« Appliquer NIS 2 ce n’est pas cocher des cases d’achats de logiciels ! »

La directive NIS2 ne se limite pas à une simple liste de produits et services. Via CSM Approve, Cyber Security Management propose une approche globale, du produit à l’évaluation en passant par l’intégration. A la clé, un « NIS2score » sur tout le parcours.

Il n’est plus question de simplement empiler de nouvelles procédures et outils sur l’existant. Contrairement à d’autres projets réglementaires, NIS2 impose de reprendre la main en posant des jalons. Il s’agit donc, pour le responsable de PME comme pour le CIO d’une entité essentielle, de suivre une trajectoire réaliste, afin de transformer une contrainte réglementaire en levier stratégique.

« NIS 2 impose une obligation de moyens et de résultats en matière de résilience, et non une liste de courses technologiques ! L’objectif ultime est la réduction des risques cyber et le maintien de la continuité d’activité. »

Pour Nicolas Locoge, Support à la Présidence du comité de Direction, SPF Chancellerie du Premier Ministre, réduire NIS2 à une série de produits sans logique globale peut créer une fausse impression de sécurité tout en complexifiant la gestion informatique.

De l’outil à la stratégie de résilience

Si un produit ou un service peut être un moyen d’atteindre la conformité, NIS2 évalue une posture globale de sécurité. La certification d’un outil ne garantit donc pas qu’il soit correctement configuré, que le personnel soit formé ou que l’entreprise sache réagir efficacement en cas de crise informatique.

Autrement dit, lorsqu’une entreprise s’adresse à des fournisseurs ou prestataires de services informatiques et de cybersécurité pour mener son projet NIS 2, elle ne cherche pas uniquement à acheter un outil, mais à bâtir une stratégie globale de conformité et de résilience.

« NIS2 place la sécurité de la chaîne d’approvisionnement au cœur des exigences, enchaîne Peter Braem, CEO, Cyber Security Management.

L’entreprise recherche des garanties et des compétences bien précises à travers plusieurs piliers majeurs : l’expertise réglementaire et l’accompagnement, des garanties de sécurité propres au prestataire, des outils techniques de protection et de détection, des capacités de résilience et de gestion des incidents, également de la sensibilisation et de la formation. »

Aussi, NIS2 peut être un long parcours, constatent les deux experts. Et celui-ci est plus méthodologique que technique. La directive exige une formalisation et une hiérarchisation des priorités. Cela commence par savoir ce que l’on fait, comment on le fait, pourquoi on le fait et comment on le prouve.

De là, l’idée de regrouper sur une plate-forme compétences et expertises de partenaires spécialisés. C’est CSM Approve.

Sinplify, plateforme belge de conformité cybersécurité, est venu se greffer au projet, au départ de son outil d’analyse basé sur l’IA. La start-up belge permet de centraliser toutes les données de conformité, de suivre les progrès en termes de bonnes pratiques et de générer des livrables professionnels sans effort.

Reprendre la main en posant des jalons

La proposition de CSM Approve se veut complète, de la sélection initiale de produits à l’évaluation de l’état d’avancement du projet sur base des bonnes pratiques de différents référentiels.

« Il n’est plus question de simplement empiler de nouvelles procédures et outils sur l’existant comme le proposent actuellement nombre de prestataires purement techniques, insiste Nicolas Locoge. La démarche, ici, est globale. Et pour cause. Contrairement à d’autres projets réglementaires, NIS2 impose de reprendre la main en posant des jalons, suivre une trajectoire réaliste. Et, in fine, transformer ce qui peut apparaître comme une contrainte en levier stratégique. »

De fait, NIS 2 impose une lecture différente du risque. NIS2 ne dit pas « vous devez acheter tel pare-feu ou tel outil EDR », mais stipule que chaque organisation doit évaluer ses propres risques en fonction de son secteur, de ses infrastructures et de ses menaces spécifiques et mettre en place des mesures de gouvernance proportionnées à ces risques.

« Acheter des dizaines de logiciels de sécurité sans logique globale peut créer une fausse impression de sécurité tout en complexifiant la gestion informatique », complète Peter Braem.

De fait, la « sur-technologisation » est un piège. Accumuler des produits de cybersécurité sans une stratégie de réduction des risques claire pose plusieurs problèmes, comme le bruit de fond, les failles d’intégration, sans compter un coût inutile -le budget est consommé dans des licences plutôt que dans de la formation ou de l’audit organisationnel.

L’initiative est inédite

Dans ce schéma, Cyber Securtity Management entend proposer le plus gros portefeuille le de solutions européennes, donc souveraines. Ceci, notamment, à travers le catalogue d’Hexastrust -exclusivement européen- qui compte plus de 160 produits certifiés ANSSI (ISO/IEC 15408) valides de plein droit en Belgique et au Luxembourg. Côté services, relevons la présence d’Advens, prestataire de services, expert et qualifié pour l’accompagnement à la conformité de NIS 2, en mesure de couvrir l’ensemble du spectre : cadrage et diagnostic de maturité, gouvernance et gestion des risques, sécurisation de la supply chain, mise en œuvre technique et opérationnelle…

Il va sans dire que CSM Approve s’étoffera encore au fil du temps. Le projet de l’initiative a été présenté aux Assises de la cybersécurité à Monaco la semaine passée ; il y a trouvé un large écho. Et pour cause, l’initiative est inédite.

Et Nicolas Locoge de conclure : « Appliquer NIS 2 ce n’est pas cocher des cases d’achats d’équipements. C’est rehausser le niveau de maturité cyber global de l’entreprise pour que, face à une attaque inévitable, l’impact sur l’activité soit minimal. Le produit est un outil, la réduction du risque est la cible ! »

 

Photo (Kevin Marcos) : de gauche à droite : Anthony Leonardo (Sinplify), Nicolas Locoge (CSM Approve), Peter Braem (Cyber Security Management) et Valentino Anzalone (Sinplify)