Existe-t-il des sauvegardes et un plan de continuité pour rétablir la prestation de services ?

La sauvegarde et la continuité figurent comme mesure distincte à l'article 21, paragraphe 2

Oui, c'est l'une des dix mesures énumérées à l'article 21, paragraphe 2, de la directive NIS2 : le point (c) mentionne explicitement « la continuité des activités, telle que la gestion des sauvegardes et la récupération après sinistre, ainsi que la gestion de crise ». La question concernant les sauvegardes et une disposition d'urgence n'est donc pas une catégorie résiduelle ou une interprétation du client — elle figure littéralement dans la directive. Quiconque reçoit cette question peut partir du principe qu'elle fait partie du même bloc de questions que les neuf autres mesures : politique de risque, traitement des incidents, sécurité de la chaîne, gestion des vulnérabilités, tests, cyberhygiène, cryptographie, contrôle d'accès et MFA.

Ce qui est concrètement demandé se divise généralement en deux parties : existe-t-il des sauvegardes (à quelle fréquence, où elles sont stockées, quand elles ont été testées pour la dernière fois) et existe-t-il une disposition d'urgence qui permettrait à la prestation de services de continuer ou de se rétablir rapidement après une perturbation — un plan de récupération après sinistre, des dispositions de basculement, des délais de récupération. Un rapport de test d'une restauration de sauvegarde ou un plan de continuité avec une date de dernier test constitue une preuve plus solide qu'un document politique sans historique de test. S'il manque ce dernier, « non » ou « partiellement » est une réponse tout aussi utile que « oui » — le client veut surtout savoir si c'est correct, non que tout soit au vert. Cette mesure est souvent liée à la procédure de traitement des incidents de cybersécurité, car une disposition d'urgence est généralement déclenchée par un incident, et à l'évaluation périodique des mesures de sécurité, car une sauvegarde sans résultats de test en dit peu sur le délai de récupération réel.

Où cela figure exactement dans la directive

L'article 21, paragraphe 2, point (c), de la directive (UE) 2022/2555 mentionne « la continuité des activités, telle que la gestion des sauvegardes et la récupération après sinistre, ainsi que la gestion de crise » comme l'une des dix mesures techniques et organisationnelles relevant de la politique de sécurité d'une entité. La directive elle-même ne prescrit pas de fréquence minimale de test ou de délai de récupération — cette définition relève de l'entité et, le cas échéant, de la réglementation d'exécution nationale ou des exigences sectorielles du client.