Partenaire IT? Découvrez comment livrer la conformité NIS2

Voir offre partenaire →
← Outils gratuits

OUTIL GRATUIT

Votre propre MSP est-il prêt pour NIS2, pas seulement vos clients ?

Les MSP et MSSP sont eux-mêmes nommés par la loi belge NIS2, dans le groupe gestion de services TIC de l’Annexe I. Cet autocontrôle de 14 questions examine votre accès privilégié, le durcissement RMM, le MFA, la journalisation, les fournisseurs et la formation du personnel, avec un score et les priorités de correction.

  1. 1. L’authentification multifacteur (MFA) est-elle imposée pour chaque connexion à distance vers un environnement client (console RMM, VPN, bureau à distance) ?
  2. 2. Vos techniciens travaillent-ils au quotidien sans droits d’administrateur permanents, avec un compte admin séparé utilisé seulement si nécessaire ?
  3. 3. L’accès de chaque technicien aux systèmes clients est-il limité aux clients et systèmes dont son travail a réellement besoin, et revu selon un calendrier ?
  4. 4. Quand un technicien part ou change de rôle, son accès à chaque environnement client est-il révoqué le jour même ?
  5. 5. Votre propre plateforme RMM/gestion à distance est-elle elle-même durcie : pare-feu, aucun port de gestion ouvert vers internet, et alertes sur les comptes admin nouveaux ou modifiés ?
  6. 6. Un anti-malware à jour tourne-t-il sur chaque appareil capable d’atteindre des environnements clients, y compris les portables des techniciens eux-mêmes ?
  7. 7. Conservez-vous des journaux de qui, dans votre équipe, a accédé à quel système client et quand, sauvegardés et revus selon un calendrier ?
  8. 8. Évaluez-vous le risque de vos propres fournisseurs (éditeur RMM, fournisseur de sauvegarde, hébergeur cloud) au moins une fois par an ?
  9. 9. Vos contrats avec fournisseurs et sous-traitants fixent-ils des exigences de sécurité, pas seulement un accord de niveau de service ?
  10. 10. Si un sous-traitant ayant accès à des systèmes clients change ou perd du personnel, en êtes-vous informé afin d’adapter son accès ?
  11. 11. Votre plan de réponse aux incidents couvre-t-il explicitement un incident qui démarre dans VOS systèmes et pourrait se propager aux clients (RMM compromis, identifiant technicien volé) ?
  12. 12. Vos contrats précisent-ils quand et comment vous devez informer un client d’un incident de sécurité touchant son environnement ?
  13. 13. Votre propre équipe reçoit-elle une formation régulière à la sensibilisation sécurité, comme vous le recommandez à vos clients pour la leur ?
  14. 14. Si votre propre plateforme PSA, RMM ou de documentation tombait en panne pendant une journée, pourriez-vous encore soutenir vos clients et vous rétablir sans perdre leurs données ?

Réponses : 0 sur 14

Répondez aux 14 questions restantes pour voir votre score.
Par · Fondateur, Easy Cyber Protection · · Comment nous écrivons

Pourquoi un MSP est-il lui-même concerné par NIS2 ?

La loi belge NIS2 du 26 avril 2024 place une entreprise dans le périmètre si elle fournit un service listé à l’Annexe I ou II et franchit un seuil de taille [1][2]. Le classeur NIS2 Scope Assessment du CCB lui-même mentionne les « Managed service providers » et « Managed security service providers » aux lignes 47-48. Ils sont regroupés sous « gestion de services TIC (business-to-business) », que le CCB rattache explicitement à l’Infrastructure numérique (I.8) pour le calcul du score [1].

Cela signifie qu’un MSP de 50+ employés, ou de plus de 10M€ de chiffre d’affaires et de bilan (groupe compté), est très probablement dans le périmètre en tant que tel, avant même toute conversation avec un client. Sous ce seuil, un MSP peut rester hors du périmètre direct mais subir malgré tout une diligence fournisseur de clients eux-mêmes dans le périmètre.

Ce contrôle ne remplace pas le test de champ NIS2 complet. Utilisez le test de champ NIS2 pour un verdict selon la taille et le secteur sur votre propre entité. Utilisez ce contrôle pour les questions de sécurité sur lesquelles un MSP est spécifiquement jugé, du fait de son accès privilégié à de nombreuses autres entreprises à la fois.

Voyez aussi le test de champ NIS2 et la page qui doit se conformer à NIS2.

À quoi ressemble un résultat ?

Un MSP avec le MFA imposé sur l’accès RMM aux clients, des comptes techniciens à moindre privilège et un plan d’incident écrit, mais sans revue annuelle du risque fournisseur ni trace d’accès journalisée, obtient environ 70%. C’est une tranche « bon début » avec deux ou trois corrections concrètes, chacune liée à un identifiant de contrôle CyFun qu’un client ou un auditeur demanderait à voir prouvé.

Une structure plus petite utilisant encore un seul identifiant admin partagé par toute l’équipe pour chaque client obtiendrait un score bien plus bas. La liste de corrections s’ouvrirait sur les deux points à plus fort impact : le MFA sur l’accès à distance et la suppression des droits d’administrateur permanents des comptes quotidiens.

Vous voulez savoir ce que NIS2/CyFun en tant que service vous rapporte ? Essayez le calculateur de revenus MSP.

Pas de revue annuelle des fournisseurs ? Le questionnaire gratuit de sécurité fournisseur est prêt à envoyer.

Questions fréquentes

Un prestataire de services managés est-il lui-même concerné par NIS2 ?
Cela peut être le cas. Les MSP et MSSP sont un secteur nommé à l’Annexe I (gestion de services TIC, rattachée à l’Infrastructure numérique par le CCB). Un MSP qui franchit le seuil de taille est donc une entité NIS2 à part entière, indépendamment du secteur de ses clients [1][2].
Est-ce la même chose que le test de champ NIS2 ?
Non. Le test de champ détermine si une entité est essentielle, importante ou hors champ selon le secteur et la taille. Cet outil suppose un contexte MSP et vérifie les contrôles de sécurité spécifiques sur lesquels un MSP est jugé du fait de son accès privilégié aux systèmes clients.
Un score faible signifie-t-il que mon MSP enfreint la loi ?
Pas en soi. C’est un autocontrôle sur vos propres réponses, pas une évaluation de conformité. Un score faible signale des lacunes à corriger et à documenter avant qu’un client, un assureur ou un auditeur ne demande des preuves.
Pourquoi l’accès privilégié pèse-t-il autant ?
Un MSP compromis peut devenir l’unique chemin vers chaque client qu’il gère. Plusieurs incidents réels de chaîne d’approvisionnement ont suivi exactement ce scénario. Le MFA sur l’accès à distance et le moindre privilège pour les techniciens sont systématiquement les corrections à plus fort impact.
Que signifient les identifiants de contrôle CyFun à côté de chaque réponse ?
Chaque question correspond à un ou plusieurs contrôles CyberFundamentals (CyFun) (packages/api/src/frameworks/cyfun/controls.yaml dans les données du framework d’ECP). Ils sont affichés pour retrouver facilement le contrôle correspondant lors d’une auto-évaluation CyFun formelle ultérieure.

Autres outils gratuits

Qui doit se conformer à NIS2 · Test de champ NIS2 · Pour les partenaires IT et MSP

Utilisez ceci avec vos clients

#CYBERLEARN

Formez l’équipe: Propriétaire MSP

Voir la formation →

Sources

  1. CCB, classeur NIS2 Scope Assessment v1.0.4 (lignes 47-48, gestion de services TIC)
  2. Loi belge NIS2 du 26 avril 2024 (Annexe I)