Avant les outils de détection, avant les tests d'intrusion, NIS2 suppose une base que beaucoup d'organisations n'ont pas : savoir précisément quels actifs elles exploitent, qui en est responsable et lesquels sont critiques.
Le constat est sévère. Dans les données du rapport DBIR 2025 de Verizon, 46 % des systèmes compromis susceptibles de contenir des identifiants d'entreprise n'étaient pas rattachés à la gestion centrale de l'organisation. IBM estime à 283 jours en moyenne le délai pour détecter et contenir une violation lorsque les données touchées sont réparties sur plusieurs environnements.
Le problème n'est pas l'absence d'information mais sa dispersion. Les données existent dans une base de configuration, dans les consoles cloud, dans des tableurs tenus par des équipes différentes. Le périmètre s'est élargi : ressources cloud, applications SaaS, identités, accès de tiers, objets connectés, systèmes industriels. La norme ISO 27001 impose déjà un inventaire des actifs avec des propriétaires désignés. NIS2 ne prescrit pas d'outil, mais exige des mesures techniques et organisationnelles appropriées, impossibles à justifier sans savoir ce que l'on protège.
La bonne approche est progressive. Inutile de viser l'exhaustivité d'emblée : une fiche avec un propriétaire, une localisation et un niveau de criticité suffit pour démarrer, en commençant par les comptes à privilèges et les systèmes industriels proches de la production. Un registre exploitable peut être construit en une dizaine de semaines.
Le bénéfice se mesure le jour où une vulnérabilité critique est publiée. Une équipe qui sait en quelques minutes quels systèmes sont concernés et qui doit agir gagne des jours sur celle qui doit d'abord chercher.
#NIS2 #Cybersecurite #InventaireDesActifs #CMDB #RSSI #DSI #ISO27001 #GestionDesVulnerabilites #IAM #OT #Conformite #GouvernanceIT
