Conseil en gouvernance cyber OT et en préparation à NIS 2 (Norme ISO/IEC 27001 et EN ISO/IEC 27001 et NF EN ISO/IEC 27001 Système de management de la sécurité de l'information)

Le conseil porte sur des décisions : qui répond de la sécurité des systèmes industriels, comment articuler la direction des systèmes d'information et les équipes d'automatisme, quel périmètre traiter en premier, quelle méthode d'analyse de risques retenir (EBIOS Risk Manager ou ISO/IEC 27005, par exemple), comment préparer l'organisation aux exigences attendues de NIS 2 sur le thème Norme ISO/IEC 27001 et EN ISO/IEC 27001 et NF EN ISO/IEC 27001 Système de management de la sécurité de l'information. La transposition française étant en cours, nous nous appuyons sur les textes publiés et sur les documents de travail de l'ANSSI (Agence nationale de la sécurité des systèmes d'information), en précisant ce qui est stable et ce qui peut évoluer.

La note propose une organisation, une analyse de risques adaptée à votre site et une feuille de route estimée en charge, présentée à votre direction. Elle prépare votre organisation sans la déclarer conforme : l'exploitant reste responsable de ses décisions, et nous ne revendiquons aucune qualification délivrée par l'ANSSI.

Déroulé de la prestation

1. Cadrage

   Nous reformulons la question à instruire, identifions les décideurs et les contraintes réglementaires et contractuelles, et fixons le calendrier.

2. Diagnostic

   Entretiens, lecture documentaire et analyse des données disponibles sur le thème Norme ISO/IEC 27001 et EN ISO/IEC 27001 et NF EN ISO/IEC 27001 Système de management de la sécurité de l'information pour établir une base factuelle partagée.

3. Scénarios

   Nous construisons deux à quatre scénarios comparés sur les coûts, les risques, les délais et l'acceptabilité par votre donneur d'ordre et par l'autorité.

4. Recommandation

   La note argumente une trajectoire, avec ses étapes, ses responsables et ses points de contrôle, prête pour un comité de direction.

5. Appui à la décision

   Nous présentons la note en instance et pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.

• Note de cadrage : périmètre, rôles et responsabilités entre informatique, automatisme et exploitation
• Analyse de risques conduite avec la méthode retenue, restituée à la direction du site
• Feuille de route par étapes, avec estimation de charge et lien avec le calendrier des arrêts

Format et charge : forfait, 4 à 10 jours. Idéal pour : directeur de site, RSSI ou responsable de la cybersécurité industrielle qui doit organiser la gouvernance de la sécurité des installations. Prérequis de votre côté : Organigramme des fonctions concernées, description du système d'information et des systèmes industriels, accès aux responsables de l'exploitation.

Exemples d'usage

Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.