La partie discrète du régime
La date limite d’enregistrement prévue par le Decreto-Lei n.º 125/2025 a dominé les discussions au sein des équipes de sécurité portugaises pendant trois mois, ce qui se comprend - les échéances concentrent l’attention. C’est aussi un peu regrettable, car l’enregistrement est ce que le régime exige de moins contraignant.
Ce qui commence maintenant est une obligation continue, composée de trois éléments qui fonctionnent tout autrement qu’un simple dépôt : une cadence de notification des incidents mesurée en heures, une disposition sur la responsabilité de la direction qui engage les personnes à titre individuel, et une relation de supervision qui, pour les entités essentielles, peut s’exercer de manière proactive et pas uniquement lorsque quelque chose a mal tourné.
Si vous vous êtes enregistré au cours des deux dernières semaines, voici l’article à transmettre à la personne qui porte désormais cette obligation.
Le compte à rebours de la notification
NIS2 a remplacé les obligations vagues de notification des incidents de la directive qui l’a précédée par une cadence précise, en plusieurs étapes. Dans les grandes lignes : une alerte précoce dans les 24 heures après avoir pris connaissance d’un incident important, une notification plus complète dans les 72 heures comprenant une évaluation initiale de la gravité et de l’impact, et un rapport final dans un délai d’un mois.
Trois détails opérationnels déterminent si une organisation peut réellement tenir ce rythme.
Premièrement, le compte à rebours démarre à la prise de connaissance, et non à l’endiguement. Les équipes qui veulent instinctivement comprendre un incident avant de le notifier manqueront le délai de 24 heures pour les incidents qui demandent plus d’une journée à caractériser, c’est-à-dire la plupart des incidents graves.
Deuxièmement, « important » relève d’un jugement, et les jugements doivent être consignés. La décision selon laquelle un incident n’était pas important est une décision qu’une autorité de contrôle peut examiner par la suite, et une organisation incapable de montrer quand elle a pris cette décision et sur quelle base se trouve en position plus faible qu’une organisation dont la décision sur le seuil est documentée en temps réel.
Troisièmement, les trois rapports doivent être cohérents entre eux. Une notification à 72 heures qui contredit l’alerte précoce à 24 heures soulève des questions sur celle qui était exacte, et un rapport final qui abandonne discrètement une affirmation antérieure en soulève davantage.
La responsabilité de la direction n’est pas une formalité
Les dispositions de NIS2 relatives aux organes de direction sont celles qui changent les comportements dans les conseils d’administration dès que quelqu’un les lit attentivement. Les organes de direction doivent approuver les mesures de gestion des risques en matière de cybersécurité, superviser leur mise en œuvre et peuvent être tenus personnellement responsables des manquements. Ils sont également tenus de suivre une formation.
La conséquence pratique est que l’approbation des mesures de sécurité par le conseil devient un acte étayé par des preuves, et non une formalité consignée au registre des délibérations. Si une autorité de contrôle demande quand l’organe de direction a approuvé les mesures de gestion des risques en vigueur, ce qui lui a été présenté et ce qu’il a décidé, la réponse doit être plus précise qu’une ligne dans le procès-verbal.
C’est une demande raisonnable, et délicate à satisfaire a posteriori. Les organisations qui prennent les devants consignent les décisions de sécurité du conseil comme n’importe quelle autre décision réglementée : avec les éléments présentés, la date et un enregistrement qui ne peut pas être discrètement modifié par la suite.
- Désignez nommément un responsable de l’alerte précoce à 24 heures, habilité à la transmettre sans attendre d’avoir une vue d’ensemble
- Définissez et documentez dès maintenant votre seuil d’importance, avant de devoir l’appliquer sous pression
- Consignez les décisions de seuil pour les incidents que vous décidez de ne pas notifier, avec leur date et leur justification
- Établissez une source unique pour les faits qui figureront dans les trois rapports, afin que la cohérence soit structurelle et non rédactionnelle
- Horodatez les approbations des mesures de sécurité par le conseil, avec les éléments présentés
- Inscrivez au calendrier les obligations annuelles et périodiques - formation, actualisation de l’analyse des risques, tests de continuité - au lieu de les traiter comme un travail de projet
Ce que les autorités de contrôle demandent en pratique
L’autorité de contrôle portugaise a commencé ses audits, et le schéma observé jusqu’ici correspond à l’application constatée ailleurs dans l’Union. Les autorités vérifient si une organisation peut produire des enregistrements plutôt que des descriptions, et si ces enregistrements concordent avec la chronologie que l’organisation décrit.
Nous avons détaillé ce que le CNCS examine dans L’autorité NIS2 portugaise ouvre ses premiers audits, et le panorama plus large de l’application dans l’Union dans notre suivi de l’application de NIS2. Lus ensemble, ils décrivent une culture de supervision moins attachée à la qualité de la documentation qu’à la possibilité de démontrer que cette documentation existait au moment où elle prétend avoir existé.
- Confirmez que votre enregistrement est complet et que votre point de contact est une boîte aux lettres fonctionnelle surveillée
- Organisez un exercice sur table consacré spécifiquement à l’alerte précoce à 24 heures, et non à la réponse technique
- Vérifiez que votre registre des incidents commence à la détection et non à la création du ticket
- Évaluez la couverture actuelle de vos contrôles au regard du décret avec le simulateur NIS2
Si la difficulté principale tient au fait que vos registres d’incidents, les approbations du conseil et vos décisions de seuil résident dans des systèmes que vous préféreriez ne pas remettre à une autorité de contrôle sans les avoir retouchés, cela peut se régler sans changer la façon dont votre équipe travaille. Vous pouvez ancrer votre premier ensemble d’enregistrements en quelques minutes.