Continuité d'Activité NIS2

Exigences NIS2 sur la continuité d'activité

L'article 21 §2 c) de NIS2 impose la « gestion de la continuité des activités, telle que la gestion des sauvegardes et la restauration après sinistre, et la gestion des crises ». Cette formulation couvre trois niveaux : les sauvegardes (protection des données), la restauration après sinistre (reprise des systèmes), et la gestion de crise (organisation et communication en situation d'urgence).

Les plans de continuité et de reprise d'activité (PCA/PRA) doivent être documentés, approuvés par la direction, et intégrer des scénarios cyber spécifiques : ransomware chiffrant l'ensemble des systèmes, exfiltration massive de données, destruction de données, défaillance d'un prestataire critique. Ces scénarios vont au-delà des PCA traditionnels axés sur les catastrophes physiques.

Sauvegardes résilientes aux ransomwares

La règle 3-2-1 est le minimum : 3 copies, 2 supports différents, 1 hors site. Pour résister aux ransomwares modernes qui ciblent les sauvegardes : copies immuables (WORM - Write Once Read Many), isolation réseau des systèmes de sauvegarde, chiffrement des sauvegardes avec clés gérées séparément, et test régulier de restauration. Des technologies comme les snapshots immuables dans le cloud (AWS Backup Vault Lock, Azure Immutable Blob Storage) facilitent la mise en œuvre.

Les RPO (objectif de perte de données maximale admissible) et RTO (objectif de délai de reprise) doivent être définis en fonction des exigences métiers et de la criticité des services. Les entités NIS2 doivent pouvoir démontrer que leurs sauvegardes et procédures de restauration permettent d'atteindre les objectifs fixés, via des tests réguliers.

Plan de gestion de crise cyber

La cellule de crise cyber doit être constituée avant l'incident : responsable de crise (souvent le DG ou le RSSI), responsable technique (DSI), responsable juridique (DPO, conseil externe), responsable communication (dircom), et un contact avec les autorités (ANSSI, CERT-FR). Des fiches réflexes par type d'incident permettent une réaction rapide et cohérente.

La communication de crise cyber nécessite une préparation spécifique : décisions sur la transparence publique, templates de communication aux clients et partenaires, relations avec les médias, notification aux autorités (NIS2 dans les 24h, RGPD dans les 72h si données personnelles impliquées). Les exercices de simulation de crise cyber incluant les équipes de communication sont essentiels pour tester cette préparation.