Un guide pratique en deux parties destiné aux responsables informatiques de la région EMEA
Dans le monde interconnecté d'aujourd'hui, une panne au sein d'une entreprise peut compromettre la fourniture de services essentiels à l'échelle nationale, voire avoir des répercussions sur l'ensemble de l'économie, comme l'a démontré la cyberattaque subie par Jaguar Land Rover, qui a eu un impact négatif sur le PIB du Royaume-Uni.
Au cœur de la directive NIS 2 se trouve la volonté d'assurer la continuité des activités. Elle encourage les entreprises à documenter correctement leurs processus, à se préparer aux imprévus et à identifier les faiblesses de leurs chaînes d'approvisionnement.
Il est important de noter que la directive NIS2 place la cybersécurité et la résilience sous la responsabilité du conseil d'administration, avec des sanctions potentielles pour les dirigeants d'entreprise. En d'autres termes, il ne suffit plus de confier la sécurité uniquement au service informatique.
Dans cette optique, le renforcement de votre capacité à réagir aux incidents de sécurité — et, surtout, à vous en remettre — doit constituer un élément central de la stratégie de sécurité de toute entreprise.
Dans la première partie de ce guide, nous examinerons votre état de préparation interne. Ensuite, dans la deuxième partie, nous aborderons la manière de répondre aux différentes obligations réglementaires en matière de déclaration en cas d'incident.
« Les ransomwares constituent la plus grande menace en ligne pour les entreprises »
Ce ne sont pas nos propos. Cette déclaration émane du Centre pour la cybersécurité en Belgique, qui a indiqué que les attaques par ransomware avaient plus que doublé entre 2021 et 2024.
Les ransomwares restent l'une des formes de cyberattaques les plus perturbatrices, car ils paralysent vos systèmes et perturbent vos activités tant que la rançon n'est pas versée. Même si votre entreprise venait à payer, la restauration des données n'est pas garantie. Toutes les attaques ne sont toutefois pas nécessairement destructrices. Une fuite de données, par exemple, n'aura peut-être pas d'incidence sur votre capacité à poursuivre vos activités normalement, mais l'atteinte à votre réputation et les sanctions financières potentielles peuvent avoir des conséquences importantes à long terme.
La réalité, c'est que, quel que soit le niveau de sécurisation de votre entreprise, il subsiste toujours un certain degré de risque — et ce risque est présent 24 heures sur 24, 7 jours sur 7, 365 jours par an, même lorsque votre équipe n'est pas connectée.
Mettez en place votre plan de reprise — et assurez-vous qu'il fonctionne
Dans notre guide « Maîtriser la reprise après sinistre moderne : les nouveaux incontournables pour les responsables informatiques », nous abordons les trois principes fondamentaux de la planification de la reprise après sinistre :
- Évaluer les risques et identifier les systèmes critiques. Une évaluation approfondie des risques permet d'identifier les systèmes les plus critiques qui nécessitent une attention immédiate en cas de catastrophe et de les classer par ordre de priorité en fonction de leur importance pour les activités de l'entreprise.
- Élaborez un plan de reprise détaillé. Mettez en place des procédures de reprise pour différents scénarios de catastrophe, notamment les cyberattaques, les catastrophes naturelles ou les pannes matérielles. Chaque scénario doit s'accompagner d'un plan de reprise clair et détaillé, avec une répartition précise des responsabilités.
- Tester et maintenir le plan. L'efficacité d'unplan de reprise dépend entièrement de sa mise en œuvre. Il est essentiel de procéder régulièrement à des tests, à des mises à jour et à des audits pour garantir sa viabilité à long terme et s'adapter à l'évolution des menaces, des technologies et des changements d'infrastructure.
La bonne nouvelle, c'est que toute personne qui adopte cette approche est déjà bien placée pour satisfaire à certaines exigences de la directive NIS 2, telles que l'analyse des risques et la sécurité de l'information, la gestion des incidents et les mesures de continuité des activités.
Si vous avez du mal à obtenir l'adhésion de la direction, aligner vos objectifs informatiques sur ceux de la NIS2 est un bon moyen de souligner l'importance d'une planification adéquate de la reprise après sinistre.
Les sauvegardes constituent un élément essentiel de la conformité à la norme NIS2
L'approche généralement admise en matière de stratégie de sauvegarde a toujours suivi la règle du 3-2-1 :
- 3 copies des données (pour se prémunir contre toute perte de données)
- 2 formats différents (enregistrés sur au moins deux types de supports)
- 1 copie hors site (pour se prémunir contre les catastrophes physiques)
Cependant, il est désormais recommandé d'ajouter deux mesures supplémentaires pour garantir une véritable efficacité de la sauvegarde :
- 1 copie immuable (garantissant des sauvegardes à l'épreuve des ransomwares)
- Je ne doute pas que vous puissiez récupérer les données (des tests réguliers garantissent la fiabilité)
L'importance des sauvegardes immuables est apparue de manière flagrante en avril 2026, lorsqu'un agent IA a non seulement supprimé l'intégralité de la base de données clients d'une entreprise, mais aussi ses sauvegardes récentes, ce qui a perturbé les clients pendant plusieurs jours et a fait la une des journaux internationaux.
Cela montre à quel point il est primordial de bien faire les choses : il en va de la continuité des activités, du respect des réglementations… et de la réputation de votre entreprise.
Renforcer la confiance dans la reprise
La directive NIS2 souligne la nécessité de mettre en place des politiques permettant d'évaluer l'efficacité opérationnelle. Il ne suffit pas de disposer de sauvegardes. Vous devez être certain de votre capacité à restaurer les systèmes et à remettre rapidement votre entreprise en service.
Même si vous devriez effectuer régulièrement des tests de reprise après sinistre, vous pouvez compléter cette démarche à l'aide d'outils permettant de tester automatiquement les sauvegardes.
Lorsqu'elles sont surveillées et consignées parallèlement à des indicateurs tels que le RPO et le RTO, ces fonctionnalités renforcent la confiance dans votre stratégie de sauvegarde et permettent également de démontrer le niveau de reporting requis.
Ne sauvegardez pas de données erronées
Le risque qu'un ransomware s'introduise dans vos sauvegardes est préoccupant. Il est également important de s'assurer de l'intégrité des données que vous sauvegardez.
Dans le cadre de l'automatisation de vos sauvegardes, vous pouvez recourir à l'apprentissage automatique pour détecter les comportements caractéristiques d'une infection par un ransomware. En exécutant et en analysant en permanence chaque sauvegarde, ce système peut repérer les sauvegardes infectées et résoudre le problème avant qu'il ne prenne de l'ampleur.
Assurez-vous que vos sauvegardes sont adaptées à votre région
Vos données ne sont pas accessibles partout. Les lois en matière de souveraineté varient d'une région à l'autre ; il est donc important de savoir où vos sauvegardes sont stockées et si elles peuvent être restaurées légalement depuis ce territoire. Les réglementations telles que le RGPD continuent de s'appliquer pendant les opérations de restauration ; il est donc essentiel de s'assurer que les outils que vous utilisez et l'emplacement de vos données restent conformes.
Respecter vos obligations réglementaires
Kaseya offre aux entreprises une tranquillité d'esprit en garantissant que leurs précieuses données sont sécurisées, conformes aux réglementations et, surtout, récupérables. Consultez notre guide sur la maîtrise des techniques de récupération modernes pour en savoir plus sur la mise en place d'une stratégie de récupération résiliente.
Mais la planification de la reprise après sinistre n'est qu'une partie du problème. En cas d'incident de sécurité, les organisations doivent également s'acquitter de leurs obligations légales et réglementaires en matière de déclaration. Dans la deuxième partie, nous aborderons en détail la directive NIS2 et le RGPD, ainsi que les différentes exigences en matière de déclaration dans la région EMEA.
