Vérifier les vulnérabilités est obligatoire.

La norme n'impose pas d'outil précis. Elle exige en revanche que les vulnérabilités techniques soient identifiées, évaluées et traitées dans des délais appropriés. C'est pourquoi les audits de certification et de surveillance demandent régulièrement des scans de vulnérabilités et des tests d'intrusion : ils constituent la preuve la plus évidente.

• Annexe A 8.8, gestion des vulnérabilités techniques : obtenir des informations sur les vulnérabilités, évaluer sa propre exposition, prendre les mesures appropriées
• Annexe A 8.29, tests de sécurité lors du développement et de la recette : tester la sécurité des applications avant leur mise en service
• Annexe A 5.35, revue indépendante de la sécurité de l'information à intervalles planifiés
• Article 9.1, surveillance, mesure, analyse et évaluation : démontrer l'efficacité du système de management

La directive NIS2 (UE) 2022/2555 est transposée en droit national dans chaque pays de l'UE, en Allemagne par la loi sur le BSI (BSI-Gesetz). Les entités concernées doivent mettre en œuvre des mesures de gestion des risques. La direction doit approuver ces mesures, superviser leur mise en œuvre et peut être tenue responsable en cas de manquement.

• Art. 21, paragraphe 2, point e) : sécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris le traitement des vulnérabilités
• Art. 21, paragraphe 2, point f) : politiques et procédures pour évaluer l'efficacité des mesures
• Pour les fournisseurs d'infrastructures numériques et de services informatiques, comme le cloud, les centres de données et les services managés, le règlement d'exécution (UE) 2024/2690 le précise : scans de vulnérabilités réguliers (Annexe 6.10) et tests de sécurité incluant explicitement des tests d'intrusion (Annexe 6.7)

Les auditeurs et les autorités attendent en général les deux : un contrôle automatique continu et, à intervalles, un test manuel. veyrisk couvre le contrôle continu. Vous pouvez nous demander directement un test d'intrusion réalisé par les spécialistes de neonotu GmbH.

ISO 27001 et NIS2 exigent bien plus que la gestion des vulnérabilités, par exemple des politiques, des formations, des sauvegardes, des plans d'urgence et des procédures de notification des incidents. veyrisk en fournit la partie technique et les preuves correspondantes.

Cette page ne constitue pas un conseil juridique. Pour savoir si NIS2 s'applique à votre entreprise, vous pouvez vous adresser à l'autorité nationale compétente, en France l'ANSSI, ou à votre conseil juridique.