// réalisation
Une démarche de mise en conformité NIS2 et ANSSI
Cette fiche décrit une méthode, volontairement et uniquement. Les écarts constatés, les mesures compensatoires retenues et le calendrier d’un système d’information réel n’ont rien à faire sur une page publique : les publier reviendrait à en dresser la carte pour qui voudrait s’en servir.
Ce qui peut se dire tient en une idée. Un référentiel se lit comme une liste de questions, pas comme une liste de cases à cocher. La question n’est pas « est-ce que la mesure existe » mais « qu’est-ce qui se passe quand elle échoue », et c’est cette seconde lecture qui produit des décisions utiles.
Le reste est une affaire de priorisation. Un référentiel ne dit pas dans quel ordre agir ; il faut le déduire du risque réel et du coût d’exploitation de chaque mesure. Une mesure coûteuse à maintenir sera contournée dans les six mois, ce qui est pire que de ne pas l’avoir posée, parce qu’on la croit en place.
Une conformité qui ne change rien à l'exploitation quotidienne n'est pas une conformité, c'est un classeur.
- contexte
- Un système d'information à aligner sur un référentiel exigeant, avec une équipe qui doit continuer à produire pendant ce temps.
- contrainte
- Transformer un référentiel en décisions applicables, sans arrêter l'exploitation ni produire de la documentation qui ne sert à personne.
- démarche
- Lecture du référentiel comme une liste de questions, pas comme une liste de cases.
- État des lieux mesuré plutôt que déclaratif.
- Priorisation par le risque réel et par le coût d'exploitation, pas par l'ordre du document.
- Intégration des mesures au fonctionnement courant, de sorte qu'elles survivent à l'audit.
- résultat
- Démarche en cours, pilotée avec une trajectoire et des priorités assumées.
- Volet RGPD traité conjointement plutôt qu'en parallèle.
- période
- 2025 - présent
- rôle
- Pilote de la démarche
- compétences
- Durcissement PAM
- segmentation réseau
- OpenVAS
- Nuclei
- LUKS