NIS2 : activation et accès
L’outil outille la partie de la directive (UE) 2022/2555 qui touche aux vulnérabilités, à l’inventaire, aux fournisseurs et aux incidents : il calcule des échéances, tient des registres datés, prévient les bonnes personnes et produit les pièces qu’un auditeur ou la direction demande.
Où lire l’état de conformité
Section intitulée « Où lire l’état de conformité »La vue d’ensemble de l’ancien espace (état par obligation, « À faire maintenant », vue direction) est remplacée par la page Couverture des référentiels : pour chaque référentiel suivi, NIS2 comprise, ses exigences, les mesures de l’outil qui y répondent, l’écran de la preuve et le statut. Les rapports pour la direction se trouvent dans Analyse › Rapports, onglet Référentiels (direction) (voir Rapports) ; le lien d’un avis « rapport prêt » y mène directement.
Les liens reçus par notification ou par e-mail portent parfois ?org=… : en arrivant, le projet actif bascule sur un projet de cette organisation.
Activer NIS2 sur un projet
Section intitulée « Activer NIS2 sur un projet »NIS2 est désactivée par défaut, projet par projet. L’offre dit ce qui est inclus ; l’activation dit ce que l’organisation a choisi de suivre. Tant qu’aucun projet de l’organisation n’est activé, les pages Incidents et Fournisseurs affichent « Aucun projet couvert par vos référentiels », avec un lien vers la section Projets couverts d’Réglages › Référentiels.
On active à trois endroits, avec le même bouton :
- la page Couverture, section Projets couverts, qui liste tous les projets de l’organisation (les anciennes adresses
/conformite/reglageset/conformite/activationy mènent) ; - les réglages du projet, page Conformité (voir Réglages) ;
- à la création d’un projet d’organisation, la case Activer la conformité NIS2 sur ce projet, décochée par défaut, proposée quand l’offre comprend NIS2 et que vous pouvez l’activer.
- Ouvrez Réglages › Référentiels (paramètres de l’organisation).
- La section Projets couverts montre chaque projet, son état (Non activé ou Activé) et ses workflows de conformité.
- Cliquez sur Activer en face du projet. C’est tout : un message confirme « … est désormais couvert ».
Ce que l’activation déclenche :
- les registres du projet s’ouvrent et se calculent : échéances de correction, fin de vie, revues d’inventaire, risques acceptés ;
- les workflows de conformité du projet sont créés, un par thème (échéances, escalades, fin de vie, revues, risques) : ce sont eux qui envoient les notifications et e-mails de conformité ;
- le premier projet activé ouvre aussi les registres de l’organisation (incidents, fournisseurs, rapport pour la direction, état de conformité) et crée les workflows de l’organisation (déclarations d’incident, fournisseurs, gouvernance). Une organisation reste active tant qu’un de ses projets l’est.
Un workflow dont le module n’est pas dans l’offre n’est pas créé. Si vous avez supprimé un workflow de conformité, un jeton + nom du workflow apparaît sous la liste pour le recréer.
Une fois le projet activé, la section propose Voir les workflows (page Workflows) et Désactiver.
Désactiver
Section intitulée « Désactiver »Désactiver ouvre un panneau qui dit ce qui change, avant de confirmer :
- les workflows de conformité du projet sont mis en pause : plus aucun avis ne part pour ce projet ;
- ses registres (échéances, fin de vie, revues, risques acceptés) sont masqués et ne sont plus calculés ;
- rien n’est supprimé : données, historique et personnalisations reviennent à la réactivation ;
- si c’est le dernier projet actif, les registres et workflows de l’organisation sont aussi mis en pause (la ligne apparaît en gras dans le panneau).
Réactiver reprend les workflows tels que vous les aviez laissés ; un workflow supprimé à la main n’est pas recréé. La carte du projet rappelle ensuite « Désactivé le … : workflows en pause, registres conservés. »
Bien démarrer en quatre étapes
Section intitulée « Bien démarrer en quatre étapes »Pour que les registres aient de quoi travailler, dans l’ordre :
| Étape | Où |
|---|---|
| Renseigner la stack du projet (au moins un composant) | page Stack |
| Désigner les responsables de l’organisation | Réglages › Responsables (propriétaire de l’organisation seulement) |
| Activer le projet | la page Couverture, section Projets couverts |
| Importer un premier scan (Trivy, Grype ou CycloneDX) | Stack › Scans (voir Imports, connecteurs et scans) |
La page Couverture montre ensuite ce que ce travail couvre déjà, référentiel par référentiel.
Responsables
Section intitulée « Responsables »Trois fonctions, désignées par le propriétaire de l’organisation dans Réglages › Référentiels (voir Responsables NIS2) :
- Direction : approuve ou refuse les acceptations de risque, reçoit la synthèse de conformité ;
- Responsable de la sécurité (RSSI) : reçoit les escalades et pilote le registre des fournisseurs ;
- Contact incident : reçoit les rappels des délais de déclaration (24 h, 72 h, 1 mois).
Tant que personne n’est désigné, quelqu’un s’en charge par défaut : la direction retombe sur le ou les propriétaires de l’organisation, le responsable de la sécurité sur la direction, le contact incident sur le responsable de la sécurité.
Où se trouve chaque registre
Section intitulée « Où se trouve chaque registre »NIS2 n’a plus d’espace à part : chaque registre vit là où le travail se fait, et la page Référentiels montre la couverture.
| Registre | Où | Page du guide |
|---|---|---|
| Couverture des exigences | Référentiels (/referentiels) |
Référentiels |
| Risques acceptés et atténuations | Alertes › Exceptions | Alertes |
| Échéances | Planning | Planning |
| Revues d’inventaire | bandeau de la page Stack | Stack |
| Fournisseurs | Inventaire › Fournisseurs | Fournisseurs |
| Incidents | Incidents | Incidents |
| Réglages, responsables, projets couverts | Réglages › Référentiels | Référentiels |
Qui a accès à quoi
Section intitulée « Qui a accès à quoi »L’espace est ouvert à tout membre de l’organisation. Ce que chacun y voit et fait dépend de son rôle dans l’organisation, de ses fonctions NIS2 et de ses droits sur les projets ; l’écran ne montre que ce que l’API autorise.
| Qui | Voit | Peut |
|---|---|---|
| Propriétaire de l’organisation | tous les registres de tous les projets activés, les incidents | tout ce que peut un administrateur, et désigner les responsables |
| Administrateur de l’organisation | tous les registres, les incidents | activer NIS2, régler la politique de correction, le rapport automatique et les normes suivies, gérer les fournisseurs et les incidents, générer les rapports |
| Titulaire d’une fonction (direction, sécurité, incident), désigné ou par défaut | tous les registres de tous les projets activés, les incidents, les rapports | direction : approuver, refuser, révoquer les acceptations de risque ; sécurité : gérer les fournisseurs ; les trois : gérer les incidents, générer les rapports |
| Autre membre | les registres des projets où il a le droit « Voir les registres de conformité » (lecteur et au-delà par défaut), le registre des fournisseurs | selon ses droits de projet : demander une acceptation de risque, attester une revue d’inventaire, planifier une sortie de fin de vie (analyste et au-delà par défaut) |
Les incidents sont réservés aux administrateurs et aux titulaires d’une fonction : ils peuvent contenir des éléments sensibles. Les autres voient « Accès réservé » à la place du registre.
Offre requise
Section intitulée « Offre requise »NIS2 est incluse en bloc dans les offres Pro et Business : une seule option de l’offre ouvre tout l’espace et ses modules. Sans elle, l’espace affiche « Outillez vos obligations NIS2 » ; le propriétaire y trouve Voir les offres, les autres membres un rappel que le plan est géré par le propriétaire. Retirer NIS2 de l’offre ne supprime rien : les pages sont fermées, les avis s’arrêtent, les données sont conservées.
Si l’offre donne l’espace sans l’un de ses modules, la page du module indique « … : non inclus dans votre offre ». Voir Abonnement et facturation.
Questions fréquentes
Section intitulée « Questions fréquentes »J’ai activé NIS2 mais la couverture dit « À faire ». Les registres de projet ne comptent que les projets activés que vous pouvez consulter. Vérifiez que le projet est activé (page Couverture, section Projets couverts) et que vous avez le droit « Voir les registres de conformité » sur ce projet.
Pourquoi l’onglet Risques acceptés n’apparaît-il pas ? Le registre est encore vide. Il se remplit par une demande d’acceptation depuis la fiche d’une alerte.
Désactiver NIS2 efface-t-il mes registres ? Non. Les workflows sont mis en pause et les registres masqués ; tout revient à la réactivation.
Un responsable non désigné bloque-t-il quelque chose ? Non : quelqu’un s’en charge par défaut (le propriétaire, puis la direction, puis le responsable de la sécurité). Mais la mesure « Responsables désignés » de la couverture reste partielle et la mise en route n’est pas terminée tant que les trois fonctions ne sont pas désignées.