Certification RSSI : Checklist en 12 Points

**Certification RSSI : Checklist en 12 Points pour la Conformité NIS2**

**Introduction**

La directive (UE) 2022/2555, également connue sous le nom de directive NIS2, est une réglementation européenne visant à améliorer la cybersécurité dans l’Union européenne. Cette directive remplace et abroge la directive NIS1, qui couvrait 7 secteurs. La NIS2 élargit considérablement le champ d’application à **18 secteurs** répartis en deux annexes, selon leur niveau de criticité. Les entités opérant dans ces secteurs doivent s’aligner sur les nouvelles exigences, notamment la mise en place d’un **certificat de responsable de la sécurité des systèmes d’information (RSSI)**.

**Section 1 : La Directive NIS2 – Qu’est-ce que cela signifie pour vous ?**

– Le champ d’application de la NIS2 concerne **18 secteurs**, répartis en deux annexes :
– **Annexe I : 11 secteurs hautement critiques** (entités essentielles) : énergie, transports, secteur bancaire, infrastructures de marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (B2B), administration publique, espace.
– **Annexe II : 7 secteurs critiques** (entités importantes) : services postaux et de messagerie, gestion des déchets, fabrication et production, fabrication de produits chimiques, production et transformation des denrées alimentaires, fabrication d’équipements spécifiques, fournisseurs numériques, recherche.
– Les **entités essentielles** doivent se conformer aux exigences du **chapitre III** de la directive.
– Les **entités importantes** ont des obligations légèrement moins contraignantes mais doivent toujours satisfaire à certaines exigences.

**Section 2 : Qui est Responsable de la Sécurité des Systèmes d’Information (RSSI) ?**

– La NIS2 impose l’existence d’un **RSSI** dans chaque entité concernée.
– Le RSSI est **responsable de la sécurité** des systèmes d’information de l’entité.
– Ses **compétences** incluent la définition et la mise en œuvre de la politique de cybersécurité, la supervision de la cybersécurité, la gestion des incidents, et la communication avec les parties prenantes.

**Section 3 : Quels Sont les Devoirs du Responsable de la Sécurité des Systèmes d’Information (RSSI) ?**

– **Gestion des risques** : Le RSSI doit identifier, évaluer, prioriser et traiter les risques pour la sécurité des systèmes d’information.
– **Mesures de cybersécurité** : Il doit mettre en œuvre des mesures de cybersécurité appropriées pour atténuer les risques identifiés.
– **Incidents** : Le RSSI est chargé de la gestion des incidents, y compris la déclaration des incidents à l’autorité compétente (ANSSI en France).
– **Comptes-rendus** : Il doit tenir des comptes-rendus sur les mesures prises et les résultats obtenus.

**Section 4 : Comment Se Conformer à la Directive NIS2 ?**

– **Certification RSSI** : Les entités doivent obtenir la certification de leur RSSI.
– **Plan de cybersécurité** : Ils doivent élaborer et mettre en œuvre un plan de cybersécurité.
– **Contrôle périodique** : Des audits et des évaluations périodiques sont nécessaires pour s’assurer de la conformité.

**Section 5 : Quels sont les Sanctions en Cas de Non-Conformité ?**

– Les entités qui ne se conforment pas à la directive NIS2 peuvent être sanctionnées. Les sanctions varient en fonction de la gravité de la non-conformité, allant jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires annuel mondial pour les entités essentielles, et 7 millions d’euros ou 1,4% pour les entités importantes.

**Encadré Récapitulatif**

– **18 secteurs** concernés par la NIS2.
– **Certification RSSI** obligatoire.
– **Plan de cybersécurité** élaboré et mis en œuvre.
– **Contrôle périodique** pour s’assurer de la conformité.
– **Sanctions** en cas de non-conformité.

**FAQ**

– **Q : Qu’est-ce que la NIS2 ?**
A : Directive européenne visant à améliorer la cybersécurité.

– **Q : Qui est responsable de la sécurité des systèmes d’information (RSSI) ?**
A : Un responsable de la sécurité des systèmes d’information est désigné par chaque entité concernée.

– **Q : Quels sont les devoirs du RSSI ?**
A : Identifier et traiter les risques pour la sécurité des systèmes d’information, mettre en œuvre des mesures de cybersécurité, gérer les incidents, tenir des comptes-rendus.

– **Q : Quels sont les sanctions en cas de non-conformité ?**
A : Les sanctions varient mais peuvent aller jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires annuel mondial pour les entités essentielles.

**Call-to-Action**

Pour aider votre entité à se conformer à la directive NIS2, nous vous invitons à consulter notre page d’accompagnement en matière de cybersécurité : [lien vers page d’accompagnement].