Raoul RALL

Pourquoi agir maintenant ?

La directive NIS2 étend les obligations de cybersécurité à de très nombreuses entreprises et à leurs sous-traitants. Elle impose :

• des mesures de gestion des risques cyber ;
• l'engagement de la direction, qui peut être tenue responsable ;
• la notification des incidents sous 24 h, 72 h, puis un mois ;
• des sanctions pouvant atteindre 10 M€ ou 2 % du chiffre d'affaires mondial.

Ce que je fais en tant que NIS2 Directive Lead Implementer

Cette certification atteste que je sais conduire votre projet de conformité de bout en bout, et pas seulement vous conseiller.

Vérifier ma certification PECB NIS 2 Directive Lead Implementer sur Credly ↗ Badge numérique officiel délivré par PECB, vérifiable en ligne.

• Qualifier : je détermine si vous êtes concerné, et à quel titre (entité essentielle ou importante).
• Diagnostiquer : je mesure l'écart avec les exigences et je priorise les actions.
• Gouverner : je définis les rôles, la politique de sécurité, le pilotage et la formation de la direction.
• Déployer : je mets en œuvre les mesures de l'article 21 (analyse de risques, continuité d'activité, contrôle d'accès, cryptographie, sécurité des fournisseurs, etc.).
• Réagir : je structure la gestion et la notification des incidents aux autorités.
• Prouver : je constitue le dossier de preuves, je prépare les audits et le maintien dans le temps.

Ce que vous y gagnez

• Une conformité démontrable en cas de contrôle.
• Une feuille de route claire, proportionnée à vos risques et à votre budget.
• Une réutilisation de vos acquis (ISO 27001, continuité d'activité, RGPD) pour éviter les doublons.
• Un argument de confiance auprès de vos clients et donneurs d'ordre.
• Des équipes plus autonomes, grâce au transfert de méthode.

Ma démarche

Cadrage → Diagnostic → Plan d'action → Mise en œuvre → Audit à blanc → Amélioration continue.

Pourquoi s'intéresser à l'analyse de risques ?

Investir en cybersécurité sans savoir de quoi l'on cherche à se protéger conduit à disperser son budget. Une sécurité efficace doit être proportionnée à vos menaces, à votre exposition et à vos enjeux métier. EBIOS Risk Manager (EBIOS RM), la méthode publiée par l'ANSSI, est la référence française pour la mener, et elle est cohérente avec ISO 27005.

Ce que je fais concrètement

Je vous aide à passer d'une liste de contrôles à une sécurité pilotée par le risque, en suivant les cinq ateliers de la méthode :

• Cadrage et socle de sécurité : je définis avec vous le périmètre, vos valeurs métier, les événements redoutés et l'écart avec le socle de sécurité existant.
• Sources de risque : j'identifie qui pourrait vous attaquer, avec quels objectifs, et lesquels sont pertinents pour vous.
• Scénarios stratégiques : je cartographie votre écosystème (fournisseurs, partenaires, clients) et je repère les chemins d'attaque indirects.
• Scénarios opérationnels : je détaille comment une attaque se déroulerait concrètement et avec quelle vraisemblance.
• Traitement du risque : je choisis avec vous les mesures, je définis un plan de traitement priorisé et je détermine les risques résiduels à faire accepter par la direction.

Ce que vous y gagnez

• Une analyse de risques structurée et reconnue, appréciée des autorités et des auditeurs.
• Des priorités claires et un budget cyber orienté vers ce qui compte vraiment.
• Une base solide pour la décision de la direction, qui arbitre en connaissance de cause.
• Une vision de vos dépendances envers vos fournisseurs et prestataires.
• Un langage commun entre direction, métiers et équipes techniques.

Ce que cette note ne prétend pas

Je maîtrise EBIOS RM par la pratique, mais je ne suis pas certifié sur cette méthode. Mon apport porte sur l'analyse et le traitement des risques. Il ne couvre pas, à lui seul, une démarche complète de mise en conformité réglementaire ou de certification de votre système de management.

Ma démarche

Cadrage → Ateliers EBIOS RM avec vos équipes → Synthèse des risques → Plan de traitement → Présentation à la direction.

Pourquoi s'intéresser à ITIL ?

Un service informatique qui fonctionne « au fil de l'eau » subit les incidents, peine à prioriser et ne parvient pas à démontrer sa valeur. ITIL (Information Technology Infrastructure Library) est le référentiel de bonnes pratiques le plus répandu pour organiser, piloter et améliorer les services informatiques en les alignant sur les besoins de l'entreprise. Sa version actuelle, ITIL 4, s'appuie sur la notion de chaîne de valeur et sur des pratiques souples, compatibles avec les approches agiles et DevOps.

Ce que je fais concrètement

Je vous aide à structurer vos services et vos processus, de façon pragmatique et proportionnée à votre taille :

• Diagnostiquer : j'évalue la maturité de votre organisation IT et je repère les irritants (incidents récurrents, délais, manque de visibilité).
• Cadrer le catalogue de services : nous définissons ensemble ce que l'IT propose, à qui, avec quels engagements de niveau de service.
• Fiabiliser le support : j'organise la gestion des incidents et des demandes, avec un point d'entrée unique et des priorités claires.
• Traiter les causes : je mets en place la gestion des problèmes pour éviter que les mêmes pannes se reproduisent.
• Maîtriser le changement : j'encadre les mises en production et les évolutions pour limiter les risques d'interruption.
• Piloter et progresser : je définis avec vous des indicateurs utiles, j'organise des revues régulières et j'installe une amélioration continue.

Ce que vous y gagnez

• Des services plus stables et moins d'interruptions.
• Des rôles et responsabilités clairs entre équipes, métiers et prestataires.
• Une meilleure satisfaction des utilisateurs, grâce à des délais et des engagements maîtrisés.
• Des indicateurs fiables pour piloter l'activité et justifier les budgets.
• Un langage commun entre la DSI, les métiers et les fournisseurs.
• Une base solide pour d'autres démarches : sécurité, continuité d'activité, certification de votre système de management.

Ce que cette note ne prétend pas

Je maîtrise ITIL par la pratique, mais je ne suis pas certifié ITIL. Mon apport porte sur l'organisation et l'amélioration de vos services. Si une certification est exigée par un client ou un appel d'offres, il faudra la prévoir séparément.

Ma démarche

Cadrage → Diagnostic → Priorisation des chantiers → Mise en place des pratiques retenues → Suivi des indicateurs → Amélioration continue.