Guide · Droit et obligations
NIS2 et sauvegarde : ce que les entreprises doivent prouver
En bref : NIS2 cite expressément la gestion des sauvegardes et la reprise des activités après un sinistre comme mesures minimales. Avoir des sauvegardes ne suffit pas : une entreprise doit pouvoir prouver qu'elles sont réalisées régulièrement, protégées et restaurables. La responsabilité incombe à la direction.
Ce que dit NIS2 sur la sauvegarde
La directive NIS2 (UE) 2022/2555 oblige les entreprises de secteurs importants à prendre des mesures de cybersécurité. L'article 21, paragraphe 2, énumère les mesures minimales. Le point c mentionne la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises.
Deux autres points de la même liste concernent directement les sauvegardes : le point f exige des politiques et des procédures pour évaluer l'efficacité des mesures, ce qui signifie pour les sauvegardes : tester la restauration. Le point h exige l'utilisation de la cryptographie et, le cas échéant, du chiffrement.
L'article 20 confie la responsabilité à la direction : les organes de direction doivent approuver les mesures, superviser leur mise en œuvre et suivre une formation à ce sujet. La sauvegarde est donc expressément l'affaire de la direction.
Qui est concerné
NIS2 s'applique aux entreprises des secteurs figurant aux annexes I et II de la directive, par exemple l'énergie, les transports, la santé, les infrastructures numériques, les services informatiques pour d'autres entreprises (services gérés), les déchets, la chimie, l'alimentation, la fabrication de produits critiques et les services numériques. Sont en général concernées les moyennes et grandes entreprises de ces secteurs, c'est-à-dire à partir de 50 salariés ou avec un chiffre d'affaires et un total du bilan annuels de plus de 10 millions d'euros. Dans certains domaines, NIS2 s'applique quelle que soit la taille.
En Allemagne, la loi de transposition de NIS2 intègre la directive dans la loi sur le BSI, et les entités concernées doivent s'enregistrer auprès du BSI, l'Office fédéral allemand de la sécurité des technologies de l'information. Si et comment votre entreprise est concernée doit être examiné au cas par cas ; le BSI propose pour cela un test en ligne. Dans les autres États de l'UE s'appliquent la loi nationale de transposition et l'autorité compétente du pays.
Même sans NIS2 : le RGPD exige déjà à l'article 32 la capacité de rétablir rapidement les données personnelles après un incident et la vérification régulière des mesures. Beaucoup d'assurances cyber posent les mêmes questions.
Ce que les auditeurs veulent voir pour la sauvegarde
Les lois fixent des objectifs, pas des produits. En pratique, les audits se ramènent pourtant aux mêmes questions :
| Question de l'auditeur | Ce qui sert de preuve |
|---|---|
| Existe-t-il un plan de sauvegarde ? | Un plan écrit : quoi, à quelle fréquence, où, pour combien de temps, qui est responsable (BSI IT-Grundschutz CON.3) |
| Les sauvegardes sont-elles réellement effectuées ? | Journal de toutes les sauvegardes avec leur résultat, sans lacune sur la période auditée |
| Sont-elles protégées contre les attaques ? | Copie immuable ou déconnectée, chiffrement, copie hors site |
| Peuvent-elles être restaurées ? | Tests de restauration documentés avec date, périmètre et résultat |
| Qui a supprimé ou modifié quoi ? | Journal traçable des effacements et des modifications de la conservation |
| Peut-on se fier au journal ? | Journal infalsifiable, copie dans un second lieu (BSI IT-Grundschutz OPS.1.1.5) |
Cinq étapes vers des sauvegardes prouvables
- Rédiger un plan : définir les systèmes, les volumes de données, la fréquence des sauvegardes, la conservation et l'interruption maximale tolérable de chaque système. Le guide Plan de sauvegarde montre ce qu'il doit contenir.
- Plusieurs copies en plusieurs lieux : au moins une copie hors site et une immuable ; la règle 3-2-1-1-0 est un bon repère.
- Tester régulièrement la restauration : pas seulement une fois par an à la main, mais en continu et de manière documentée. L'article Tester la restauration explique comment l'automatiser.
- Tout consigner de ce qui arrive aux sauvegardes et protéger le journal contre toute modification ultérieure.
- Rendre compte : la direction reçoit régulièrement un rapport compréhensible et peut ainsi prouver qu'elle remplit son devoir de supervision.
Ce qui arrive en cas de manquement
La directive prévoit des amendes considérables : pour les entités essentielles, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial ; pour les entités importantes, jusqu'à 7 millions d'euros ou 1,4 %, le montant le plus élevé étant retenu. Le dommage lui-même pèse souvent plus lourd : sans restauration qui fonctionne, une entreprise est paralysée pendant des jours ou des semaines après une attaque par rançongiciel.
Comment AegisGrid vous aide
AegisGrid écrit vers jusqu'à huit destinations en une seule exécution, y compris immuables et hors site. Le serveur de sauvegarde restaure automatiquement des sauvegardes à titre d'essai et démarre des machines virtuelles dans un bac à sable isolé. Chaque sauvegarde, restauration, vérification et suppression est consignée dans un journal de preuves chaîné et signé chaque jour, que vous pouvez faire envoyer immédiatement à votre SIEM. Chaque mois, il en tire un rapport de preuves signé au format PDF, pour les auditeurs et pour la direction.
Cet article est une introduction générale et ne constitue pas un conseil juridique. Aucun logiciel ne rend à lui seul une entreprise conforme à NIS2 ; la sauvegarde est une composante d'un concept global.
Questions fréquentes sur NIS2 et la sauvegarde
NIS2 exige-t-elle un logiciel de sauvegarde particulier ?
Non. NIS2 fixe des objectifs, pas des produits : gestion des sauvegardes, reprise après un sinistre, évaluation de l'efficacité et chiffrement le cas échéant. L'essentiel est que vous puissiez prouver la mise en œuvre.
À quelle fréquence faut-il tester la restauration ?
NIS2 ne fixe pas de délai. Des contrôles par échantillonnage réguliers, par exemple hebdomadaires, et un test complet des systèmes les plus importants au moins une fois par an ont fait leurs preuves. L'essentiel est que chaque test soit documenté avec son résultat.
NIS2 s'applique-t-elle aussi aux prestataires informatiques ?
Oui, les fournisseurs de services gérés font partie des secteurs de la directive. De plus, leurs clients exigent de plus en plus de preuves sur la sécurité de la chaîne d'approvisionnement.
Des sauvegardes prouvables
Nous vous montrons le journal et le rapport de preuves sur vos propres systèmes, en anglais ou en allemand.