Avec l'arrivée de la directive européenne NIS2, la cybersécurité prend une nouvelle dimension pour les entreprises et les organisations concernées.
Que change la mise en conformité NIS2 pour les entreprises ?
Destinée à renforcer la sécurité des systèmes d'information, la directive NIS2 (Network and Information Security) vise une meilleure maîtrise des risques numériques chez les entités concernées. Alors que sa transposition en droit français est toujours en cours, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) encourage les entités concernées à anticiper les mesures de protection nécessaires.
L’enjeu dépasse les seuls équipements informatiques et soulève une autre question : celle de la gestion des documents sensibles. Contrats, dossiers clients, procédures internes, documents financiers ou informations stratégiques sont autant de ressources dont la confidentialité, l'intégrité et la disponibilité doivent être préservées.
Pour Indexware, spécialiste français des solutions de gestion électronique des documents (GED), cette évolution réglementaire invite les entreprises à repenser la manière dont elles organisent et sécurisent leur patrimoine documentaire.
Des documents sensibles encore trop dispersés
Dans une entreprise, les documents circulent entre collaborateurs, services et partenaires extérieurs. La multiplication des supports (messageries électroniques, serveurs partagés, cloud) facilite les échanges, mais peut également compliquer le contrôle des informations.
Quelques exemples de situations du quotidien professionnel susceptibles de fragiliser la sécurité documentaire :
- un document transmis à plusieurs interlocuteurs ;
- une ancienne version conservée dans un dossier partagé ;
- ou des droits d'accès qui ne sont plus adaptés à la fonction d'un collaborateur.
Avec la mise en conformité NIS2, la directive cherche à renforcer la gestion des risques pesant sur les réseaux et les systèmes d'information. Les entreprises visées doivent donc pouvoir identifier leurs ressources sensibles et mettre en place des mesures de protection adaptées.
Or, sans une organisation documentaire adaptée, il devient difficile de savoir où se trouvent ces informations et qui peut y accéder.
Gestion des accès et traçabilité : deux enjeux majeurs
Parmi les axes de sécurité développés dans le Référentiel Cyber France (ReCyF) de l'ANSSI figurent :
- la gestion des identités ;
- la maîtrise accès des utilisateurs ;
- et l'administration des systèmes d'information.
Appliqués à la gestion documentaire, ces principes invitent les entreprises à mieux encadrer le partage et la modification de leurs fichiers.
La gestion électronique des documents (GED) peut simplifier certaines étapes de la démarche. En centralisant les informations, une solution de GED correctement paramétrée permet d'attribuer des droits d'accès selon les profils et les responsabilités. La plateforme facilite aussi le suivi des différentes versions d'un document et la conservation d’un historique des opérations documentaires.
L'objectif est de prévenir les accès non autorisés tout en facilitant la circulation de l'information entre les personnes habilitées.
Au-delà de la sécurité, cette traçabilité aide à piloter l’activité : suivi des validations et procédures internes, recherche d'informations documentaires lors d'un contrôle ou d'une vérification… Elle ne remplace toutefois pas les dispositifs techniques de journalisation et de surveillance de la cybersécurité.
Anticiper les cyberattaques pour préserver la continuité d'activité
La vulnérabilité des documents est souvent associée aux risques d'accès non autorisés. À raison, mais il faut aussi anticiper les conditions de la reprise après un incident informatique.
Une attaque par rançongiciel, par exemple, peut rendre inaccessibles des fichiers indispensables : contrats, procédures opérationnelles, documents de production ou dossiers administratifs.
La capacité à restaurer les données devient alors essentielle. C’est pour aider les entreprises à préparer la conformité aux exigences de la NIS2, que l’ANSSI a élaboré le ReCyF. Ce document présente les objectifs à atteindre et propose des mesures concrètes pour y parvenir. Il aborde notamment la question des mécanismes de sauvegarde et la réalisation de tests sur les processus restauration.
Pour les entreprises, cela appelle une réflexion sur leurs conditions de conservation des documents critiques et les moyens prévus pour les récupérer en cas d'incident.
Comme nous l’avons vu, la GED peut faciliter l'identification et l'organisation de ces ressources. À condition toutefois de s'inscrire dans une politique globale de sécurité informatique.
La mise en conformité NIS2 commence aussi par un état des lieux documentaire
Avant de déployer de nouveaux outils, les entreprises ont tout intérêt à examiner leurs pratiques existantes. Quels documents sont indispensables à leur activité ? Où sont-ils conservés ? Quels collaborateurs disposent d'un accès ? Les droits sont-ils régulièrement réévalués ? Ces questions permettent d'identifier les éventuelles fragilités et de hiérarchiser les actions à engager.
Grâce à son expertise en audit organisationnel et en intégration de solutions de GED, Indexware accompagne les organisations dans l'analyse de leurs flux documentaires et la mise en place de dispositifs adaptés à leurs besoins.
Si la GED n’est pas une obligation imposée par NIS2, elle peut contribuer à renforcer la maîtrise des informations et des processus documentaires. Cette démarche permet d'aborder la mise en conformité NIS2 des entreprises sous un angle à la fois technique et opérationnel.
