Politique de Sécurité NIS2

Structure et contenu de la PSSI NIS2

La politique de sécurité NIS2 doit couvrir les douze domaines de l'article 21 §2 : risques, incidents, continuité, chaîne d'approvisionnement, acquisitions et maintenance, évaluation de l'efficacité, cyberhygiène et formation, cryptographie, ressources humaines, contrôle d'accès, authentification multi-facteurs, et communications sécurisées. Chaque domaine peut faire l'objet d'une politique dédiée, la PSSI servant de document chapeau.

La PSSI doit être approuvée par les organes de direction (art. 20 NIS2), ce qui implique une validation formelle au niveau du conseil d'administration ou du comité exécutif. Cette approbation doit être documentée (PV de réunion, délibération). La PSSI doit ensuite être communiquée à l'ensemble des parties prenantes internes et, pour ses exigences applicables, aux fournisseurs et partenaires.

Processus d'élaboration

La démarche d'élaboration d'une PSSI comprend : analyse du contexte organisationnel (missions, actifs critiques, menaces pertinentes, exigences légales et réglementaires), analyse des risques (EBIOS RM, ISO 27005), définition de la politique de traitement des risques (accepter, réduire, transférer, éviter), rédaction de la PSSI et des politiques opérationnelles, approbation par la direction, communication et formation, et mise en œuvre et suivi.

Les normes ISO 27001/27002:2022 et les référentiels de l'ANSSI (PSSI-E, RGS) constituent des bases solides pour l'élaboration d'une PSSI NIS2. La clause 5.2 d'ISO 27001 impose une politique de sécurité de l'information formellement approuvée par la direction, alignée avec les objectifs de l'organisme.

Revue et amélioration continue

La PSSI n'est pas un document statique : elle doit être revue périodiquement (au moins annuellement pour une entité soumise à NIS2) et actualisée en cas de changements significatifs (nouvelles menaces, incidents majeurs, évolutions réglementaires, changements organisationnels). La revue annuelle de direction prévue par ISO 27001 est un bon cadre pour réexaminer la PSSI.

Des indicateurs de suivi de l'efficacité de la PSSI doivent être définis et mesurés : taux de vulnérabilités critiques corrigées dans les délais, nombre d'incidents par catégorie, résultats des tests de sécurité, taux de conformité aux politiques lors des audits internes. Ces indicateurs permettent à la direction d'évaluer si la PSSI atteint ses objectifs.