NIS2 et les PME : ce qui vous concerne vraiment
« Suis-je concerné, et qu'est-ce que je risque si je ne fais rien ? »
Le constat
NIS2 élargit considérablement le périmètre de la directive européenne sur la sécurité des réseaux et des systèmes d'information : des secteurs entiers sont désormais concernés, et les sous-traitants de grandes entreprises le sont souvent par ricochet, à travers leurs contrats. Beaucoup de PME découvrent la question non pas par un texte, mais par la demande d'un client ou de leur assureur. La question n'est donc pas « suis-je dans la liste ? » mais « saurais-je le prouver si on me le demande ? ».
Comment nous traitons ce sujet
Établir si vous êtes concerné, et à quel titre
Directement, par votre secteur et votre taille, ou indirectement comme fournisseur d'une entité concernée. Nous établissons le périmètre avec vous, sans jargon et sans dramatiser : vous saurez si le sujet vous touche, et pourquoi.
Faire l'inventaire de ce qui existe déjà
La plupart des entreprises concernées ont déjà fait une partie du travail sans le savoir. Nous recensons les mesures réellement en place, les procédures écrites, les sauvegardes, les accès, la journalisation — et nous identifions les manques par ordre d'urgence.
Combler les manques qui comptent d'abord
La journalisation exploitable, la gestion des accès, la procédure en cas d'incident, la sauvegarde testée. Ce sont les exigences qui reviennent partout, et celles sur lesquelles un auditeur ou un client vous interrogera.
Produire la trace, en continu
Le point faible habituel n'est pas de faire, c'est de pouvoir le démontrer. La traçabilité est donc continue, pas reconstituée la veille d'un contrôle : qui a accès à quoi, quand, et qu'en a-t-on fait.
Ce que ça change pour vous
- Vous savez si vous êtes concerné, directement ou comme fournisseur
- Les mesures déjà en place sont recensées au lieu d'être refaites
- Les manques sont hiérarchisés par urgence, pas par confort
- La trace est produite en continu, prête à être présentée
La limite, dite franchement : Nous accompagnons la mise en conformité, nous ne la certifions pas : la conformité se constate, elle ne se vend pas, et la responsabilité juridique reste celle de l'entreprise. Cet accompagnement ne se substitue ni à un audit réglementaire, ni à l'avis d'un conseil juridique.
Votre situation est particulière ?
Ce sujet se traite au cas par cas. Le diagnostic permet de le cadrer sur vos chiffres, pas dans l'abstrait.