, les organisations devront r\u00e9fl\u00e9chir \u00e0 la gestion des crises cyber, notamment en mettant en place des plans de continuit\u00e9 d&rsquo;activit\u00e9 (PCA), des plans de reprise d&rsquo;activit\u00e9 (PRA) et des plans de gestion de sauvegardes. L&rsquo;objectif est de savoir <strong>comment r\u00e9agir<\/strong> en cas de cyberattaque et de <strong>s&rsquo;assurer que l&rsquo;impact sur l&rsquo;entreprise est minimis\u00e9<\/strong>. En cas de crise, des solutions de communication s\u00e9curis\u00e9es doivent \u00eatre mises en place.\r\n<ul>\r\n \t<li>Les mesures introduites par la directive NIS2 sont essentiellement <strong>techniques<\/strong>. Les organisations devront adopter des pratiques sp\u00e9cifiques pour assurer leur propre cybers\u00e9curit\u00e9 et celle de leur personnel : utilisation de solutions d&rsquo;authentification multifactorielle ou continue, politiques et proc\u00e9dures en mati\u00e8re de cryptographie, politiques d&rsquo;analyse des risques et de PSSI, etc. Une grande attention devra \u00eatre port\u00e9e \u00e0 l&rsquo;acquisition, au d\u00e9veloppement et \u00e0 la maintenance des r\u00e9seaux et services d&rsquo;information, en mettant l&rsquo;accent sur la gestion des vuln\u00e9rabilit\u00e9s.<\/li>\r\n<\/ul>\r\n<ul>\r\n \t<li>La directive NIS2 contient \u00e9galement des <strong>mesures op\u00e9rationnelles<\/strong>. Les organisations seront tenues de signaler les incidents de cybers\u00e9curit\u00e9 \u00e0 un organisme sp\u00e9cialis\u00e9, le Computer Security Incident Response Team (CSIRT). En fonction de la gravit\u00e9 de l&rsquo;incident, le CSIRT peut conseiller l&rsquo;entit\u00e9 sur les proc\u00e9dures \u00e0 mettre en place ou alerter d&rsquo;autres \u00c9tats membres. La notification se d\u00e9roule en trois \u00e9tapes. Tout d&rsquo;abord, les organisations doivent proc\u00e9der \u00e0 une \u00ab\u00a0notification initiale\u00a0\u00bb dans les 24 heures suivant l&rsquo;incident. Elle doit ensuite proc\u00e9der \u00e0 une \u00ab\u00a0notification d\u00e9taill\u00e9e\u00a0\u00bb dans les 72 heures suivant l&rsquo;incident. Enfin, l&rsquo;organisation doit soumettre un \u00ab\u00a0rapport final\u00a0\u00bb au CSIRT le mois suivant. Ce processus permet non seulement d&rsquo;apporter une r\u00e9ponse, mais aussi de documenter la gestion de la crise.<\/li>\r\n<\/ul>\r\n<ul>\r\n \t<li>Enfin, le NIS2 pr\u00e9voit des <strong>mesures organisationnelles<\/strong>. Elle met \u00e9galement l&rsquo;accent sur la responsabilit\u00e9 du conseil d&rsquo;administration en mati\u00e8re de cybers\u00e9curit\u00e9 au sein de l&rsquo;entreprise. Pour pouvoir prendre des d\u00e9cisions dans ce domaine, ses membres doivent \u00eatre form\u00e9s \u00e0 la gestion des risques cybern\u00e9tiques, afin de pouvoir \u00e9valuer l&rsquo;impact sur les services fournis par l&rsquo;entreprise et les proc\u00e9dures \u00e0 mettre en place. Ils doivent \u00e9galement \u00eatre en mesure d&rsquo;approuver et de contr\u00f4ler la mise en \u0153uvre des mesures prises par les services informatiques. Le non-respect de la directive NIS2 expose le conseil d&rsquo;administration \u00e0 une responsabilit\u00e9 p\u00e9nale et \u00e0 des sanctions. Une organisation importante peut se voir infliger une amende de 10 millions d&rsquo;euros ou de 2 % de son chiffre d&rsquo;affaires annuel mondial. Pour une grande entreprise, l&rsquo;amende peut atteindre 7 millions d&rsquo;euros ou 1,4 % du chiffre d&rsquo;affaires annuel mondial.<\/li>\r\n<\/ul>\r\n<h2>\u00a0La Quantification du risque cyber (CRQ) est le premier pas vers la conformit\u00e9<\/h2>\r\nL&rsquo;utilisation d&rsquo;une solution de quantification du risque cybern\u00e9tique, \u00e9galement connue sous le nom de CRQ, est une <strong>premi\u00e8re \u00e9tape vers la conformit\u00e9<\/strong> avec la NIS2, en particulier en ce qui concerne les <strong>mesures organisationnelles<\/strong> mentionn\u00e9es ci-dessus.\r\n\r\nCette approche consiste \u00e0 <strong>\u00e9valuer l&rsquo;exposition d&rsquo;une organisation au risque cyber<\/strong>, en utilisant des <strong>indicateurs financiers<\/strong> pour \u00e9clairer les d\u00e9cisions relatives \u00e0 <strong>l&rsquo;att\u00e9nuation ou au partage du risque<\/strong>.\r\n\r\nLa quantification financi\u00e8re du risque cyber \u00e9tablit un <strong>langage commun<\/strong> entre les \u00e9quipes techniques responsables de la cybers\u00e9curit\u00e9 et l&rsquo;organe de direction. Ce dernier \u00e9tant tenu pour <strong>responsable<\/strong> en cas d&rsquo;incident ou de non-respect de la directive, l&rsquo;utilisation de donn\u00e9es financi\u00e8res permet d&rsquo;instaurer un dialogue et de prendre les bonnes d\u00e9cisions en mati\u00e8re de gestion des risques.\r\n\r\nAssoci\u00e9e \u00e0 une <strong>compr\u00e9hension d\u00e9taill\u00e9e et contextualis\u00e9e de la menace<\/strong>, la quantification du risque cyber aide les organisations \u00e0 <strong>hi\u00e9rarchiser les moyens de d\u00e9fense appropri\u00e9s<\/strong> et \u00e0 <strong>rationaliser leurs d\u00e9penses en mati\u00e8re de s\u00e9curit\u00e9<\/strong>. Cette approche permet de mieux g\u00e9rer les risques et leur impact sur les infrastructures critiques. Les organisations concern\u00e9es par la NIS 2 peuvent donc <strong>aligner leurs mesures de s\u00e9curit\u00e9 sur les exigences de la directive europ\u00e9enne<\/strong>.\r\n\r\nL&rsquo;un des objectifs des solutions de quantification du risque cyber est de <strong>g\u00e9n\u00e9rer des indicateurs harmonis\u00e9s pour estimer le niveau de risque auquel une organisation est expos\u00e9e<\/strong> en termes financiers. Ces indicateurs sont ensuite utilis\u00e9s pour <strong>d\u00e9montrer les efforts de conformit\u00e9<\/strong> \u00e0 l&rsquo;\u00e9cosyst\u00e8me de gestion des risques de l&rsquo;organisation : \u00e9quipes informatiques, direction, assureurs, r\u00e9gulateurs, etc.\r\n\r\nLa quantification du risque cyber est bas\u00e9e sur des <a href=\"https:\/\/citalid.com\/resources\/cyberattaques-pertes-quantification\/\" target=\"_blank\" rel=\"nofollow noopener\"><strong>sc\u00e9narios d&rsquo;incidents (ou types d&rsquo;attaques)<\/strong><\/a> et analyse leur impact financier estim\u00e9. Cette approche aide les organisations \u00e0 <strong>\u00e9laborer des plans de r\u00e9ponse aux incidents solides<\/strong>, conform\u00e9ment \u00e0 la directive NIS 2. Cela les rend plus r\u00e9sistantes et leur permet de se r\u00e9tablir rapidement et efficacement en cas d&rsquo;incident.\r\n\r\nEnfin, la quantification du risque cyber est une m\u00e9thode qui contribue \u00e0 la <strong>gestion des risques li\u00e9s \u00e0 l&rsquo;\u00e9cosyst\u00e8me de l&rsquo;organisation<\/strong> (fournisseurs, clients, partenaires, etc.), en particulier sa <strong>cha\u00eene d&rsquo;approvisionnement<\/strong>, car elle est prise en compte dans l&rsquo;environnement de l&rsquo;organisation, dont les risques sont quantifi\u00e9s. La NIS 2 met en \u00e9vidence l&rsquo;importance de ces risques. Cela permet de s&rsquo;assurer que les organisations ne limitent pas leur gestion des risques \u00e0 leurs syst\u00e8mes internes, mais consid\u00e8rent \u00e9galement les risques li\u00e9s aux acteurs externes.\r\n\r\nLa quantification du risque cyber n&rsquo;est pas seulement un moyen de booster sa mise en conformit\u00e9, mais c&rsquo;est aussi une m\u00e9thode qui permet de <strong>concentrer les efforts sur l&rsquo;obtention de r\u00e9sultats<\/strong>. Elle refl\u00e8te \u00e9galement une nouvelle <a href=\"https:\/\/citalid.com\/2024-ciso-cybersecurity-trends-minimum-effective\/\" target=\"_blank\" rel=\"nofollow noopener\">approche minimaliste<\/a> de la cybers\u00e9curit\u00e9. L&rsquo;utilisation d&rsquo;une solution de quantification des cyber-risques s&rsquo;inscrit donc dans une <strong>r\u00e9flexion sur le ROI de la cybers\u00e9curit\u00e9<\/strong> (ROSI), avec l&rsquo;adoption de nouvelles pratiques, dont la NIS 2 peut \u00eatre le point de d\u00e9part.\r\n\r\nPar exemple, la quantification du risque cybern\u00e9tique \u00e0 l&rsquo;aide de la <a href=\"https:\/\/citalid.com\/\" target=\"_blank\" rel=\"noopener\">plateforme Citalid<\/a> permet de <strong>mieux comprendre l&rsquo;impact financier d&rsquo;une attaque r\u00e9ussie sur une organisation<\/strong>, gr\u00e2ce \u00e0 notre expertise dans <strong>plus de 1 000 sc\u00e9narios mod\u00e9lis\u00e9s<\/strong>.\r\n<h2>Citalid: quantifier le risque et agir<\/h2>\r\nLa plateforme d\u00e9velopp\u00e9e par Citalid est bas\u00e9e sur la <strong>m\u00e9thodologie<a href=\"https:\/\/www.fairinstitute.org\/what-is-fair\" target=\"_blank\" rel=\"nofollow noopener\"> FAIR<\/a> <\/strong>(Factor Analysis of Information Risk). Celle-ci part du principe que le risque cyber peut \u00eatre quantifi\u00e9 en termes financiers en corr\u00e9lant les facteurs qui d\u00e9terminent la <strong>fr\u00e9quence des attaques<\/strong> et le <strong>co\u00fbt des attaques r\u00e9ussies<\/strong>.\r\n\r\nElle est \u00e9galement enrichie par l&rsquo;expertise de l&rsquo;entreprise en mati\u00e8re de cyber threat intelligence (CTI), gr\u00e2ce \u00e0 la surveillance continue de <strong>plus de 700 acteurs de la cybercriminalit\u00e9<\/strong>. En ajoutant ces \u00e9l\u00e9ments, la cybermenace est <strong>contextualis\u00e9e,<\/strong> ce qui permet une analyse plus d\u00e9taill\u00e9e de l&rsquo;exposition de l&rsquo;organisation, en tenant compte de son environnement.\r\n\r\nCitalid mesure de mani\u00e8re <strong>simple et fiable<\/strong> le risque financier support\u00e9 par l&rsquo;organisation en fonction de ses vuln\u00e9rabilit\u00e9s et du contexte des menaces. Parmi les cas d&rsquo;utilisation offerts par la plateforme Citalid, la mise en place d&rsquo;une <strong>feuille de route de cybers\u00e9curit\u00e9<\/strong> permet de <strong>prioriser et d&rsquo;\u00e9valuer les mesures de s\u00e9curit\u00e9<\/strong> prises pour r\u00e9duire le risque. Une fois le risque ma\u00eetris\u00e9, et dans le cadre de la NIS2, il est possible de se concentrer sur d&rsquo;autres t\u00e2ches li\u00e9es \u00e0 la conformit\u00e9 : mise en place de plans PCA et PRA, sensibilisation et formation du personnel, etc.\r\n\r\nL&rsquo;<a href=\"https:\/\/cyber.gouv.fr\/\" target=\"_blank\" rel=\"nofollow noopener\">ANSSI<\/a> encourage les organisations concern\u00e9es par le NIS 2 \u00e0 s&rsquo;assurer contre les risques cyber. Un autre cas d&rsquo;usage de la plateforme Citalid est de <strong>mieux comprendre votre risque r\u00e9siduel afin de mieux \u00e9valuer vos besoins de couverture et de cyberassurance<\/strong>. En tant qu&rsquo;assur\u00e9, vous disposerez d&rsquo;\u00e9l\u00e9ments factuels et mesurables \u00e0 discuter avec votre assureur pour n\u00e9gocier et choisir la police d&rsquo;assurance la plus adapt\u00e9e \u00e0 chaque entreprise.","protected":false},"excerpt":{"rendered":"Le 18 octobre 2024, la directive europ\u00e9enne NIS 2 (Network [&hellip;]","protected":false},"author":175698820,"featured_media":15513,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","rank_math_description":"NIS 2 : d\u00e9veloppez votre maturit\u00e9 cyber et votre conformit\u00e9 gr\u00e2ce \u00e0 la quantification du risque cyber (CRQ).","footnotes":""},"categories":[6638],"tags":[6639,6640,6641,6642,6643],"topic":[6750,6743],"class_list":["post-12473","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-article-de-blog","tag-citalid-fr","tag-cybersecurity-fr","tag-directive-fr","tag-european-union-fr","tag-nis2-fr","topic-reglementation","topic-risque-cyber"],"acf":[],"_links":{"self":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts\/12473","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/users\/175698820"}],"replies":[{"embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/comments?post=12473"}],"version-history":[{"count":0,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts\/12473\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/media\/15513"}],"wp:attachment":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/media?parent=12473"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/categories?post=12473"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/tags?post=12473"},{"taxonomy":"topic","embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/topic?post=12473"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}