Cadres de l’ENISA
L’ENISA — l’Agence de l’Union européenne pour la cybersécurité — ne délivre pas de certification unique comme le font certains référentiels. Elle publie des lignes directrices, des méthodologies d’évaluation des risques et des normes techniques qui alimentent la politique et la législation de l’UE en matière de cybersécurité, notamment la directive NIS2, qui constitue le principal point de contact entre la plupart des organisations et les travaux de l’ENISA dans la pratique : non pas sous la forme d’une exigence directe de l’ENISA, mais en tant que base des attentes des régulateurs nationaux au titre de la directive NIS2.
De ce fait, la « conformité à l’ENISA » relève d’une approche légèrement différente de celle de la conformité à une norme formelle telle que l’ISO 27001. Il s’agit moins de suivre une liste de contrôle unique que de comprendre quelles parties des recommandations de l’ENISA s’appliquent réellement à votre secteur et à la taille de votre organisation, et comment celles-ci se traduisent par les obligations spécifiques que votre autorité de régulation nationale impose en vertu de la législation européenne en matière de cybersécurité.
C’est là que le bât blesse
Si vous exercez votre activité dans un secteur couvert par la directive NIS2 — énergie, transports, santé, infrastructures numériques et une liste croissante d’autres secteurs —, la question pratique n’est pas de savoir si les recommandations de l’ENISA sont pertinentes dans l’abstrait, mais de savoir si la mise en œuvre nationale de la directive NIS2 dans votre pays comporte des exigences spécifiques et exécutoires qui découlent de ces recommandations, et quelles sont vos échéances réelles ainsi que vos obligations en matière de rapports.
Comment j’aborderais la question
Je commence par déterminer ce qui s’applique concrètement à votre organisation : secteur d’activité, taille, et quelle transposition nationale de la directive «NIS2» régit votre organisation, car les directives européennes sont mises en œuvre de manière quelque peu différente d’un pays à l’autre. À partir de là, je procède à une analyse des écarts par rapport aux mesures spécifiques de gestion des risques et aux obligations de signalement des incidents qui s’appliquent, en m’appuyant sur votre infrastructure réelle plutôt que sur un modèle générique valable à l’échelle de l’Union européenne.
Si vous cherchez à comprendre ce que les recommandations du NIS2 et de l’ENISA exigent réellement de votre organisation, examinons cela ensemble.