Une directive, vingt-sept lois nationales, et ce qu’elles exigent de vous.
Cinq niveaux, des fondamentaux en ordre à la défense de tout un groupe.
Chaque mesure exigée, et le service qui la livre.
La détection et la réponse, depuis notre SOC européen.
Postes de travail, cloud et assistance, exploités comme un seul service.
NIS 2, DORA et le RGPD en une seule évaluation.
Les plateformes de nos éditeurs, déployées puis exploitées.
Un RSSI nommément désigné, deux jours par mois.
De l’aide tout de suite, et votre notification transmise dans les délais.
À l’issue de l’entretien, vous disposez d’une liste priorisée de vos écarts et d’une indication de prix pour les combler. Sans frais et sans engagement.
Planifier l’entretienQui nous sommes et comment nous sommes organisés.
Amsterdam, Sofia, Varna et Stara Zagora.
Les plateformes que nous déployons et exploitons.
À quoi ressemble le travail en pratique.
La relation client à Amsterdam, l’ingénierie en Bulgarie, et rien qui sorte de l’Union européenne. Un seul contrat, de droit néerlandais.
Notre organisationSmartCyber
SmartCyber est le service qui porte les dix domaines NIS 2 en pratique. Sous chaque niveau, les mesures forment la même architecture, dimensionnée par tranche d’effectif, et passer au niveau suivant étend l’installation au lieu de la remplacer.
Un seul produit
NIS 2 n’exige pas de technologie nouvelle. La directive exige des mesures, et ces mesures sont des services qui existent déjà et qui tournent déjà. C’est pourquoi passer d’un niveau à l’autre relève de la configuration et non de la migration.
Passer de Protect à Advanced ajoute le SOC, le SIEM et le SLA. Cela ne remplace pas l’agent installé sur vos postes de travail et ne redéfinit pas vos politiques.
Nombre de postes, de serveurs et d’utilisateurs : le coût suit l’organisation, et non un palier de licence que vous avez dépassé ou pas encore atteint.
Le reporting que réclament une autorité, un assureur ou un appel d’offres est produit par le service en fonctionnement, pas par un projet lancé avant un audit.
Un contrat, un SLA, un interlocuteur unique. Aucun angle mort entre deux contrats, puisqu’il n’y en a qu’un.
Les niveaux
Les tranches d’effectif sont un point de départ, pas une règle. Un fournisseur d’énergie de 60 personnes porte une obligation plus lourde qu’un grossiste de 400, et le premier entretien sert à le déterminer.
La protection de base des petites organisations : postes de travail, messagerie et sauvegardes, pris en charge par nos équipes.
20 à 49 salariés
Ajoute la supervision en heures ouvrées, pour que les problèmes apparaissent avant que vos clients ne les voient.
50 à 99 salariés
Un SOC complet, 24 h/24, SIEM et XDR en dessous. Le niveau où arrivent la plupart des organisations assujetties à NIS 2.
100 à 499 salariés
Construit autour de la continuité, avec une reprise répétée en exercice et une interruption bornée par contrat.
500 à 999 salariés
La gouvernance des structures de groupe sur plusieurs pays, avec des rapports qu’une direction peut signer.
1 000 salariés et plus
Le tarif suit le nombre d’appareils, de serveurs et d’utilisateurs, et il est confirmé lors du premier entretien. Nous ne publions pas de prix par appareil, car un chiffre qui a besoin de trois réserves pour être vrai n’est pas un chiffre utile.
Côte à côte
Le tableau dont notre propre équipe se sert. Là où une capacité apparaît, nous l’exploitons. Elle n’est pas activée puis remise entre vos mains.
| Capacité | Essential | Protect | Advanced | Resilience | Enterprise |
|---|---|---|---|---|---|
| Protection des postes de travail et des serveurs, gestion des correctifs | Oui | Oui | Oui | Oui | Oui |
| Sécurité de la messagerie | Oui | Oui | Oui | Oui | Oui |
| Sauvegarde et restauration | Oui | Oui | Oui | Oui | Oui |
| Analyse des risques initiale | Oui | Oui | Oui | Oui | Oui |
| EDR managé | Option | Oui | Oui | Oui | Oui |
| Sécurité réseau | Non inclus | Oui | Oui | Oui | Oui |
| Protection des identités | Non inclus | Oui | Oui | Oui | Oui |
| Sensibilisation à la sécurité et simulation de phishing | Non inclus | Oui | Oui | Oui | Oui |
| Couverture SOC | Option | Heures ouvrées | 24/7 | 24/7 prioritaire | 24/7 co-managé |
| SIEM et XDR | Non inclus | Non inclus | Oui | Oui | Oui |
| Alertes critiques prises en charge en 15 minutes, par SLA | Non inclus | Non inclus | Oui | Oui | Oui |
| Gestion des vulnérabilités | Non inclus | Non inclus | Oui | Oui | Oui |
| Appui pour les notifications prévues par la loi | Non inclus | Non inclus | Oui | Oui | Oui |
| Gestion des accès à privilèges | Non inclus | Non inclus | Non inclus | Oui | Oui |
| Plan de reprise d’activité avec bascule testée | Non inclus | Non inclus | Non inclus | Oui | Oui |
| Plan de continuité d’activité et exercices de crise | Non inclus | Non inclus | Non inclus | Oui | Oui |
| Évaluation du risque lié à la chaîne d’approvisionnement | Non inclus | Non inclus | Non inclus | Oui | Oui |
| Analystes dédiés et responsable de service nommément désigné | Non inclus | Non inclus | Non inclus | Non inclus | Oui |
| Gouvernance de groupe, couvrant pays et unités opérationnelles | Non inclus | Non inclus | Non inclus | Non inclus | Oui |
| Reporting pour l’audit, les appels d’offres et l’assureur | Non inclus | Non inclus | Non inclus | Non inclus | Oui |
| Fréquence du reporting | Annuel | Mensuel | Revue trimestrielle | Revue trimestrielle | Responsable désigné, mensuel |
Les options et la mise en service initiale sont chiffrées à part. Là où une capacité porte la mention « Option », elle est disponible à ce niveau mais n’est pas comprise dans le tarif de base.
Ce qu’il y a en dessous
Chaque niveau est construit à partir des mêmes composants. Ce que le niveau décide vraiment, c’est lesquels sont activés et avec quelle attention ils sont surveillés.
Protection managée des postes de travail avec un agent EDR supervisé, filtrage du courrier et protection contre l’usurpation d’identité, et gestion des correctifs à une cadence définie, avec reporting des exceptions.
Un SOC européen qui veille jour et nuit, la corrélation SIEM entre postes de travail, identités, réseau et cloud, des runbooks XDR, et les alertes critiques prises en charge en 15 minutes.
Authentification multifacteur (MFA) et accès conditionnel, un processus d’arrivée, de mobilité et de départ qui tourne vraiment, la gestion des accès à privilèges, la gestion des comptes à droits étendus, et une revue périodique du moindre privilège, c’est-à-dire pas plus de droits qu’il n’en faut.
Sauvegarde immuable, une sauvegarde qui ne peut être ni modifiée ni supprimée, restaurations testées plutôt que supposées, un RTO et un RPO convenus, et une bascule déjà exercée pour que le jour réel ne soit pas le premier essai.
Gestion des vulnérabilités avec des délais de remédiation convenus, des configurations durcies, et des tests d’intrusion programmés plutôt que déclenchés après coup.
Un tableau de bord des mesures, les enregistrements de formation par personne, la chronologie des incidents, et un rapport trimestriel écrit pour une direction et non pour un ingénieur.
Comment choisir
Deux organisations de même taille peuvent se situer à deux niveaux d’écart. Voici les questions qui font vraiment bouger la réponse.
Commencez au niveau que suggère votre effectif, et bougez quand quelque chose change.
Un seul de ces signes suffit en général. Deux, et la tranche inférieure ne tiendra pas.
Vous avez déjà un problème
Le choix du niveau peut attendre. Contenir l’incident, non ; et pour les organisations assujetties à NIS 2, le délai de 24 heures court déjà.
Le premier entretien répond aux deux. Vous parlez directement avec notre RSSI et repartez avec une réponse franche, y compris sur ce dont vous n’avez pas encore besoin.
