Pas de RSSI dédié, pas d'équipe OT ? Voici un ordre de marche réaliste pour démarrer sans se noyer.
NIS2 élargit fortement le nombre d'organisations concernées par des obligations de cybersécurité. Beaucoup d'entre elles n'ont ni RSSI dédié, ni équipe OT. Voici un ordre de marche pour démarrer, sans prétendre remplacer un accompagnement juridique.
1. Vérifier si vous êtes concerné
Le périmètre dépend de votre secteur et de votre taille. L'ANSSI publie sur cyber.gouv.fr les informations à jour pour les organisations françaises. Commencez par là plutôt que par un catalogue de solutions.
2. Faire l'inventaire de ce que vous exploitez
Automates, supervision, postes d'ingénierie, liens de télégestion, accès des prestataires. Un tableur suffit pour commencer. Sans inventaire, aucune mesure ne peut être priorisée.
3. Traiter les accès distants
C'est souvent le risque le plus immédiat sur les sites isolés, et l'un des plus simples à réduire. Voir notre article sur les accès distants des mainteneurs.
4. Préparer la reprise
Sauvegardes des programmes automates et des configurations, procédure de fonctionnement en mode dégradé, liste des contacts à appeler. Le jour d'un incident, c'est ce qui fait la différence.
5. Donner un responsable au sujet
Même à temps partiel, quelqu'un doit porter la cybersécurité OT, avec un lien clair vers la direction. Une revue simple, deux fois par an, vaut mieux qu'un grand plan jamais suivi.
Le reste viendra par étapes. L'essentiel est de commencer par ce qui réduit vraiment le risque sur vos sites.