Série Flowlysis · Fiche de tête · N° C-10 · Ce que NIS2 et DORA demandent à la direction

TRAVAILLER AVEC SON CISO

Dans une entité soumise à NIS2, la direction approuve les mesures de gestion des risques de cybersécurité et supervise leur mise en œuvre. Dans une entité financière, DORA lui confie le cadre de gestion du risque lié aux TIC. Le CISO prépare et fait vivre ces mesures. Ce qui touche au service reste au métier : durée d'arrêt, mode dégradé, accès, fournisseurs.

Pour quiCOO et comités de direction Sert àpartager les décisions avec le CISO Se lit en8 minutes À lire avecP-14, O-30 et C-08
flowlysis.
Ce qui reste au COO
1Combien de temps chaque service peut s'arrêter
2Les risques métier acceptés, signés et datés
3Les accès et les fournisseurs, côté métier
Ce que porte le CISO
1L'analyse des risques et les mesures techniques
2La détection et la coordination de la réponse
3Le rapport à la direction, qui décide
Le CISO éclaire les décisions de risque. Il ne les prend pas à la place du métier.
1

Ce qui retombe sur la direction« La cyber, c'est le sujet du CISO. » Les textes nomment la direction.

Approuver, superviser, se former
Chaque État veille à ce que les organes de direction approuvent les mesures de gestion des risques de cybersécurité, supervisent leur mise en œuvre et puissent être tenus responsables si l'entité viole l'article 21, qui fixe ces mesures. Il veille aussi à ce que leurs membres suivent une formation.
NIS2, art. 20.1 et 20.2
Notifier un incident important
Au CSIRT ou, selon le cas, à l'autorité compétente : alerte précoce sans retard injustifié et, en tout état de cause, dans les 24 h après en avoir eu connaissance ; notification d'incident dans les 72 h ; rapport final au plus tard un mois après cette notification. Si l'incident est encore en cours, rapport d'avancement, puis rapport final un mois après son traitement.
NIS2, art. 23.1 et 23.4 · fiche O-69
Secteur financier : porter le risque lié aux TIC
L'organe de direction définit, approuve, supervise le cadre de gestion du risque lié aux TIC et est responsable de sa mise en œuvre. Il assume la responsabilité ultime de la gestion de ce risque, approuve la politique de continuité TIC et alloue le budget de la résilience opérationnelle numérique.
DORA, art. 5.2 a), e) et g)
En Belgique
Toute personne physique responsable de l'entité, ou qui la représente légalement, est responsable des manquements à son devoir de veiller au respect de la loi. La loi dit incident « significatif », notifié au CCB.
Loi du 26 avril 2024, art. 8, 16, 34 et 61 ; AR du 9 juin 2024, art. 3
2

Qui est concernéQualification à faire vérifier par un juriste, et à écrire avec sa date

Entité essentielle
Une entité de l'annexe I, au-delà de la taille d'une moyenne entreprise, et d'autres cas prévus.
NIS2, art. 3.1
Entité importante
Les autres entités des annexes I ou II, dès la taille d'une moyenne entreprise. Certains acteurs sont concernés quelle que soit leur taille.
NIS2, art. 2 et 3.2
Entité financière
Pour une entité financière essentielle ou importante au sens de NIS2, DORA est l'acte sectoriel qui s'applique à sa place : risque lié aux TIC, incidents, tests, partage d'informations, prestataires tiers de services TIC.
DORA, art. 1.2 ; NIS2, art. 4 et considérant 28
Hors périmètre, mais fournisseur d'une entité soumise
Les mesures de vos clients soumis comprennent la sécurité de leur chaîne d'approvisionnement, y compris leurs relations avec leurs fournisseurs directs.
NIS2, art. 21.2 d)
En Belgique
Entités essentielles : deux échéances, 18 et 30 mois après l'entrée en vigueur de la loi (le 18 avril 2026, passée, et le 18 avril 2027) ou, pour une entité identifiée par le CCB, après cette identification. Ce qui est dû à chaque échéance dépend de la voie choisie, certification ou inspection. Entités importantes : pas d'échéance d'évaluation obligatoire.
AR du 9 juin 2024, art. 22 et 23 ; loi, art. 11, 39 et 41
3

Quelle fiche ouvrirSelon la phrase qu'on entend en comité

Chaque fiche part d'un flux que le COO possède déjà.

« On a accepté ce risque l'an dernier. Qui l'a signé ? »
Fiche P-14 · le risque a un propriétaire métier
« Si on se fait chiffrer demain, qui appelle qui ? »
Fiche O-69 · les premières heures d'un incident
« Si l'outil est indisponible trois jours, on fait comment ? »
Fiche O-70 · le mode dégradé
« Il est parti depuis des mois et il a encore accès au partage. »
Fiche O-71 · le cycle des accès
« Le fournisseur nous a envoyé son nouveau RIB par mail. »
Fiche O-72 · le changement de coordonnées bancaires
« On ne sait pas lesquels de nos prestataires peuvent nous arrêter. »
Fiche O-73 · les fournisseurs critiques
« Il y a des milliers de vulnérabilités ouvertes. »
Fiche O-75 · le stock de vulnérabilités
« C'est rouge. Je ne sais pas quoi arbitrer. »
Fiche O-74 · chiffrer un risque en euros
Le cas type

Une société de services financiers, entité financière au sens de DORA selon ses juristes. Les chiffres sont des hypothèses du cas.

Le déclencheur
Le comité prépare la revue de la politique de continuité TIC, que l'organe de direction approuve. Elle fixe un délai de reprise de 48 h pour six services, choisi par l'IT seule. Aucun responsable métier n'a dit combien de temps son service peut s'arrêter.
Le geste
Le COO demande à chaque responsable sa durée d'arrêt tolérable et le coût d'une heure d'arrêt. L'IT, avec le CISO, chiffre ce que coûte de tenir chaque durée.
Ce qu'ils ont vu
Deux services sur six ne tolèrent pas 48 h : les paiements des clients (4 h) et le centre de contact (24 h).
La décision
Reprise des paiements en moins de 4 h, financée. Mode dégradé pour le centre de contact au-delà de 24 h, risque résiduel signé par sa directrice, révisé dans un an.
Refaites-le : une ligne par service, sa durée tolérable face au délai de l'IT
Qui tranche quoi À droite, le cas type chiffré.
UNE LIGNE PAR DÉCISION LE COO TRANCHE, AVEC LES RESPONSABLES MÉTIER La durée d'arrêt tolérable de chaque service O-70 Le CISO apporte : avec l'IT, ce que coûte le délai de reprise qui la tient Le mode dégradé, et le moment où l'on y passe O-70 Le CISO apporte : les systèmes touchés et leur état L'acceptation d'un risque métier, signée et datée P-14 Le CISO apporte : le scénario, l'estimation, le coût de la mesure écartée Le circuit des accès, côté RH et managers O-71 Le CISO apporte : la liste des droits sensibles et le rythme de leur revue Le choix et le contrat des fournisseurs O-73 Le CISO apporte : les exigences de sécurité, pour les seuls critiques LE CISO TRANCHE, ET REND COMPTE L'analyse des risques O-74 Le COO apporte : les services, leurs volumes, le coût d'une heure d'arrêt Les mesures techniques O-75 Le COO apporte : les fenêtres de maintenance et la capacité de correction La détection Le COO apporte : ce qui paraît anormal dans le métier, un paiement, un accès La coordination de la réponse à un incident O-69 Le COO apporte : les décisions de crise métier, nommées d'avance Le rapport à la direction O-11 Le COO apporte : une place fixe à l'ordre du jour du comité LE CAS · DURÉE D'ARRÊT TOLÉRABLE Fixée par le métier, face au délai de reprise de 48 h choisi par l'IT. IT : 48 h Paiements des clients 4 h Centre de contact 24 h Ouverture de compte 72 h Gestion des contrats 72 h Réclamations 4 jours Archivage des pièces 10 jours 0 24 h 72 h ≥ 120 h CE QUE LE COMITÉ EN A FAIT Paiements : une heure d'arrêt coûte 6 000 €. Arrêt de 48 h au lieu de 4 h : (48 − 4) × 6 000 € = 264 000 €. Reprendre en moins de 4 h, chiffré par l'IT : 120 000 € par an, 45 % d'un seul arrêt de 48 h. Financé. Centre de contact : une heure d'arrêt coûte 800 €. (48 − 24) × 800 € = 19 200 €. Mode dégradé, risque signé. Quatre services sur six : 48 h suffisent, rien ne change. Le délai de reprise doit normalement être plus court que la durée tolérable.

À gauche, le partage des décisions entre COO et CISO, sur le principe de la fiche O-30. À droite, chaque barre est la durée d'arrêt tolérable fixée par le métier ; le trait, le délai de reprise fixé par l'IT.

Les trois piègesEt ce qu'on fait à la place

Confondre conformité et sécuritéLe dossier d'évaluation est complet, et personne n'a vérifié que le service repart dans le délai voulu. Une case cochée ne dit rien de la capacité à tenir le service. On teste la reprise, en vrai.
Conclure soi-même sur le périmètre« Nous ne sommes pas concernés » se dit en comité, sans texte en main. La qualification se fait vérifier, s'écrit, se date, et se revoit quand l'activité change.
Faire du CISO le propriétaire de tous les risquesIl signe les acceptations à la place du métier, et personne ne répond du service. Le risque appartient au responsable du processus concerné (fiche P-14).
La phrase à retenirLe CISO dit ce que coûte un risque. Le COO décide combien de temps son service peut s'arrêter.