La directive NIS2 définit plusieurs exigences minimales pour les équipes de réponse aux incidents de sécurité informatique (CSIRT). Ces exigences couvrent divers aspects, notamment la communication, l’infrastructure, les capacités techniques et les tâches opérationnelles.

[Callforaction-NIS2]

Communication et Disponibilité :

• Canaux de communication multiples : Les CSIRT doivent garantir une haute disponibilité des canaux de communication et éviter les points de défaillance uniques. Ils doivent fournir diverses méthodes permettant aux entités de les contacter et vice-versa, assurant ainsi une accessibilité constante.
• Canaux de communication clairs : Les canaux de communication choisis doivent être clairement identifiés et portés à la connaissance de la base d’utilisateurs et des partenaires du CSIRT. Cette transparence garantit que les entités peuvent facilement joindre le CSIRT en cas de besoin.

Sécurité et Infrastructure :

• Emplacement sécurisé : Les CSIRT doivent opérer depuis des lieux sécurisés, protégeant leurs sites physiques et leurs systèmes informatiques contre les accès non autorisés, les menaces environnementales et autres risques.
• Infrastructure sécurisée et résiliente : Une infrastructure de communication et d’information dédiée, sécurisée et résiliente est cruciale pour que les CSIRT puissent échanger des informations avec les entités essentielles et importantes ainsi qu’avec les parties prenantes. Cette infrastructure doit faciliter une communication sécurisée et fiable, tout en résistant aux interruptions.
• Outils sécurisés de partage d’informations : Les États membres sont tenus de veiller à ce que leurs CSIRT contribuent au développement d’outils sécurisés pour le partage d’informations. Cet effort collaboratif vise à établir des mécanismes de confiance pour l’échange d’informations sensibles en matière de cybersécurité.

Capacités techniques et ressources :

• Ressources adéquates : Les États membres ont l’obligation d’allouer des ressources suffisantes à leurs CSIRT, leur permettant d’accomplir efficacement leurs tâches. Ces ressources comprennent le personnel, le financement et l’infrastructure technique.
• Expertise technique collective : Les États membres doivent s’assurer que leurs CSIRT désignés possèdent, collectivement, les capacités techniques nécessaires pour remplir leurs fonctions telles que décrites à l’article 11, paragraphe 3 de la directive NIS2. Cela nécessite de fournir aux CSIRT des ressources suffisantes pour la formation et le développement afin d’améliorer leur compétence technique.

Tâches opérationnelles et responsabilités :

• Surveillance et analyse : Les CSIRT sont chargés de surveiller et d’analyser les menaces, les vulnérabilités et les incidents de cybersécurité au niveau national. Ils doivent fournir une assistance aux entités essentielles et importantes, sur demande, pour soutenir la surveillance en temps réel ou quasi réel de leurs réseaux et systèmes d’information.
• Alerte précoce et avis : Les CSIRT jouent un rôle critique dans l’émission d’alertes précoces, d’avis et de bulletins. Ils doivent diffuser des informations concernant les menaces, les vulnérabilités et les incidents de cybersécurité aux parties prenantes concernées, y compris les entités essentielles et importantes, les autorités compétentes et autres parties intéressées, de manière opportune, idéalement en temps quasi réel.
• Réponse aux incidents et support : Lorsque des incidents surviennent, les CSIRT sont censés fournir une réponse coordonnée. Ils doivent offrir une assistance aux entités essentielles et importantes touchées, en les aidant à atténuer l’impact des incidents et à rétablir la normale.
• Analyse forensique et conscience situationnelle : Les CSIRT sont responsables de la collecte et de l’analyse des données forensiques à la suite d’incidents. Cette analyse contribue à une compréhension dynamique des risques et des incidents et aide à maintenir une conscience situationnelle globale en matière de cybersécurité.
• Analyse proactive des vulnérabilités : Sur demande, les CSIRT doivent être en mesure de mener des analyses proactives des réseaux et systèmes d’information des entités essentielles ou importantes. Ces analyses visent à identifier les vulnérabilités qui pourraient avoir un impact significatif si elles étaient exploitées.
• Collaboration et assistance mutuelle au sein du réseau CSIRT : Les CSIRT sont tenus de participer activement au réseau CSIRT, en favorisant la collaboration et en fournissant une assistance mutuelle aux autres membres en fonction de leurs capacités et de leur expertise. Cette approche collaborative améliore la résilience globale du réseau et permet une réponse plus coordonnée et efficace aux incidents de cybersécurité. Pour les entités NIS, la directive prévoit également l’obligation de désigner un référent CSIRT, une figure distincte du point de contact général.
• Coordination de la divulgation des vulnérabilités : Les CSIRT peuvent agir en tant que coordinateurs pour la divulgation des vulnérabilités, servant d’intermédiaires de confiance entre ceux qui signalent les vulnérabilités et les fabricants ou fournisseurs de services TIC de produits potentiellement vulnérables.

Exigences supplémentaires :

• Gestion des demandes : Les CSIRT doivent disposer d’un système pour gérer et escalader efficacement les demandes reçues, en particulier lors d’incidents de cybersécurité. Cela garantit une approche rationalisée dans la gestion des demandes d’informations et d’assistance.
• Confidentialité et fiabilité : Maintenir la confidentialité et garantir la fiabilité opérationnelle sont fondamentaux pour les CSIRT. Cela implique de protéger les informations sensibles, de respecter les réglementations sur la protection des données et de maintenir des services cohérents et fiables.
• Personnel et compétence : Les CSIRT doivent être dotés d’un personnel adéquat pour fournir un service continu et garantir une disponibilité 24/7. De plus, les membres du personnel doivent recevoir une formation appropriée pour développer les compétences nécessaires à la gestion efficace de leurs tâches. Il convient de noter que la distinction entre point de contact et référent CSIRT introduite par la Détermination ACN n° 333017/2025 clarifie les rôles internes que les organisations doivent superviser.
• Redondance et sauvegarde : La mise en œuvre de mesures de redondance et la disposition d’espaces de travail de secours sont cruciales pour que les CSIRT puissent maintenir la continuité opérationnelle lors d’interruptions. Cela inclut des systèmes de sauvegarde, des canaux de communication alternatifs et le stockage de données hors site.
• Coopération internationale : Les CSIRT sont encouragés à établir des relations de coopération avec leurs homologues dans d’autres pays, en particulier avec les CSIRT nationaux des pays tiers. Cette collaboration vise à faciliter l’échange d’informations, à partager les meilleures pratiques et à renforcer les efforts mondiaux en matière de cybersécurité.

Priorisation basée sur le risque :

Les sources soulignent que les CSIRT peuvent prioriser leurs tâches en utilisant une approche basée sur le risque. Cette flexibilité leur permet d’allouer des ressources et de se concentrer sur les activités les plus critiques en fonction de l’évolution du paysage des menaces et de l’impact potentiel des incidents. Cette priorisation basée sur le risque assure une utilisation plus efficace des ressources et une réponse plus efficace aux défis de cybersécurité les plus urgents.

Les sources notent également que les exigences pour les CSIRT s’ajoutent à toute législation nationale ou européenne existante sur la protection des données et la sauvegarde des informations classifiées. Pour les organisations qui doivent vérifier leur périmètre d’application et entamer un parcours structuré de mise en conformité, le support à la conformité à la directive NIS2 offert par ISGroup couvre à la fois l’évaluation initiale et la mise en œuvre des mesures requises. Des détails supplémentaires sur les échéances et les modalités d’inscription à la liste ACN sont disponibles dans l’article dédié à l’ACN et la liste NIS2.

Questions fréquentes sur les exigences CSIRT dans la NIS2

• Toutes les entités NIS2 doivent-elles se doter de leur propre CSIRT interne ?
• Non. La directive NIS2 prévoit que les CSIRT nationaux soient institués par les États membres. Les entités essentielles et importantes ne sont pas tenues de créer un CSIRT interne autonome, mais doivent pouvoir interagir avec le CSIRT national de référence et respecter les obligations de notification des incidents. Certaines grandes organisations choisissent néanmoins de se doter de capacités internes de réponse aux incidents.
• Quelle est la différence entre le référent CSIRT et le point de contact NIS2 ?
• Ce sont deux figures distinctes. Le point de contact est le référent de l’organisation auprès des autorités compétentes pour les communications générales liées à la NIS2. Le référent CSIRT est quant à lui la personne désignée pour les interactions opérationnelles avec le CSIRT national en cas d’incident. La Détermination ACN n° 333017/2025 a clarifié cette distinction et les obligations de désignation associées.
• Comment lancer concrètement un parcours de conformité NIS2 pour une organisation soumise à la directive ?
• Le point de départ est de vérifier si l’organisation entre dans le périmètre NIS2 et de procéder à l’inscription sur la liste ACN dans les délais prévus. Ensuite, il convient de mener une évaluation des risques, d’identifier les mesures de sécurité à mettre en œuvre et de définir les procédures de notification des incidents. Un parcours structuré prévoit également la formation du personnel et la révision périodique des mesures adoptées.

[Callforaction-NIS2-Footer]