Guide
NIS2 et sauvegarde : ce que la loi attend de vos sauvegardes
L'article 21 de NIS2 exige une gestion des sauvegardes, la continuité des activités et une reprise testée. Ce que cela signifie concrètement pour une entreprise belge, comment CyFun le traduit et quelles preuves un auditeur veut voir.
À qui s'applique NIS2
La directive européenne NIS2 a été transposée en Belgique par la loi du 26 avril 2024, avec le Centre pour la Cybersécurité Belgique (CCB) comme autorité de contrôle. Elle s'applique aux entités « essentielles » et « importantes » dans des secteurs comme l'énergie, les transports, les soins de santé, l'eau, les infrastructures numériques, l'alimentation, la chimie, les déchets et la fabrication de machines et de véhicules, entre autres. Le seuil est généralement celui des entreprises moyennes (50 travailleurs ou 10 millions d'euros de chiffre d'affaires), mais les fournisseurs d'une entité NIS2 se voient souvent transmettre les exigences par contrat.
Même qui n'est pas visé par la loi y est donc confronté : via ses clients, ses assureurs, les marchés publics.
Ce que dit l'article 21 sur la sauvegarde
L'article 21, paragraphe 2, énumère dix mesures que chaque entité doit prendre. Le point (c) dit : la continuité des activités, telle que la gestion des sauvegardes et la reprise des activités, et la gestion des crises. S'y ajoutent (a) l'analyse des risques, (f) les politiques et procédures pour évaluer l'efficacité des mesures et (h) la cryptographie et le chiffrement, directement pertinents pour les sauvegardes.
Trois mots font le travail : gestion, reprise et évaluer l'efficacité. Avoir une sauvegarde ne suffit pas. Vous devez pouvoir montrer qu'elle est gérée (qui, à quelle fréquence, conservée combien de temps), qu'il existe un plan pour s'en servir, et que vous vérifiez régulièrement que ce plan fonctionne.
Comment CyFun le traduit
Le CCB a publié le CyberFundamentals Framework (CyFun) comme mise en œuvre pratique, avec les niveaux Basic, Important et Essential. Pour la sauvegarde, ces exigences comptent le plus :
| CyFun | Exigence | Ce que vous devez pouvoir montrer |
|---|---|---|
| PR.IP-4 | Les sauvegardes d'informations sont réalisées, maintenues et testées | planification, conservation, résultats de test par système |
| PR.DS-1 | Les données au repos sont protégées | chiffrement, et qui détient la clé |
| PR.PT-5 | Mécanismes de résilience | copie immuable, site séparé |
| RC.RP-1 | Le plan de reprise est exécuté pendant ou après un incident | un plan de reprise testé avec des temps de restauration mesurés |
| DE.CM | Surveillance continue | alertes en cas de sauvegarde échouée ou d'anomalie |
Le niveau Important exige explicitement que l'intégrité des sauvegardes soit contrôlée et que les sauvegardes soient conservées hors ligne ou séparées du réseau. Le niveau Essential ajoute des tests de restauration réguliers.
Ce qu'un auditeur veut voir
Un auditeur ne lit pas des promesses. Par période, il veut :
- Quels systèmes sont protégés, et à quelle fréquence.
- Que les sauvegardes ont réussi, avec date et taille.
- Qu'elles ont été restaurées, par qui, quand, en combien de temps.
- Que le stockage est immuable et où il se trouve.
- Qui a accès aux clés.
- Que tout cela n'a pas pu être réécrit après coup.
Ce dernier point est le plus difficile. Un journal dans un tableur ne prouve rien. Un registre qui ne peut que grandir, dont chaque ligne renvoie à la précédente et qui est ancré publiquement chaque jour, si.
Ce que Zekura fait pour NIS2
Zekura émet chaque trimestre un rapport par organisation avec exactement ces six points, en néerlandais, français ou anglais. À la fin figure la correspondance normative : pour chaque exigence de l'article 21(2)(c) de NIS2, ISO/IEC 27001:2022 A.8.13, CyFun PR.IP-4, DORA articles 11 et 12 et RGPD article 32(1)(c), quelle preuve figure dans le rapport et si l'exigence est satisfaite, jugé sur les faits de la période. Le sha256 du rapport entre dans la chaîne de preuve, que l'auditeur peut recalculer sans Zekura.
Le rapport n'a pas besoin de venir de nous pour être utile : un auditeur peut vérifier lui-même l'export de la chaîne par rapport au point d'ancrage publié chaque jour.
Une liste de contrôle pratique
- Est-il défini quels systèmes sont sauvegardés, à quelle fréquence et pour combien de temps ? Cela figure-t-il dans une politique qu'un propriétaire a signée ?
- Au moins une copie est-elle immuable, avec une durée de conservation qui couvre votre risque ?
- Chaque sauvegarde est-elle vérifiée automatiquement, et au moins un système est-il réellement restauré chaque semaine ?
- Connaissez-vous votre temps de restauration réel, mesuré et non estimé ?
- Quelqu'un reçoit-il une alerte quand une sauvegarde échoue ou ne démarre pas, et cette alerte est-elle confirmée ?
- Pouvez-vous encore démontrer tout cela pour un trimestre quelconque de l'an dernier ?
Qui répond oui aux six a le volet sauvegarde de NIS2 en ordre. Pour le reste de la chaîne (politique, analyse des risques, notification d'incidents), Zekura collabore avec Konforma, qui tient le dossier de conformité.
Questions fréquentes
Dois-je déclarer mes sauvegardes au CCB ?
Non. Vous devez déclarer les incidents (une première notification dans les 24 heures, une mise à jour dans les 72 heures). Vos sauvegardes sont ce qui vous aide à vous remettre d'un tel incident, et la preuve que vous avez pris les mesures de l'article 21.
La sauvegarde de mon partenaire IT suffit-elle ?
Si votre partenaire IT vous fournit la preuve chaque trimestre, oui. Demandez-la. Un bon partenaire l'a sous la main ; Zekura est conçu pour que les partenaires IT puissent le faire automatiquement pour chaque client.
Cela vaut-il aussi pour Microsoft 365 ?
Oui. Vos mails et documents relèvent de votre sécurité de l'information, pas de celle de Microsoft. Lisez le guide sur la sauvegarde de Microsoft 365.