NIS2 Implementing Regulation (EU) 2024/2690
De quoi il s'agit
La directive européenne sur la cybersécurité (2022/2555) : mesures de gestion des risques (article 21), notification des incidents (article 23) et responsabilité de la direction (article 20) pour les entités essentielles et importantes de 18 secteurs. Les exigences de ControlMapping correspondent à l'annexe du règlement d'exécution (UE) 2024/2690, qui détaille les mesures applicables aux fournisseurs DNS, cloud, de centres de données, de services gérés et autres fournisseurs numériques.
À qui il s'adresse
Les entités de taille moyenne et grande relevant des secteurs listés aux annexes I et II de la directive, ainsi que certaines entités de toute taille. Le droit national définit les modalités. Voir le guide NIS2.
Comment l'évaluation est réalisée
Les autorités nationales compétentes assurent la supervision : de manière proactive pour les entités essentielles, a posteriori pour les entités importantes. Il n'existe pas de certification NIS2 générale, bien que les États membres puissent exiger des schémas de certification pour certains services.
Lire le guide : Conformité NIS2 : guide pratique →
Ici, NIS2 désigne les mesures techniques du règlement d'exécution (UE) 2024/2690, qui s'applique directement aux fournisseurs d'infrastructures numériques et de services TIC ; les autres entités NIS2 suivent la transposition nationale de leur pays de l'article 21. Les délais de notification des incidents (article 23) ne sont pas couverts. La correspondance de l'ENISA n'est pas contraignante.
Comparaisons
Exigences
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
| ID | Exigence | Sujets | Mis en correspondance dans |
|---|---|---|---|
| 1. Policy on the security of network and information systems · 2 | |||
| 1.1 | Policy on the security of network and information systems | Politique de gouvernance | 9 sur 13 |
| 1.2 | Roles, responsibilities and authorities | Rôles et responsabilités | 9 sur 13 |
| 2. Risk management policy · 3 | |||
| 2.1 | Risk management framework | Gestion des risques, Évaluation des risques | 10 sur 13 |
| 2.2 | Compliance monitoring | Conformité | 10 sur 13 |
| 2.3 | Independent review of information and network security | Conformité | 10 sur 13 |
| 3. Incident handling · 6 | |||
| 3.1 | Incident handling policy | Réponse aux incidents | 12 sur 13 |
| 3.2 | Monitoring and logging | Surveillance continue, Journalisation et audit, Détection d'intrusion, SIEM / SOC | 11 sur 13 |
| 3.3 | Event reporting | Notification | 12 sur 13 |
| 3.4 | Event assessment and classification | Détection d'anomalies, SIEM / SOC | 10 sur 13 |
| 3.5 | Incident response | Réponse aux incidents, Criminalistique numérique, Atténuation | 12 sur 13 |
| 3.6 | Post-incident reviews | Enseignements tirés | 9 sur 13 |
| 4. Business continuity and crisis management · 3 | |||
| 4.1 | Business continuity and disaster recovery plan | Planification de la reprise, Continuité des activités, Reprise après sinistre | 10 sur 13 |
| 4.2 | Backup management | Sauvegarde et restauration, Reprise après sinistre | 11 sur 13 |
| 4.3 | Crisis management | Communication, Continuité des activités, Communication et rétablissement | 11 sur 13 |
| 5. Supply chain security · 2 | |||
| 5.1 | Supply chain security policy | Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs | 10 sur 13 |
| 5.2 | Directory of suppliers and service providers | Gestion des risques fournisseurs | 10 sur 13 |
| 6. Security in acquisition, development and maintenance · 10 | |||
| 6.1 | Security in acquisition of ICT services, ICT systems or ICT products | Risque lié à la chaîne d'approvisionnement, Sécurité du cloud, Gestion des risques fournisseurs | 12 sur 13 |
| 6.2 | Secure development life cycle | Développement sécurisé | 8 sur 13 |
| 6.3 | Configuration management | Configuration sécurisée | 9 sur 13 |
| 6.4 | Change management, repairs and maintenance | — | 3 sur 13 |
| 6.5 | Security testing | Gestion des vulnérabilités | 13 sur 13 |
| 6.6 | Security patch management | Gestion des correctifs | 10 sur 13 |
| 6.7 | Network security | Pare-feu / Segmentation réseau | 9 sur 13 |
| 6.8 | Network segmentation | Pare-feu / Segmentation réseau, Zero Trust | 9 sur 13 |
| 6.9 | Protection against malicious and unauthorised software | Protection des terminaux, Sécurité de la messagerie | 10 sur 13 |
| 6.10 | Vulnerability handling and disclosure | Gestion des vulnérabilités | 13 sur 13 |
| 7. Assessing the effectiveness of cybersecurity risk-management measures · 1 | |||
| 7.1 | Policies and procedures to assess the effectiveness of cybersecurity risk-management measures | Gestion des risques | 10 sur 13 |
| 8. Basic cyber hygiene practices and security training · 2 | |||
| 8.1 | Awareness raising and basic cyber hygiene practices | Sensibilisation et formation | 10 sur 13 |
| 8.2 | Security training | Sensibilisation et formation | 10 sur 13 |
| 9. Cryptography · 1 | |||
| 9.1 | Cryptography | Chiffrement | 10 sur 13 |
| 10. Human resources security · 4 | |||
| 10.1 | Human resources security | — | 1 sur 13 |
| 10.2 | Verification of Background | Menace interne | 9 sur 13 |
| 10.3 | Termination or change of employment procedures | — | 2 sur 13 |
| 10.4 | Disciplinary process | Menace interne | 9 sur 13 |
| 11. Access control · 7 | |||
| 11.1 | Access control policy | Contrôle d'accès, Zero Trust | 11 sur 13 |
| 11.2 | Management of access rights | Contrôle d'accès | 11 sur 13 |
| 11.3 | Privileged accounts and system administration accounts | Accès privilégiés | 10 sur 13 |
| 11.4 | Administration systems | Accès privilégiés | 10 sur 13 |
| 11.5 | Identification | Contrôle d'accès | 11 sur 13 |
| 11.6 | Authentication | Authentification multifacteur, Zero Trust | 10 sur 13 |
| 11.7 | Multi-factor authentication | Authentification multifacteur | 10 sur 13 |
| 12. Asset management · 5 | |||
| 12.1 | Asset classification | Classification des données | 9 sur 13 |
| 12.2 | Handling of assets | Protection des données | 11 sur 13 |
| 12.3 | Removable media policy | Protection des données, DLP | 11 sur 13 |
| 12.4 | Asset inventory | Gestion des actifs | 13 sur 13 |
| 12.5 | Deposit, return or deletion of assets upon termination of employment | — | 2 sur 13 |
| 13. Environmental and physical security · 3 | |||
| 13.1 | Supporting utilities | Sécurité physique | 8 sur 13 |
| 13.2 | Protection against physical and environmental threats | Sécurité physique | 8 sur 13 |
| 13.3 | Perimeter and physical access control | Sécurité physique | 8 sur 13 |
Couverture du sujet
Thèmes avec des exigences NIS2 mappées (43) :
Aucune correspondance dans nos données Aucune exigence NIS2 (7) :