Exigences de conformité pour les infrastructures critiques
Les entreprises énergétiques et les services publics sont classés comme opérateurs de services essentiels (OSE) au titre de la directive européenne NIS2 — les soumettant à des obligations contraignantes en matière de gestion des risques de cybersécurité, de signalement des incidents et de sécurité de la chaîne d'approvisionnement. Le non-respect de ces obligations entraîne des amendes administratives pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial au titre de la directive NIS2.
Directive NIS2 — Obligations principales
- Mesures de gestion des risques de cybersécurité proportionnées au risque
- Signalement des incidents : incidents significatifs au CSIRT national dans les 24 heures, rapport complet dans les 72 heures
- Sécurité de la chaîne d'approvisionnement — évaluation des pratiques de sécurité des fournisseurs et prestataires de services
- Mesures de continuité d'activité — gestion des sauvegardes, reprise après sinistre, gestion de crise
- Responsabilité de la direction — la directive NIS2 engage explicitement la responsabilité personnelle des organes de direction
Alignement ISO 27001 et NIS2
L'ISO 27001:2022 fournit le cadre le plus complet pour satisfaire aux exigences de gestion des risques de cybersécurité de l'article 21 de la directive NIS2. Le programme de préparation NIS2 de BALTUM met en correspondance les contrôles de votre SMSI ISO 27001 avec les obligations NIS2 — identifiant les écarts et fournissant une feuille de route de remédiation priorisée, alignée sur la date limite de transposition NIS2 de votre État membre.
Sécurité OT et ICS
Les organisations du secteur de l'énergie et des services publics sont confrontées au défi supplémentaire de la sécurité des technologies opérationnelles (OT) et des systèmes de contrôle industriel (ICS) — des domaines qui ne sont pas entièrement couverts par les référentiels axés sur l'IT. BALTUM travaille avec des auditeurs spécialistes OT pour étendre le périmètre ISO 27001 aux environnements SCADA, DCS et ICS, en référence aux normes IEC 62443 le cas échéant.