Formation : NIS 2 Lead implementer

Jour 1 – matin : introduction et cadre réglementaire

• Définition de NIS2
  • L’objectif de la directive NIS 2
  • Pourquoi NIS 2 après NIS 1, quelles différences
  • Le passage de services concernés à entités concernées
  • L’augmentation du nombre de secteurs concernés
  • La fin du principe de désignation par l’État
  • Les sanctions accrues
  • Le périmètre par défaut
  • Le principe de self-assessment
• Mécanisme d’entrée en vigueur de NIS2
  • La position de NIS 2 dans le paysage législatif européen relatif à la sécurité de l’information (DORA, REC, RGPD, EIDAS, IA, CRA, DSA, DMA, etc.)
  • Le principe de transposition en droit national
  • Focus sur la juridiction intra EU
  • Le principe des actes d’exécution et de leur articulation avec les transpositions nationales

• Structure de la directive
• • Les attendus de la directive
  • Les définitions et annexes
  • Les articles pour les États et exigences associées
  • Les articles pour les entités et exigences associées

Jour 1 – après-midi : les implications de NIS 2 et des risques de non-conformité pour la sécurité de vos systèmes d’information

• Gouvernance : approbation des risques et formation des dirigeants (Art 20)
• La base de données d’enregistrement des noms de domaine (Art 28)
• La notification des incidents auprès de l’autorité nationale (Art 23 et Art 30)
• La mise en œuvre des mesures de sécurité organisationnelles et techniques (dénommées « mesures de gestion des risques » : Art 21)
• L’appréciation des risques
• Le principe de présomption de conformité
• Le périmètre d’application des mesures
• Les motivations derrière les 10 thèmes prescrits par l’Art 21

Jour 2 – matin : les différentes approches possibles en matière de mise en conformité afin d’évaluer laquelle est la plus pertinente pour votre organisation

• L’approche « Good Enough » : une mise en conformité minimale et pragmatique
• L’approche « Exhaustive » sur les mesures critiques + « Best Effort » sur les aspects à moindre risque : une stratégie équilibrée
• L’identification de l’approche pertinente pour votre organisation en fonction des ressources et des obligations réglementaires
• Atelier pratique : auto-évaluation des capacités et priorisation des efforts

Jour 2 – après-midi : élaboration du plan d’action de mise en conformité

• Les principes clés pour concevoir un plan projet efficace
• La structure du plan d’action :
  • Identification des actions requises pour répondre aux exigences de NIS 2
  • Hiérarchisation des actions selon les priorités définies par l’Appréciation des Risques
• Les bénéfices d’un plan structuré : amélioration de la visibilité, réduction des risques, et respect des délais réglementaires

Jour 3 – matin : analyse d’écart (Gap Analysis)

• La formalisation de la Gap Analysis :
  • La définition des Exigences de Haut Niveau (EHN) et la déclinaison en exigences de bas niveau.
  • L’évaluation du niveau de conformité actuel pour chaque exigence
  • La documentation des preuves de conformité disponibles
• L’utilité de la Gap Analysis :
  • L’identification des lacunes dans les processus ou outils existants
  • L’exploitation des informations essentielles pour élaborer le plan d’action

Jour 3 – après-midi : cartographie de l’écosystème et gestion des parties prenantes

• Le mapping des clients des services essentiels :
  • L’identification de leurs attentes en matière de sécurité et de conformité
  • L’identification des preuves de conformité à leur fournir
• La cartographie des tiers contributeurs :
  • La nature de leur contribution et impact sur la sécurité
  • La définition d’actions à mettre en place en interne et celles à exiger des sous-traitants

Jour 4 – matin : implémentation des mesures organisationnelles et techniques

• Le déploiement des mesures organisationnelles :
  • La mise en place d’une gouvernance de la sécurité adaptée aux obligations de NIS 2
  • La structuration des politiques internes de gestion des risques et de cybersécurité
  • La documentation et la traçabilité des actions entreprises
• La mise en œuvre des mesures techniques prescrites par l’Art 21 de NIS 2 :
  • La sécurisation des infrastructures et des accès
  • La détection et la réponse aux incidents de sécurité
  • La supervision continue et le reporting des incidents

Jour 4 – après-midi : pilotage et suivi de la conformité

• La détermination des indicateurs de suivi et de pilotage :
  • La définition des KPI de conformité et de performance en cybersécurité
  • La mise en place de tableaux de bord de suivi
• Le plan d’action et d’amélioration continue :
  • L’organisation des audits internes et revues de conformité.
  • L’intégration des cycles d’amélioration continue (Plan – Do – Check – Act)
• Les bénéfices d’un Système de Management de la Sécurité de l’Information (SMSI) :
  • Comprendre comment un SMSI structure la conformité et optimise les efforts
  • Le lien entre NIS 2 et les normes ISO 27001
  • Le passage d’une mise en conformité ponctuelle à une approche pérenne.
• La gestion des ressources et externalisation :
  • Le choix entre internalisation et sous-traitance des actions de mise en conformité
  • La sélection des prestataires conformes aux exigences NIS 2.
  • La gestion de la relation avec les tiers en assurant un contrôle continu.

Jour 5 – matin : évaluation et amélioration continue de la mise en conformité

• L’évaluation et l’analyse des actions mises en place : comment mesurer l’avancement et structurer le suivi ?
• Les outils de suivi de la conformité : tableaux de bord, reporting, mises à jour régulières, etc.
• L’évaluation de l’efficacité des mesures NIS 2 : indicateurs clés (KPI), délais de réponse, taux de couverture des exigences
• Les audits et contrôles : plan d’audit interne/externe, méthodologie d’évaluation
• Les preuves de conformité et gestion des écarts : comment justifier les non-conformités et définir un plan d’assurance sécurité ?

Jour 5 – après-midi : Atelier de mise en application

• Élaboration d’un plan d’action structuré et application des compétences acquises durant la formation :
  • Étape 1 : Étude de cas, identification des obligations NIS 2 et cartographie des acteurs clés.
  • Étape 2 : Construction du plan d’action, priorisation des actions, allocation des ressources, définition des indicateurs.
  • Étape 3 : Présentation et feedbacks, échanges collectifs pour optimiser les stratégies.