Mesures de sécurité

Les entités essentielles sont soumises à un régime de supervision ex ante et ex post et devront soumettre annuellement [1] :

• Une analyse des principaux scénarios de risques cyber [2] , sous forme de questionnaire à choix multiples
• Leurs objectifs de sécurité reflétant les mesures de cybersécurité en place
• Un plan d’actions détaillant les mesures prévues afin d’assurer un niveau de cybersécurité élevé

Les entités importantes sont soumises à un régime de supervision ex post et sont, sauf en cas d’éléments de preuve, d’indications ou d’informations selon lesquels elles ne respecteraient pas la loi NIS 2, dispensées de la soumission régulière de ces livrables.

[1] Les échéances ainsi que les autres modalités techniques relatives aux livrables seront précisées dans les règlements ILR.

[2]L’analyse des principaux scénarios de risques cyber constitue un outil de supervision allégé, limité à un ensemble de scénarios prédéfinis. Elle ne dispense pas l’entité de mener sa propre analyse de risques, conformément à l’article 12 de la loi NIS 2, permettant d’identifier et de traiter l’ensemble des risques pesant sur la sécurité de ses réseaux et systèmes d’information. Le choix d’une méthode d’analyse de risques appropriée relève de l’entité. L’ILR peut, dans le cadre de sa mission de supervision, demander à une entité de produire son analyse de risques détaillée ainsi que les éléments démontrant sa mise en œuvre effective.