La directive exige des mesures de gestion des risques, une continuité d'activité et une discipline de déclaration des incidents. Le fonctionnement d'AegiFlow, fondé sur la preuve, correspond naturellement à ces obligations pour vos services web.
Une correspondance pratique entre les mesures techniques de la directive et les preuves opérationnelles conservées par la plateforme.
| Mesure NIS2 (art. 21) | Preuve AegiFlow |
|---|---|
| Gestion des incidents | Des cas corrélés avec une chronologie responsable : signaux, décisions, actions et résultats, conservés pour l'audit. |
| Continuité d'activité et gestion de crise | Des copies de continuité statique signées gardent disponible le contenu public approuvé pendant que l'origine est isolée. |
| Gestion des sauvegardes et reprise après sinistre | Exercices de reprise exécutés sur une adresse de validation, avec preuves de réussite ou d'échec — la reprise est exercée, pas supposée. |
| Sécurité de la chaîne d'approvisionnement | Un inventaire logiciel signé, en lecture seule, comparé aux avis publics avec les versions exactes des paquets. |
| Évaluation de l'efficacité | États de capacité avec fraîcheur : un contrôle qui n'a pas tourné récemment s'affiche en Inconnu, jamais en vert. |
AegiFlow fournit des preuves opérationnelles, pas des conseils juridiques. La qualification de conformité et les obligations de déclaration restent du ressort de votre organisation et de ses conseils.
Les preuves ci-dessus ont toujours été là. Ce qui manquait, c'était un document qui les fixe dans le temps.
Chaque mesure de l'article 21 reçoit remplie, partielle, inconnue ou non remplie — et en dessous, les enregistrements exacts sur lesquels repose le verdict : entrées d'audit avec la personne qui a agi, paquets de continuité signés, preuves d'exercices, délais des cas.
Une mesure sans preuve récente est signalée comme Inconnue. Elle n'est ni validée ni en échec, et l'appeler l'un ou l'autre serait le moyen le plus rapide de rendre le document sans valeur pour la personne qui le lit.
Chaque rapport porte une empreinte de contenu, et la table où il réside n'accepte que des insertions : ni mises à jour, ni suppressions. Un rapport que quelqu'un pourrait réécrire après coup ne vaudrait rien pour un régulateur.
La formation, la sécurité des ressources humaines et les communications d'urgence sécurisées sont organisationnelles. Le document les nomme et dit clairement que nous n'en voyons aucune, plutôt que de laisser supposer qu'elles sont couvertes.
Commencez en observation et constituez le dossier d'exploitation que réclament les discussions NIS2.