WisecNIS2 demande des mesures. Wisec montre qu'elles fonctionnent.
Pouvez-vous montrer à un auditeur comment vous sécurisez votre chaîne logicielle et si vos mesures sont efficaces ?
La directive (UE) 2022/2555 impose aux entités essentielles et importantes des mesures de gestion des risques, dont la sécurité de la chaîne d'approvisionnement et la gestion des vulnérabilités. Ses clients la répercutent sur leurs fournisseurs de logiciels.
Des mesures, et la preuve de leur efficacité.
La chaîne d'approvisionnement.
La sécurité des relations avec les fournisseurs, logiciels compris.
Les vulnérabilités.
La sécurité du développement et de la maintenance, traitement et divulgation des vulnérabilités compris.
L'efficacité.
Des procédures pour évaluer l'efficacité des mesures de gestion des risques.
La notification.
Alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois, pour un incident important.
Ce que la directive demande, ce que Wisec prouve.
Le rapport NIS2 relie ces mesures aux preuves enregistrées sur la période, et ajoute le chiffre de posture et les relevés mensuels signés.
| Référence | Ce qui est attendu | La preuve que Wisec produit |
|---|---|---|
| Article 21(2)(a) | Des politiques de sécurité des systèmes d'information. | Des politiques block ou warn appliquées par le gate, avec le résultat de chaque build. |
| Article 21(2)(d) | La sécurité de la chaîne d'approvisionnement. | Un SBOM signé par build, la provenance SLSA, la détection des dépendances suspectes. |
| Article 21(2)(e) | Le traitement des vulnérabilités dans le développement et la maintenance. | Les CVE détectées à chaque build, les décisions de triage dans un VEX signé, les délais de correction. |
| Article 21(2)(f) | L'évaluation de l'efficacité des mesures. | Le chiffre de posture : la part corrigée dans vos délais sur 90 jours, figée chaque mois dans un relevé signé. |
| Article 23 | Notifier un incident important dans les délais. | Des builds horodatés et signés pour reconstituer la chronologie, et une recherche par CVE pour mesurer l'exposition. |
Une cartographie de preuves, pas une déclaration de conformité. Wisec documente la part de vos mesures qui se joue dans la chaîne de développement. La gouvernance, l'analyse de risques de l'entité, la gestion des incidents et la continuité d'activité restent les vôtres, et le rapport ne change le statut d'aucune autre mesure.
Un PDF à remettre, avec son périmètre.
Couvert, partiel, à traiter.
Calculé sur la part des builds de la période qui portent la preuve : au moins 90 %, au moins 50 %, ou moins.
Imprimé sur le rapport.
Tous les projets par défaut, ou ceux que vous choisissez. Un rapport sans périmètre déclaré n'est pas exploitable en audit.
Vos dates.
Le rapport porte sur la période choisie, et dit à quelle date il a été produit.
Disponible avec les offres Business et Pro. Le rapport NIS2 se génère depuis la page Compliance, avec la posture de la période.
Source : directive (UE) 2022/2555 du 14 décembre 2022 (NIS2). Sa transposition et ses modalités varient selon les États membres. Ces informations ne sont pas un avis juridique.