Questions fréquentes
Les questions qu’on nous pose vraiment. La réponse d’abord.
Six thèmes. Chaque réponse commence par la réponse, puis développe. Ce qui touche un texte de loi cite l’article.
Êtes-vous concerné
La première question, et celle dont dépendent toutes les autres.
Sommes-nous concernés par NIS2 ?
Cela dépend de votre secteur et de votre taille, selon les annexes I et II de la directive. Le diagnostic public pose les questions de qualification, tranche, et cite les articles sur lesquels il s’appuie. Il ne demande ni inscription ni adresse électronique. Si vous n’êtes pas concerné, nous vous le dirons.
Quelle différence entre entité essentielle et entité importante ?
Le statut se décide sur votre taille et votre secteur, et il change le plafond de sanction encouru, pas le socle de mesures à mettre en place. L’article 20(1) de la directive vise les organes de direction des entités essentielles et importantes sans distinction, et l’article 21 leur impose les mêmes mesures de gestion des risques. En France, les plafonds retenus sont de 10 millions d’euros pour une entité essentielle et de 7 millions pour une entité importante.
Nous sommes une entreprise de vingt personnes. Sommes-nous hors du champ ?
Pas nécessairement. Une série d’activités relève de la directive quelle que soit la taille de l’organisation : services de résolution de noms de domaine, registres de noms de domaine de premier niveau, prestataires de services de confiance, réseaux et services de communications électroniques accessibles au public, et tout prestataire unique d’un service essentiel dans un État membre.
Comment savoir dans quel secteur nous tombons ?
En reprenant les listes de secteurs de la directive, activité par activité, et non par intuition. Le parcours d’entrée de Presidio GRC pose les questions de qualification, secteur, effectif et activités, puis vous situe. Si rien ne s’applique, il vous le dit.
Délais et notification
Ce que la directive impose quand un incident survient, minute par minute.
De combien de temps disposons-nous pour déclarer un incident ?
Vous avez 24 heures pour l’alerte précoce, 72 heures pour la notification et un mois pour le rapport final. L’alerte précoce part au CSIRT ou à l’autorité compétente et indique notamment une éventuelle origine malveillante ou un impact transfrontière (Directive (UE) 2022/2555, art. 23(4)(a)). La notification actualise cette alerte avec une évaluation initiale de la gravité (art. 23(4)(b)), et le rapport final décrit les causes et les mesures appliquées (art. 23(4)(d)).
À quel moment l’horloge démarre-t-elle ?
À la prise de connaissance de l’incident important, pas à sa survenue. La directive écrit « dans les 24 heures suivant la prise de connaissance » (Directive (UE) 2022/2555, art. 23(4)(a)). C’est pourquoi la date de découverte doit être enregistrée dès le premier signalement interne.
Un même incident peut-il relever de NIS2 et du RGPD ?
Oui, et il donne alors lieu à deux notifications distinctes. NIS2 vous fait notifier au CSIRT ou à l’autorité compétente sous 72 heures (Directive (UE) 2022/2555, art. 23(4)(b)). Le RGPD vous fait notifier la violation de données personnelles à l’autorité de contrôle dans les 72 heures suivant sa prise de connaissance (Règlement (UE) 2016/679, art. 33). Deux destinataires, deux formats, deux horloges qui ne démarrent pas au même événement.
Devons-nous produire un rapport intermédiaire ?
Sur demande seulement. Le CSIRT ou l’autorité compétente peut réclamer un rapport intermédiaire présentant les mises à jour pertinentes sur l’évolution de la situation (Directive (UE) 2022/2555, art. 23(4)(c)).
Faut-il informer nos clients ?
Lorsque cela est approprié, oui. La directive prévoit d’informer sans retard injustifié les destinataires des services susceptibles d’être affectés par un incident important, ainsi que des mesures ou corrections qu’ils peuvent appliquer (Directive (UE) 2022/2555, art. 23(1)).
Sanctions et autorité
Qui contrôle, ce que l’on risque, et ce qui n’est pas encore arrêté.
Quelles sanctions en cas de manquement, en France ?
Les plafonds retenus par la transposition française sont de 10 millions d’euros pour une entité essentielle et de 7 millions d’euros pour une entité importante. La directive prévoit par ailleurs que les organes de direction peuvent être tenus responsables des manquements aux obligations de gestion des risques de cybersécurité de l’entité (Directive (UE) 2022/2555, art. 20(1)).
Qui est notre autorité de référence ?
L’ANSSI. C’est l’autorité portée par la transposition française dans le corpus de Presidio GRC, et c’est elle qui reçoit vos déclarations d’incident, dans son format.
À partir de quand la loi française s’applique-t-elle ?
Aucune date n’est arrêtée à ce jour, le texte français de transposition n’étant pas promulgué. Le contenu des obligations, lui, est déjà connu : il est fixé par la directive elle même. Presidio GRC charge ses 38 exigences, plus la déclaration d’incident à l’ANSSI sous 24 heures prévue pour les opérateurs de services essentiels français par la loi de programmation militaire 2024, art. 35.
Que faut-il faire dès maintenant ?
Établir la liste de vos mesures existantes et la rattacher aux exigences du texte européen. Les 38 exigences de la directive ne bougeront pas avec la transposition, et le travail de collecte de preuves est celui qui prend le plus de temps. C’est exactement ce que le chargement du référentiel produit dès le premier jour.
Articulation avec vos autres textes
Ce que votre ISO 27001 couvre déjà, et ce qu’elle ne couvre pas.
Nous sommes certifiés ISO 27001. Cela couvre-t-il NIS2 ?
En grande partie, mais pas entièrement. Le corpus de Presidio GRC porte 16 correspondances explicites entre une exigence NIS2 et une mesure de l’Annexe A : l’article 21(2)(b) sur la gestion des incidents rejoint A.5.24, l’article 21(2)(d) sur la chaîne d’approvisionnement rejoint A.5.19, l’article 21(2)(j) sur l’authentification multifacteur rejoint A.8.5. Les obligations de notification de l’article 23 restent propres à la directive : le corpus les rapproche de A.5.5, contact avec les autorités, qui n’en porte ni les délais ni le format.
Et notre conformité au RGPD ?
Elle vous sert sur la sécurité, pas sur la notification. Les deux textes se rejoignent sur les mesures techniques et organisationnelles, et le corpus rapproche l’article 32 du règlement des mesures ISO 27001 A.8.5, A.8.13 et A.8.24. En revanche l’article 33 du règlement et l’article 23 de la directive visent deux destinataires différents, ils ne se substituent pas l’un à l’autre.
Faut-il tout recommencer quand nous ajoutons un référentiel ?
Non, c’est précisément ce que le socle évite. Le corpus porte 75 groupes d’équivalence qui relient les exigences traitant du même thème à travers les référentiels. Une preuve déposée pour l’un se rattache aux exigences correspondantes des autres, et un écart n’apparaît qu’une fois, avec la liste des exigences qu’il bloque.
Faut-il un référentiel unique ou plusieurs ?
Plusieurs, activés au fil de vos obligations réelles. Les référentiels restent distincts dans leurs exigences et dans leurs rapports, ils ne partagent que les preuves et les écarts. Un auditeur ISO 27001 reçoit un état ISO 27001, pas un document composite.
La plateforme, en pratique
Mise en route, données, réversibilité et rôle de l’assistance.
Concrètement, qu’est-ce qu’on va nous demander ?
Quinze sujets, et pour chacun un document ou un relevé à pouvoir montrer : une politique de sécurité approuvée par le dirigeant, la liste de vos activités et de vos prestataires, une procédure de sauvegarde testée, un mode d’emploi de la gestion d’incident. Le référentiel de l’ANSSI en contient davantage, mais une partie ne vise que les plus grandes structures. Le diagnostic fait ce tri et vous rend la liste qui vous concerne, avec le temps que chaque point demande.
Faut-il un RSSI ou un consultant pour s’en servir ?
Non, et c’est la raison d’être du conseil de premier niveau. Un texte réglementaire décrit l’état à atteindre sans jamais dire à quoi ressemble la première version acceptable. Chaque moyen porte donc une indication de ce qu’il faut produire, un ordre de grandeur et le piège le plus fréquent. Un dirigeant ou un directeur administratif et financier peut mener la démarche.
Combien de temps avant d’obtenir un premier état des lieux ?
Le référentiel choisi est chargé dès la création de votre espace, avec ses exigences déjà structurées. Un premier état des lieux se construit en quelques heures de travail, réparties sur les personnes qui détiennent l’information. Vous ne partez pas d’une feuille blanche.
Nous suivons déjà notre conformité dans des tableurs. Que devient ce travail ?
Il se reprend. Presidio GRC importe vos référentiels existants au format CSV ou XLSX et propose une correspondance avec les exigences officielles, que vous validez ou corrigez. Rien n’est écrasé sans votre accord.
Où sont hébergées nos données ?
Dans l’Union européenne, sur des infrastructures situées à Paris. Une exception, que nous préférons dire plutôt que de la laisser découvrir : les fonctions d’assistance par intelligence artificielle (classement des preuves, analyse d’écart, analyse d’incident, aide à la rédaction) reposent sur les modèles Gemini de Google, dont le traitement a lieu hors Union européenne. Le contenu que vous soumettez à ces fonctions leur est transmis. Tout le reste, y compris vos preuves déposées, demeure en zone européenne. La liste complète de nos sous-traitants et des transferts figure sur notre page sécurité.
Que se passe-t-il si nous arrêtons ?
Vous exportez l’intégralité de vos données, preuves comprises, dans des formats ouverts. La réversibilité est une exigence que nous imposons à nos propres prestataires, il serait incohérent de ne pas vous l’offrir.
L’intelligence artificielle décide-t-elle à notre place ?
Non. L’assistant propose un classement de preuve, une correspondance ou un score, toujours accompagné de sa source. La validation reste humaine et chaque décision est tracée dans la piste d’audit. Un auditeur doit pouvoir remonter à la personne qui a tranché.
Quatre mots
Presidio GRC prépare et pilote. Il n’audite pas et ne certifie pas.
Préparation
Constitue le dossier : exigences, contrôles, preuves, écarts, livrables.
Ne rédige pas une politique à votre place sans votre validation.
Pilotage
Responsables, échéances, plan d’action, cockpit, reporting dirigeant.
Ne remplace ni un SOC, ni un SIEM, ni votre exploitation.
Conformité
Met vos preuves en regard des textes et mesure l’écart.
Ne rend personne conforme par lui-même.
Certification
Prépare l’audit : programme, déclaration d’applicabilité, non-conformités.
Ne certifie pas, n’audite pas, ne délivre aucune attestation opposable.
Voyez-le sur vos référentiels, pas sur les nôtres.
Trente minutes, sur vos écrans, avec vos questions. Ou l’essai complet, sans carte bancaire.