NIS2 / BSIG / CRA

Glossaire de la terminologie NIS2

229 termes de NIS2, du BSIG et du CRA, en langage clair. Lorsqu'un cours emploie le terme, vous voyez la leçon et la phrase.

Simon Orzel·Laufend geprüft

Les définitions proviennent des dictionnaires de nos cours. Les mêmes textes apparaissent lorsque vous survolez un terme n'importe où dans le wiki. Un terme portant un nom allemand est aussi répertorié sous ce nom et renvoie à l'entrée anglaise, car les textes de l'UE et nos cours utilisent le terme anglais. Lorsque nous connaissons la disposition sur laquelle repose une définition, elle est affichée sous le texte.

#

§ 30 BSIG: Cybersecurity measures: La disposition centrale de NIS2 en droit allemand. Énumère dix catégories de mesures de gestion des risques de cybersécurité que toutes les entités incluses dans le champ d'application doivent mettre en œuvre. Couvre l'analyse des risques, le traitement des incidents, la continuité d'activité, la sécurité de la chaîne d'approvisionnement, le développement sécurisé, l'évaluation de l'efficacité, la formation, la cryptographie, le contrôle d'accès et l'authentification multifacteur. Les mesures doivent être « appropriées, proportionnées et efficaces »: pas surdimensionnées, mais réelles.; §30 BSIG
§ 32 BSIG: Incident reporting: La cascade obligatoire de notification des incidents. Lorsqu'un incident important survient : alerte précoce au BSI dans les 24 heures suivant la prise de connaissance, notification d'incident dans les 72 heures, rapport intermédiaire si le BSI le demande, et rapport final au plus tard un mois après la notification des 72 heures (un rapport d'avancement à la place, si l'incident est toujours en cours). Chaque étape a des exigences de contenu précises. Les notifications tardives ou manquantes constituent des violations distinctes, avec leurs propres dispositions de sanction (§65(2) n° 4 et 5 BSIG).; §32 BSIG
§ 33 BSIG: Registration obligation: L'obligation juridique pour toutes les entités incluses dans le champ d'application de s'enregistrer auprès du BSI. Vous fournissez les informations sur l'entité, la classification sectorielle, les coordonnées de contact pour la cybersécurité et les plages d'adresses IP. Le défaut d'enregistrement constitue une violation autonome passible d'amendes pouvant atteindre 500 000 EUR: distincte de toute sanction pour défaut de mise en œuvre de mesures de sécurité concrètes.; §33 BSIG
§ 38 BSIG: Implementation and oversight duty: La disposition qui oblige l'organe de direction à mettre en œuvre les mesures de gestion des risques exigées par le §30 BSIG et à superviser leur mise en œuvre (§38(1) BSIG), ainsi qu'à suivre régulièrement une formation sur les risques de cybersécurité (§38(3) BSIG). L'obligation d'approuver ces mesures est fixée à l'art. 20(1) NIS 2 ; le §38(1) lui-même mentionne la mise en œuvre et la supervision. Un manquement aux obligations de mise en œuvre et de supervision engage la responsabilité de la direction envers son entreprise pour le dommage causé par sa faute, selon les règles du droit des sociétés applicables à sa forme juridique (§38(2) BSIG). La possibilité pour l'entreprise de renoncer à de telles actions dépend de ce droit des sociétés ; le §38 ne dit rien à ce sujet. C'est le paragraphe qui attire l'attention des gérants.; §38(1)-(3) BSIG

A

Access control: Les politiques et mécanismes qui restreignent l'accès aux systèmes et aux données.; Personnes et accès : (g) l'hygiène informatique et la formation du personnel, (h) les politiques de cryptographie, (i) la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs, et (j) l'authentification multifacteur et les communications sécurisées.Formation NIS2 pour la direction, Leçon 1.9: Les dix mesures : vue d'ensemble
access review: Un contrôle périodique de qui a accès à quoi, afin de retirer les autorisations qui ne sont plus nécessaires.
Actively exploited vulnerability: Une vulnérabilité de votre produit pour laquelle il existe des preuves fiables qu'un acteur malveillant l'a exploitée dans un système sans l'autorisation du propriétaire du système (article 3(42) CRA). Le déclencheur de l'obligation de notification de l'article 14(1) CRA, qui commence par une alerte précoce dans les 24 heures (article 14(2)(a)). À distinguer d'une vulnérabilité divulguée publiquement mais pas encore exploitée.; L'obligation est déclenchée par une vulnérabilité activement exploitée, c'est-à-dire une vulnérabilité qu'un acteur malveillant utilise actuellement contre des systèmes réels sans autorisation.Fondamentaux du SBOM du CRA, Leçon 3.2: Maintenir votre SBOM à jour et surveiller les vulnérabilités. Aussi dans : Leçon 0.1
acts of war: Une catégorie d'exclusion déclenchée lorsqu'une attaque est attribuée à un État ou à un acteur soutenu par un État.; L'affaire Mondelez démontre le schéma : même une police de cent millions de dollars peut être refusée au titre d'une seule clause d'exclusion lorsque l'assureur décide que l'attaque relève d'un acte de guerre.Formation NIS2 pour la direction, Leçon 4.1: L'assurance ne remplace pas les mesures de sécurité
Administrative fine: La sanction que l'autorité de régulation impose à l'entreprise au titre de l'article 34 de la directive NIS2.; L'article 34 de la directive NIS2 fixe l'amende administrative maximale pour les entités essentielles au montant le plus élevé entre dix millions d'euros et deux pour cent du chiffre d'affaires annuel mondial total.Formation NIS2 pour la direction, Leçon 1.3: Sanctions et interdiction de diriger
All-hazards approach: Le principe de l'article 21(2) selon lequel votre obligation couvre toutes les menaces pesant sur les systèmes, et pas seulement les cyberattaques, y compris les menaces physiques, environnementales et humaines.; L'article 21(2) exige une gestion des risques « fondée sur une approche tous risques qui vise à protéger les réseaux et les systèmes d'information ainsi que l'environnement physique de ces systèmes contre les incidents ».Formation NIS2 pour la direction, Leçon 1.10: Approche tous risques et état de l'art
Appropriate and proportionate: La norme de l'article 21(1) NIS 2 pour les mesures de cybersécurité. Elles doivent être adaptées au risque et dimensionnées selon l'entité (le §30(1) BSIG ajoute « efficaces »). Un plan que vous n'avez jamais testé est difficile à défendre comme approprié, car l'article 21(2)(f) exige des procédures pour évaluer si les mesures fonctionnent.; Elle utilise la règle appropriate and proportionate de l'article 21(1) NIS 2 et la règle de test du CIR 2024/2690, annexe section 4.1.Formation à l'exercice sur table NIS 2, Leçon 3.1: Cadence annuelle, quiz final et attestation
Article 21(2)(g) NIS 2: Le paragraphe de la directive qui exige des pratiques de base en matière de cyberhygiène et une formation en cybersécurité. La base juridique de la formation propre au rôle que couvre l'attestation de ce cours.; Le PDF que vous recevez à la fin de ce cours est la preuve que vous avez suivi une formation en cybersécurité propre à un rôle au titre de l'Article 21(2)(g) NIS 2 pour le rôle de facilitateur.Formation à l'exercice sur table NIS 2, Leçon 3.1: Cadence annuelle, quiz final et attestation
Asset: Tout ce dont l'entreprise dépend pour fonctionner : personnes, processus, abonnements cloud, bâtiments et matériel informatique.; Cette leçon traite de ce que signifie « actif » sous NIS2 et de la raison pour laquelle l'inventaire de ces actifs est le socle sur lequel reposent toutes les autres mesures de sécurité.Formation NIS2 pour la direction, Leçon 2.2: Qu'est-ce qu'un actif ?
Asset inventory: La liste tenue à jour de tous les actifs, actualisée au fil des évolutions de l'entreprise ; le socle sur lequel repose toute autre mesure de sécurité.; La liste complète de ces actifs s'appelle l'inventaire des actifs, et il doit être tenu à jour - un inventaire qui était exact l'an dernier et qui n'a pas été mis à jour constitue déjà une lacune.Formation NIS2 pour la direction, Leçon 2.2: Qu'est-ce qu'un actif ?
Asset management: Le processus d'identification, d'inventaire et de gestion de tous les actifs informatiques dont dépend l'entreprise.; Personnes et accès : (g) l'hygiène informatique et la formation du personnel, (h) les politiques de cryptographie, (i) la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs, et (j) l'authentification multifacteur et les communications sécurisées.Formation NIS2 pour la direction, Leçon 1.9: Les dix mesures : vue d'ensemble
Attestation: Le PDF daté que ce cours vous délivre à la fin. Preuve d'une formation en cybersécurité propre au rôle au titre de l'article 21(2)(g) NIS 2 pour le rôle d'animateur. À ne pas confondre avec la formation de l'organe de direction au titre de l'article 20(2).; Lorsque vous réussissez, la plateforme génère une attestation PDF datée.Fondamentaux du SBOM du CRA, Leçon 4.1: Évaluation finale. Aussi dans : Formation à l'exercice sur table NIS 2, Leçon 0.1; Leçon 0.1
Attribution: L'identification de l'auteur d'une attaque ; détermine si les clauses d'actes de guerre s'appliquent et si le droit des sanctions est déclenché.; Pour la clause d'actes de guerre en particulier, posez trois questions : comment l'« action hostile ou belliqueuse » est-elle définie dans cette police, que se passe-t-il lorsque l'attribution n'est pas claire, et quelle est la position déclarée de l'assureur concernant les groupes de rançongiciels alignés sur un État.Formation NIS2 pour la direction, Leçon 4.4: Exclusions de police courantes à surveiller. Aussi dans : Leçon 4.5; Leçon 4.6
audit rights: Des clauses contractuelles vous donnant le droit d'inspecter les mesures de sécurité d'un fournisseur.; Trois : des clauses contractuelles - notification des incidents pour qu'ils vous préviennent rapidement en cas de compromission, un socle de sécurité, et des droits d'audit pour que vous ou un mandataire puissiez vérifier leur travail.Formation NIS2 pour la direction, Leçon 2.9: Mesure 4 - Sécurité de la chaîne d'approvisionnement. Aussi dans : Leçon 3.9
Audit trail: Le registre chronologique de ce qui était connu, quand et par qui ; la raison pour laquelle dissimuler quelque chose fonctionne rarement.; §30(1) sentence 3 BSIG, §61 BSIG; Cacher une lacune ou la corriger discrètement échouent tous deux lorsque la piste d'audit raconte l'histoire, et la piste d'audit raconte toujours l'histoire.Formation NIS2 pour la direction, Leçon 3.11: Scénario - Découverte d'une lacune avant l'audit
Availability: La propriété d'un système d'être accessible et utilisable lorsque cela est nécessaire.
awareness training: Une formation de sécurité récurrente pour tout le personnel, couvrant les bases de la cyberhygiène ; le CIR demande qu'elle soit répétée et proposée à intervalles planifiés (8.1.2, 8.1.3).

B

back door: Un point d'entrée caché dans un logiciel qui permet un accès non autorisé, souvent implanté par un attaquant.
breach of trust: Une infraction pénale allemande (§ 266 StGB) consistant à violer le devoir de veiller aux intérêts patrimoniaux de l'entreprise et à lui causer ainsi une perte, par exemple en dépensant son argent contre son intérêt.; En Allemagne, l'abus de confiance au titre de l'article 266 du code pénal s'applique lorsque l'argent de l'entreprise est dépensé contre l'intérêt de celle-ci.Formation NIS2 pour la direction, Leçon 4.6: Décisions de paiement de rançongiciel
BSI registration: L'enregistrement obligatoire des entités incluses dans le champ d'application auprès du BSI via son portail en ligne. Imposé par le §33 BSIG avec sa propre disposition de sanction. Vous fournissez les coordonnées de votre entreprise, la classification sectorielle, une personne de contact pour la cybersécurité et des plages d'adresses IP. Il s'agit d'une obligation juridique autonome: l'effectuer ne satisfait pas vos autres exigences NIS2, mais ne pas l'effectuer constitue une violation à part entière.; §33 BSIG
BSI Standard 200-4: La norme du BSI allemand sur la gestion de la continuité d'activité. Elle définit cinq types d'exercice (revue du plan ou vérification sur dossier, exercice d'état-major, exercice d'état-major élargi, exercice d'alerte, test de fonctionnement) et exige un plan d'exercices annuel.; Le BSI Standard 200-4 et la norme internationale ISO 22301:2019, section 8.6, nomment quatre types d'exercices :Formation à l'exercice sur table NIS 2, Leçon 0.1: Ce qu'est un exercice sur table et pourquoi NIS 2 en exige un
BSI TR-02102: La directive technique du BSI répertoriant les algorithmes cryptographiques actuellement recommandés ; référencez-la dans la politique pour qu'elle reste à jour automatiquement.; Plutôt que de mémoriser des noms d'algorithmes, la bonne référence pour les entreprises européennes est BSI TR-02102, que le BSI met à jour à mesure que la recherche évolue.Formation NIS2 pour la direction, Leçon 2.13: Mesure 8 - Cryptographie
BSIG: La loi allemande sur le BSI (loi sur l'Office fédéral de la sécurité de l'information et sur la sécurité des technologies de l'information des entités), la loi nationale qui met en œuvre NIS2 en Allemagne.; BSIG (Art. 1 of the Act of 2 December 2025, BGBl. 2025 I Nr. 301); En Allemagne, cette loi est le BSIG (la loi fédérale sur la sécurité informatique, modifiée par la loi de mise en œuvre de NIS2).Formation NIS2 pour la direction, Leçon 1.1: Ce qu'est NIS2 et pourquoi il existe
Business continuity: Les plans et processus garantissant la poursuite des opérations critiques pendant et après une perturbation.; Incidents et continuité : (b) la gestion des incidents et (c) la continuité d'activité : sauvegardes, restauration et gestion de crise.Formation NIS2 pour la direction, Leçon 1.9: Les dix mesures : vue d'ensemble
Business continuity (BCM): La discipline globale consistant à maintenir l'entreprise en activité à travers les incidents ; couvre la sauvegarde, la reprise après sinistre et la gestion de crise.; » « Quel est notre RTO sur le système métier central, et que dit le dernier test de reprise après sinistre sur le temps de rétablissement réel ?Formation NIS2 pour la direction, Leçon 2.8: Mesure 3 - Continuité d'activité
Business impact analysis (BIA): L'analyse de la gravité avec laquelle de graves perturbations toucheraient les activités de l'entreprise ; elle fixe les exigences de continuité, telles que les délais de rétablissement et la perte de données acceptable (CIR 4.1.3), et rend la matrice des risques exploitable.; Le document qui traduit ces catégories en chiffres métier s'appelle une analyse d'impact sur l'activité - BIA.Formation NIS2 pour la direction, Leçon 2.5: La triade CIA et l'impact sur l'activité
business interruption: La perte financière résultant de l'arrêt ou de la dégradation des activités pendant et après un incident.; Elle paie les coûts de gestion d'un incident cyber : l'investigation forensique, la réponse à incident, la notification aux clients et les pertes liées à l'interruption d'activité.Formation NIS2 pour la direction, Leçon 4.3: Assurance cyber vs D&O : produits différents, couvertures différentes
Business Judgment Rule: Le principe du droit des sociétés qui protège les dirigeants de toute responsabilité personnelle pour des décisions commerciales prises de bonne foi sur la base d'informations raisonnables.; La règle de l'appréciation commerciale protège les dirigeants de la responsabilité personnelle pour les décisions commerciales prises de bonne foi, sur la base d'informations raisonnables, dans l'intérêt de l'entreprise.Formation NIS2 pour la direction, Leçon 1.8: La business judgment rule ne vous protège pas

C

chain of evidence: Le registre ininterrompu de la manière dont les preuves numériques ont été collectées, conservées et traitées ; détruit si l'on restaure les systèmes avant l'analyse forensique.; Restaurer avant que l'expertise forensique n'examine les systèmes compromis détruit la chaîne de preuve et laisse le vecteur d'entrée ouvert.Formation NIS2 pour la direction, Leçon 3.8: Scénario - Une attaque par ransomware un vendredi après-midi
CIA triad: Confidentialité, intégrité, disponibilité - les trois types de préjudice qu'un incident peut causer ; le langage qu'emploie toute conversation sur la sécurité.; Sous cette formule se cache un vocabulaire de trois lettres qu'emploie chaque conversation de sécurité : la triade CIA.Formation NIS2 pour la direction, Leçon 2.5: La triade CIA et l'impact sur l'activité
CIR: Règlement d'exécution (UE) 2024/2690 de la Commission, le recueil détaillé de règles techniques pour certains prestataires numériques (tels que les fournisseurs de services DNS, d'informatique en nuage, de centres de données et de services gérés, et les places de marché en ligne) et pour les prestataires de services de confiance ; il s'applique directement dans tous les États membres.; Commission Implementing Regulation (EU) 2024/2690; Au-dessus de la directive se trouve un deuxième texte de droit de l'UE : le règlement d'exécution (UE) 2024/2690 de la Commission, le CIR.Formation NIS2 pour la direction, Leçon 1.1: Ce qu'est NIS2 et pourquoi il existe
CIR 2024/2690: Règlement d'exécution (UE) 2024/2690 de la Commission. Il précise les exigences techniques et méthodologiques applicables aux mesures de cybersécurité pour certaines entités d'infrastructure numérique.; Le CIR 2024/2690, article 3, définit ce qui est considéré comme important.Formation à l'exercice sur table NIS 2, Leçon 1.1: La cascade de notification de l'article 23 que votre exercice doit répéter. Aussi dans : Leçon 2.2; Leçon 2.3
CISO: Chief Information Security Officer ; la personne responsable du programme de cybersécurité de l'entreprise.; Si votre autorité de contrôle entrait demain dans votre bureau et vous interrogeait sur votre cybersécurité, à combien de questions pourriez-vous répondre sans vous tourner vers votre CISO ?Formation NIS2 pour la direction, Leçon 3.1: Les questions auxquelles chaque CEO doit répondre
Civil liability: Le risque juridique qui permet à votre propre entreprise de vous poursuivre personnellement en dommages-intérêts au titre du droit national des sociétés.
Competent authority: L'autorité nationale qui supervise NIS2 et en assure le respect (le BSI en Allemagne). Un État membre peut désigner plus d'une autorité.; Chaque pays désigne une autorité compétente : le régulateur qui supervise, audite et sanctionne les entreprises concernées.Formation NIS2 pour la direction, Leçon 1.1: Ce qu'est NIS2 et pourquoi il existe. Aussi dans : Leçon 1.4
Compliance gap: Un élément manquant ou incomplet du programme de conformité requis.; Sans lui, il ne peut pas vous joindre, et cette lacune de communication constitue elle-même une lacune de conformité.Formation NIS2 pour la direction, Leçon 1.4: L'obligation d'enregistrement
compliance officer: La personne chargée de veiller à ce que l'entreprise respecte ses obligations légales et réglementaires.; Sur site, il interroge le CISO, le responsable de la conformité et vous-même.Formation NIS2 pour la direction, Leçon 3.7: Ce qui se passe lors d'un audit du régulateur
Compliance scope: L'ensemble des entités et des activités qu'une loi couvre, et donc des obligations qui s'appliquent à elles.; La différence porte sur l'intensité de l'application, et non sur le périmètre de conformité.Formation NIS2 pour la direction, Leçon 1.2: Qui est concerné : entités essentielles et importantes
confidentiality: Les données ne sont accessibles qu'aux personnes censées les voir ; une perte est une fuite.
Conformity assessment: Processus utilisé par un fabricant pour démontrer que son produit respecte les exigences du CRA. Les produits de classe par défaut peuvent faire l'objet d'une auto-évaluation. Les produits importants de classe I peuvent faire l'objet d'une auto-évaluation sur la base de normes harmonisées. Les produits importants de classe II exigent l'intervention d'un organisme d'évaluation de la conformité tiers (CAB). La SBOM fait partie de la documentation technique examinée lors de l'évaluation de la conformité.
containment: Les actions immédiates prises pour empêcher un incident de se propager davantage.; Attendez jusqu'au lundi et vous gaspillez soixante-quatre heures de confinement : le compteur réglementaire de vingt-quatre heures tourne, que vous déclariez ou non.Formation NIS2 pour la direction, Leçon 3.8: Scénario - Une attaque par ransomware un vendredi après-midi. Aussi dans : Leçon 3.10
Coordinated vulnerability disclosure: Un processus par lequel un chercheur en sécurité signale une vulnérabilité en privé au fabricant avant d'en publier les détails. L'annexe I, partie II, point (5) CRA exige que les fabricants mettent en place et appliquent une politique de divulgation coordonnée des vulnérabilités (voir aussi l'article 13(8)). Elle est généralement mise en œuvre au moyen d'un fichier security.txt et d'un contact de sécurité dédié.; Documentation de conception et de développement incluant l'architecture, les décisions de conception, le modèle de menace et la politique de divulgation coordonnée des vulnérabilitésFondamentaux du SBOM du CRA, Leçon 1.3: La règle de conservation de 10 ans et qui obtient l'accès
Coverage gap: L'espace précis entre ce que couvrent vos polices et ce que l'autorité de régulation peut réellement vous réclamer ; c'est là que se loge la responsabilité personnelle non assurée.; L'écart entre ce que vous présumiez couvert par la police et ce qu'elle couvre réellement est l'espace où réside la mauvaise surprise coûteuse.Formation NIS2 pour la direction, Leçon 4.2: Assurance D&O : ce qu'elle couvre et les exclusions cyber
Crisis declaration: L'acte formel qui fait basculer l'entreprise en mode de réponse aux incidents, que seul l'organe de direction peut autoriser.
crisis management: Une cellule de crise désignée, dotée de pouvoirs de décision attribués à l'avance, et un plan documenté ; NIS2 cite la gestion des crises à côté de la continuité des activités à l'article 21(2)(c).
critical asset: Un actif dont la perte causerait un préjudice important à l'entreprise ; priorisé dans la BIA.
Critical sectors: Les secteurs que l'UE considère comme essentiels pour la société et l'économie, énumérés aux annexes I et II de NIS2.; Un corpus de règles unique à l'échelle de l'UE sur la manière dont les entreprises des secteurs critiques se protègent contre les cyberattaques et sur ce qu'elles doivent faire lorsque survient un problème.Formation NIS2 pour la direction, Leçon 1.1: Ce qu'est NIS2 et pourquoi il existe
critical vulnerability: Une faiblesse d'un système classée au niveau de gravité le plus élevé ; le CIR attend que les vulnérabilités critiques pour les opérations soient traitées sans retard injustifié (6.10.2(c)).
Cross-border impact: L'effet d'un incident sur des services ou des entités dans d'autres États membres de l'UE.; Cause racine, mesures d'atténuation appliquées et tout impact transfrontalier.Formation NIS2 pour la direction, Leçon 1.11: La cascade de notification et les incidents importants
Cryptography: L'utilisation du chiffrement et de techniques connexes pour protéger la confidentialité et l'intégrité des données.; Personnes et accès : (g) l'hygiène informatique et la formation du personnel, (h) les politiques de cryptographie, (i) la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs, et (j) l'authentification multifacteur et les communications sécurisées.Formation NIS2 pour la direction, Leçon 1.9: Les dix mesures : vue d'ensemble
CSIRT: Computer Security Incident Response Team, un organe national (un État membre peut en avoir plusieurs) qui traite les incidents ; les notifications lui sont adressées ou, le cas échéant, à l'autorité compétente (article 23(1)).; NIS2 Directive Art. 10, §32 BSIG; L'article 23 de la directive NIS2 exige que les entreprises concernées notifient les incidents importants à leur CSIRT national ou à leur autorité compétente.Formation NIS2 pour la direction, Leçon 1.11: La cascade de notification et les incidents importants. Aussi dans : Leçon 4.5; Formation à l'exercice sur table NIS 2, Leçon 1.1
Customer notification: Votre obligation, au titre de l'article 23(1), d'informer le cas échéant les clients concernés d'un incident important, distincte de votre obligation de notification à l'autorité de régulation.; » S'ils ne peuvent pas répondre, supposez le pire et préparez la notification aux clients.Formation NIS2 pour la direction, Leçon 3.9: Scénario - Violation chez un fournisseur touchant vos données clients
customer notification duty: L'obligation légale d'informer les clients concernés, le cas échéant, d'un incident important susceptible de nuire au service qu'ils reçoivent.; L'obligation de notification aux clients au titre de l'article 23(1) : elle vous incombe quoi qu'il arrive.Formation NIS2 pour la direction, Leçon 4.1: L'assurance ne remplace pas les mesures de sécurité
CVE: Common Vulnerabilities and Exposures. Identifiant normalisé des vulnérabilités de cybersécurité publiquement connues. Format : CVE-ANNÉE-NUMÉRO (par exemple CVE-2021-44228 pour Log4Shell). Une SBOM liée à une base de données CVE indique quelles vulnérabilités connues affectent votre produit.; Chaque entrée de vulnérabilité référence un CVE et le composant concerné.Fondamentaux du SBOM du CRA, Leçon 2.1: CycloneDX : le format SBOM axé sur la sécurité. Aussi dans : Leçon 1.1; Leçon 3.2
Cyber hygiene: Des pratiques de sécurité de base (application de correctifs, gestion des mots de passe, sensibilisation) qui réduisent le risque quotidien.; Personnes et accès : (g) l'hygiène informatique et la formation du personnel, (h) les politiques de cryptographie, (i) la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs, et (j) l'authentification multifacteur et les communications sécurisées.Formation NIS2 pour la direction, Leçon 1.9: Les dix mesures : vue d'ensemble. Aussi dans : Leçon 2.12
Cyber insurance: Une police qui indemnise après un incident, couvrant certaines pertes financières, sous réserve d'exclusions.; Mondelez détenait une police cyber auprès de Zurich Insurance pour ce montant.Formation NIS2 pour la direction, Leçon 4.1: L'assurance ne remplace pas les mesures de sécurité. Aussi dans : Leçon 4.3; Leçon 4.4
CycloneDX: Un standard SBOM d'OWASP au format JSON ou XML. Axé sur la sécurité : conçu autour du suivi des vulnérabilités, des déclarations VEX et de l'intégration des CVE. La version 1.7 est la version actuelle. Le CRA ne nomme aucun format préféré (l'annexe I, partie II, point (1) demande un format couramment utilisé et lisible par machine), mais CycloneDX correspond directement aux flux de gestion des vulnérabilités.; Les formats CycloneDX et SPDX comblent cette lacune.Fondamentaux du SBOM du CRA, Leçon 1.1: Ce que contient un SBOM : composants, versions et identifiants. Aussi dans : Leçon 0.1; Leçon 2.1; Leçon 2.2; Leçon 4.1

D

D&O insurance: Assurance responsabilité des dirigeants et mandataires sociaux (D&O) ; un produit distinct de l'assurance cyber, couvrant les actions en responsabilité personnelle contre l'organe de direction.; Et la responsabilité personnelle au titre de l'article 20(1) est couverte par l'assurance D&O, et non par la cyberassurance : ce sont deux produits différents.Formation NIS2 pour la direction, Leçon 4.1: L'assurance ne remplace pas les mesures de sécurité. Aussi dans : Leçon 4.3
deductible: Le montant que l'assuré doit payer de sa poche avant que la couverture ne commence.
Digital infrastructure entities: Les types d'entités auxquels le CIR 2024/2690 s'applique directement (les « entités concernées » de son article 1) : fournisseurs DNS, registres de noms de domaine de premier niveau, fournisseurs d'informatique en nuage, centres de données, réseaux de diffusion de contenu (CDN), fournisseurs de services gérés (MSP), fournisseurs de services de sécurité gérés (MSSP), places de marché en ligne, moteurs de recherche, réseaux sociaux, prestataires de services de confiance. Cette liste n'est pas identique au secteur NIS 2 « infrastructure numérique », qui couvre aussi les points d'échange internet et les fournisseurs de télécommunications.; Le CIR 2024/2690 (le règlement d'exécution de la Commission qui donne le détail technique pour les digital infrastructure entities) est plus direct.Formation à l'exercice sur table NIS 2, Leçon 0.1: Ce qu'est un exercice sur table et pourquoi NIS 2 en exige un
Direct reporting line: La structure organisationnelle qui donne à au moins une personne un lien direct avec l'organe de direction sur la cybersécurité, exigée pour les types de prestataires couverts par le règlement d'exécution (UE) 2024/2690 (annexe 1.2.3) et contrôlée par les auditeurs.; Si l'entreprise subit ensuite un incident, l'absence de ligne de reporting directe est la preuve que l'organe de direction n'a pas correctement supervisé le programme de cybersécurité.Formation NIS2 pour la direction, Leçon 3.6: CISO et lignes de reporting vers le conseil de surveillance
Directive: Une loi de l'UE qui indique à chaque pays le résultat à atteindre ; chaque pays rédige sa propre loi nationale pour la mettre en œuvre.; Son nom officiel est directive (UE) 2022/2555, la directive NIS2.Formation NIS2 pour la direction, Leçon 1.1: Ce qu'est NIS2 et pourquoi il existe. Aussi dans : Leçon 0.1
Directors and officers liability insurance: L'assurance vendue pour protéger les membres du conseil contre les réclamations pour faute de gestion ; elle couvre généralement les demandes de dommages-intérêts pour manquement à des obligations, mais pas les amendes infligées à l'entreprise ni les manquements commis en connaissance de cause.; Le secrétaire de votre conseil vous transmet le devis de renouvellement de l'assurance de responsabilité des dirigeants et mandataires sociaux de l'entreprise.Formation NIS2 pour la direction, Leçon 4.2: Assurance D&O : ce qu'elle couvre et les exclusions cyber
disaster recovery: Les procédures et l'infrastructure qui remettent l'entreprise en ligne après un événement majeur.
DPO: Data Protection Officer. Le rôle régi par les articles 37 à 39 GDPR (désignation, position, missions). Fortement recommandé lors de tout exercice sur table impliquant des données personnelles.; DPO ou contact protection des données lorsque des personal data sont concernées.Formation à l'exercice sur table NIS 2, Leçon 1.2: Attribution des rôles : qui doit être présent
Due care: Le niveau d'attention et de diligence qu'un dirigeant raisonnable est censé exercer.; Poser la question et documenter que vous l'avez posée fait déjà partie de la norme de diligence requise.Formation NIS2 pour la direction, Leçon 1.3: Sanctions et interdiction de diriger. Aussi dans : Leçon 1.7; Leçon 1.8; Leçon 3.2
Due diligence: Le travail préalable que vous devez accomplir avant de signer un document à portée juridique ; le critère qui détermine si votre approbation est défendable.
Duty of legality: Le devoir spécifique d'un dirigeant de respecter le droit applicable, qui prime sur la Business Judgment Rule : aucune appréciation n'est permise quant à savoir s'il faut respecter une obligation légale.; Le principe s'appelle le devoir de légalité : un dirigeant doit se conformer au droit applicable, et aucune appréciation commerciale n'est permise quant au fait de suivre ou non une obligation légale.Formation NIS2 pour la direction, Leçon 1.8: La business judgment rule ne vous protège pas

E

Early warning: La première étape de notification, due dans les vingt-quatre heures suivant la prise de connaissance d'un incident important.; Premièrement : l'alerte précoce.Formation NIS2 pour la direction, Leçon 1.11: La cascade de notification et les incidents importants. Aussi dans : Leçon 3.8; Formation à l'exercice sur table NIS 2, Leçon 1.1; Formation à l'exercice sur table NIS 2, Leçon 2.1
Encryption at rest: Le chiffrement des données stockées (sur disque, dans une base de données ou dans une sauvegarde) afin qu'un vol physique ne les expose pas.; Le chiffrement au repos signifie que les données posées sur un disque, dans une base de données ou dans une sauvegarde sont brouillées de sorte que quiconque dérobe le support de stockage ne peut pas les lire.Formation NIS2 pour la direction, Leçon 2.13: Mesure 8 - Cryptographie
Encryption in transit: Le chiffrement des données en transit entre les systèmes afin qu'une interception ne les expose pas.; Le chiffrement en transit signifie que les données circulant entre systèmes sont brouillées de sorte que quiconque intercepte le trafic ne peut pas les lire.Formation NIS2 pour la direction, Leçon 2.13: Mesure 8 - Cryptographie
ENISA: Agence de l'Union européenne pour la cybersécurité. Reçoit les notifications de vulnérabilités et d'incidents prévues à l'article 14 CRA, avec le CSIRT désigné comme coordinateur, via la plateforme unique de notification (opérationnelle depuis le 11 septembre 2026). Selon l'article 23 NIS 2, les entités notifient à leur CSIRT ou à leur autorité compétente, pas à l'ENISA ; l'ENISA reçoit des informations sur les incidents transfrontières et des rapports de synthèse trimestriels des organes nationaux.
ENISA registry: Le registre que l'ENISA tient en vertu de l'article 27 de NIS2 pour les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les entités qui fournissent des services d'enregistrement de noms de domaine, les fournisseurs de services d'informatique en nuage, de services de centres de données et de réseaux de diffusion de contenu, les fournisseurs de services gérés et de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux, alimenté par les informations des points de contact uniques.
Essential entity: Une grande entreprise d'un secteur de l'annexe I, ou certains prestataires tels que les fournisseurs de services DNS, quelle que soit leur taille. Ces entités sont soumises à une supervision proactive.; §28(1), §61(5), §65(5) BSIG, NIS2 Directive Art. 3(1); Si vous êtes classé comme entité essentielle, le régulateur peut vous auditer quand il le décide, sans motif, sans incident, sans plainte.Formation NIS2 pour la direction, Leçon 1.2: Qui est concerné : entités essentielles et importantes
Exclusion: Une catégorie de perte nommée que la police ne couvre pas (actes de guerre, vulnérabilités préexistantes, sanctions).; L'assurance répartit la perte financière après coup, et uniquement la perte financière, sous réserve des exclusions rédigées par les juristes de l'assureur.Formation NIS2 pour la direction, Leçon 4.1: L'assurance ne remplace pas les mesures de sécurité. Aussi dans : Leçon 4.2
exclusion clause: La formulation contractuelle précise qui retire une catégorie de perte de la couverture.; L'affaire Mondelez démontre le schéma : même une police de cent millions de dollars peut être refusée au titre d'une seule clause d'exclusion lorsque l'assureur décide que l'attaque relève d'un acte de guerre.Formation NIS2 pour la direction, Leçon 4.1: L'assurance ne remplace pas les mesures de sécurité. Aussi dans : Leçon 4.4
exfiltration: Le fait de voler des données hors de vos systèmes ; le moment où le confinement peut se transformer en obligation de notification.; Troisième question : des données ont-elles été exfiltrées ?Formation NIS2 pour la direction, Leçon 3.10: Scénario - Phishing réussi : significatif ou non ?

F

Fiduciary duty: L'obligation légale d'un dirigeant d'agir dans le meilleur intérêt de l'entreprise.
Final report: La troisième étape de notification, due au plus tard un mois après la notification d'incident, portant sur la cause première, l'atténuation et l'impact transfrontalier.; Troisièmement : le rapport final.Formation NIS2 pour la direction, Leçon 1.11: La cascade de notification et les incidents importants. Aussi dans : Formation à l'exercice sur table NIS 2, Leçon 1.1; Formation à l'exercice sur table NIS 2, Leçon 2.1
forensics: L'investigation technique d'un incident cyber pour en déterminer la cause, l'étendue et l'impact.; Neuf : recours à une expertise forensique externe ou à un conseil juridique lors d'incidents majeurs.Formation NIS2 pour la direction, Leçon 3.5: Ce que vous ne pouvez pas déléguer - la checklist. Aussi dans : Leçon 3.8; Leçon 3.10; Leçon 4.3

G

Good-faith disclosure: Le fait de signaler une lacune à l'autorité de régulation avant qu'elle ne la découvre, ce que les régulateurs prennent en compte comme circonstance atténuante dans leurs décisions d'exécution.; Une divulgation de bonne foi aboutit généralement à un ordre de remédiation ou à un avertissement, pas à une amende.Formation NIS2 pour la direction, Leçon 3.11: Scénario - Découverte d'une lacune avant l'audit
Grype: Un scanner de vulnérabilités open source d'Anchore. Il prend une SBOM en entrée et fait correspondre les composants à la NVD, à la GitHub Advisory Database et à d'autres flux de vulnérabilités. L'outil qui transforme une SBOM en surveillance continue des vulnérabilités, ce qui soutient les obligations de traitement des vulnérabilités de l'annexe I, partie II et vous aide à repérer les vulnérabilités susceptibles de déclencher une notification au titre de l'article 14.; Grype d'Anchore est l'outil standard pour la boucle de surveillance.Fondamentaux du SBOM du CRA, Leçon 3.2: Maintenir votre SBOM à jour et surveiller les vulnérabilités. Aussi dans : Leçon 2.1; Leçon 4.1

H

hardware token: Un dispositif physique (par ex. YubiKey) qui génère ou stocke un deuxième facteur d'authentification.
Hash: Empreinte de longueur fixe d'un fichier calculée par un algorithme tel que SHA-256. L'inclusion d'un hachage pour chaque composant de la SBOM permet de vérifier que le composant n'a pas été altéré depuis la génération de la SBOM. CycloneDX et SPDX prennent tous deux en charge les hachages par composant.; Une empreinte est une empreinte de longueur fixe du fichier du composant.Fondamentaux du SBOM du CRA, Leçon 1.1: Ce que contient un SBOM : composants, versions et identifiants
Holding statement: Une brève déclaration factuelle publiée tôt, avant que tous les faits soient connus, qui fait gagner du temps pour les établir correctement sans donner l'impression de se taire.; Deuxième : publier une déclaration d'attente dans les deux heures.Formation NIS2 pour la direction, Leçon 4.5: Les 48 premières heures de communication de crise
Hot wash: La réunion de débriefing juste après l'exercice. Même salle, même jour, environ vingt minutes. Quatre tours : ce qui a bien fonctionné, ce qui a mal fonctionné, ce qui nous a surpris, ce qui doit changer.; Le coaching a sa place dans le hot wash après l'exercice.Formation à l'exercice sur table NIS 2, Leçon 1.3: La séparation entre animateur et participant. Aussi dans : Leçon 2.2; Leçon 2.3

I

Impact: La gravité que cela aurait si l'événement survenait : mesurée en argent, en temps d'arrêt, en clients ou en préjudice.; Cette exposition se mesure avec deux nombres : la probabilité - à quelle fréquence un événement néfaste peut survenir - et l'impact - combien il vous coûterait s'il se produisait, mesuré en argent, en temps d'arrêt, en clients ou en préjudice.Formation NIS2 pour la direction, Leçon 2.1: Risque = Probabilité x Impact
Important entity: Une entreprise d'un secteur de l'annexe I ou II qui est couverte sans être essentielle : de taille moyenne dans l'annexe I, de taille moyenne ou grande dans l'annexe II. Elle fait l'objet d'une supervision réactive.; §28(2), §62, §65(5) BSIG, NIS2 Directive Art. 3(2); Si vous êtes classé comme entité importante, le régulateur ne vous audite que lorsqu'un élément le déclenche : un incident, une plainte, un signalement.Formation NIS2 pour la direction, Leçon 1.2: Qui est concerné : entités essentielles et importantes
Improvement item: Un point d'action issu du débriefing. Il comporte une description, un responsable, une échéance, un lien vers la mesure de l'article 21(2) dont il comble une lacune, et un critère d'achèvement clair.; Chacun devient un improvement item avec un responsable, une échéance et un lien vers la mesure pertinente de l'article 21(2).Formation à l'exercice sur table NIS 2, Leçon 2.2: Le débriefing à chaud (hot wash)
In scope: Soumis aux exigences de la loi ; l'entreprise relève des critères d'applicabilité.
Incident contact: La personne que votre entreprise désigne pour communiquer avec l'autorité de régulation en cas d'incident de sécurité. Compte tenu du délai de 24 heures pour l'alerte précoce, il est de bonne pratique de prévoir aussi sa disponibilité en dehors des heures de bureau.
Incident handling: Les procédures de détection, de réponse et de rétablissement face aux incidents de sécurité.; Incidents et continuité : (b) la gestion des incidents et (c) la continuité d'activité : sauvegardes, restauration et gestion de crise.Formation NIS2 pour la direction, Leçon 1.9: Les dix mesures : vue d'ensemble
Incident notification: La deuxième étape de notification, due dans les soixante-douze heures, comportant la gravité, l'impact et les indicateurs de compromission.; Deuxièmement : la notification d'incident.Formation NIS2 pour la direction, Leçon 1.11: La cascade de notification et les incidents importants. Aussi dans : Formation à l'exercice sur table NIS 2, Leçon 1.1; Formation à l'exercice sur table NIS 2, Leçon 2.1
incident response plan: La procédure documentée pour détecter, contenir et se rétablir d'un incident de sécurité.; Si vous ne connaissez pas la réponse aux trois avant que l'appel n'arrive, votre plan de réponse aux incidents a déjà échoué.Formation NIS2 pour la direction, Leçon 2.7: Mesure 2 - Gestion des incidents. Aussi dans : Leçon 3.8; Leçon 4.6
Indemnification: Une clause contractuelle qui oblige la partie fautive à vous indemniser des coûts causés par sa défaillance.; Plus précisément : délais de notification des incidents, droits d'audit, indemnisation.Formation NIS2 pour la direction, Leçon 3.9: Scénario - Violation chez un fournisseur touchant vos données clients
Indicators of compromise: Des artefacts techniques (adresses IP, empreintes, domaines) qui attestent d'une violation de sécurité.; Une évaluation actualisée incluant la gravité, l'impact et, lorsqu'ils sont disponibles, les indicateurs de compromission.Formation NIS2 pour la direction, Leçon 1.11: La cascade de notification et les incidents importants
Information security policy: Le document de sécurité de plus haut niveau, qui prime sur toutes les autres règles de sécurité de l'entreprise ; le premier document que lit l'auditeur.; Ce document de plus haut niveau s'appelle la politique de sécurité de l'information.Formation NIS2 pour la direction, Leçon 2.6: Mesure 1 - Analyse des risques et politiques de sécurité de l'information. Aussi dans : Leçon 3.2
Initial compromise: Le moment le plus précoce où un attaquant a pénétré dans votre environnement. Les opérateurs de ransomware restent souvent présents pendant des jours, parfois des semaines, avant de chiffrer quoi que ce soit. Le bon point de restauration précède ce moment, et pas seulement le chiffrement.; Bonne réponse : La sauvegarde la plus récente antérieure à la initial compromise, confirmée propre par l'équipe de forensique.Formation à l'exercice sur table NIS 2, Leçon 2.1: Un scénario de bout en bout : un rançongiciel sur l'ERP
Insider threat: Un risque émanant de l'intérieur de l'organisation : salariés, sous-traitants ou partenaires.; Les cyberattaques, les intrusions physiques, les incendies, les inondations, les coupures de courant, les défaillances de fournisseurs, les menaces internes et l'erreur humaine entrent tous dans le périmètre.Formation NIS2 pour la direction, Leçon 1.10: Approche tous risques et état de l'art
integrity: Les données sont exactes et non altérées ; une perte est une corruption.
Intermediate report: Une mise à jour de l'état au titre de l'article 23(4)(c) NIS 2 envoyée à la demande du CSIRT. Aucune échéance fixe. Vous répondez lorsqu'on vous le demande.; L'article 23(4)(c) dispose que le CSIRT peut demander un intermediate report quand il le souhaite.Formation à l'exercice sur table NIS 2, Leçon 1.1: La cascade de notification de l'article 23 que votre exercice doit répéter
Internal controls: Les processus et mesures de sauvegarde qu'une entreprise maintient pour assurer la conformité et gérer le risque.; Le grief était que des contrôles internes et des déclarations légalement requis manquaient.Formation NIS2 pour la direction, Leçon 1.8: La business judgment rule ne vous protège pas
ISMS: Système de management de la sécurité de l'information - l'ensemble complet des politiques, processus et personnes qui gèrent la sécurité.; L'ensemble des documents, des personnes et des cycles de revue autour d'eux est ce que votre RSSI appelle un SMSI - un système de management de la sécurité de l'information.Formation NIS2 pour la direction, Leçon 2.6: Mesure 1 - Analyse des risques et politiques de sécurité de l'information
IT-Grundschutz: La méthodologie de cybersécurité propre au BSI : un cadre complet de modules de sécurité (Bausteine) avec un guide de mise en œuvre pas à pas. Pour les entreprises, elle n'est pas obligatoire : le BSI indique qu'une certification IT-Grundschutz peut faciliter la preuve de la conformité à NIS2, mais qu'elle doit être vérifiée au regard des mesures exigées par le §30 BSIG et complétée si nécessaire. Le §44(2) BSIG considère que les exigences minimales fondées sur Grundschutz satisfont au §30, mais seulement pour les entités de l'administration fédérale.; BSI-Standards 200-1 through 200-4; §44(2) BSIG applies to federal administration entities only

J

Joiner-mover-leaver: Le processus d'attribution des accès à l'arrivée, d'ajustement en cas de changement de poste et de révocation au départ.; Le processus qui relie les RH et l'informatique sur l'ensemble du cycle de vie de l'employé - arrivée, changement de rôle et départ - s'appelle le processus arrivée-mobilité-départ.Formation NIS2 pour la direction, Leçon 2.14: Mesure 9 - Sécurité RH, contrôle d'accès et gestion des actifs

K

Key management: Générer, stocker, renouveler et détruire les clés cryptographiques qui font fonctionner le chiffrement ; là où la cryptographie échoue le plus souvent.; La gestion des clés décide si le chiffrement est solide ou creux.Formation NIS2 pour la direction, Leçon 2.13: Mesure 8 - Cryptographie
Key performance indicator: Les indicateurs qui montrent si les mesures de sécurité fonctionnent comme prévu.; Les réunions de reporting doivent être régulières, documentées et comporter un contenu précis : indicateurs de performance (KPI), indicateurs de risque (KRI), synthèse des incidents, état du budget, paysage des menaces, et décisions nécessitant une remontée.Formation NIS2 pour la direction, Leçon 3.6: CISO et lignes de reporting vers le conseil de surveillance
Key risk indicator: Les indicateurs qui montrent où se situe l'exposition cyber de l'entreprise à un moment donné et comment elle évolue.; Les réunions de reporting doivent être régulières, documentées et comporter un contenu précis : indicateurs de performance (KPI), indicateurs de risque (KRI), synthèse des incidents, état du budget, paysage des menaces, et décisions nécessitant une remontée.Formation NIS2 pour la direction, Leçon 3.6: CISO et lignes de reporting vers le conseil de surveillance
key rotation: Remplacer les clés cryptographiques selon un calendrier pour limiter les dégâts en cas de compromission d'une clé.
KPI: Key Performance Indicator - mesure le bon déroulement d'un processus de sécurité (par ex. le pourcentage de correctifs appliqués dans les délais).; Les KPI - indicateurs clés de performance - mesurent la qualité de fonctionnement d'un processus (par exemple, le pourcentage de correctifs appliqués à temps).Formation NIS2 pour la direction, Leçon 2.11: Mesure 6 - Évaluation de l'efficacité
KRI: Key Risk Indicator - mesure le niveau de risque que l'entreprise supporte actuellement (par ex. le nombre de vulnérabilités critiques ouvertes).; Les KRI - indicateurs clés de risque - mesurent le niveau de risque que vous portez actuellement (par exemple, combien de vulnérabilités critiques sont ouvertes en ce moment).Formation NIS2 pour la direction, Leçon 2.11: Mesure 6 - Évaluation de l'efficacité
KRITIS: Les exploitants d'installations critiques qui dépassent les seuils définis dans le règlement BSI-KritisV (typiquement 500 000 personnes desservies). Les exploitants KRITIS sont automatiquement classés comme entités essentielles (dans le BSIG : besonders wichtige Einrichtungen) et sont soumis à des obligations supplémentaires par rapport à NIS2 ordinaire : preuve de leurs mesures tous les trois ans, systèmes de détection des attaques obligatoires et contenu supplémentaire dans les rapports d'incident (type d'installation et service critique). Les délais de notification sont les mêmes que pour les autres entités.; §2 No. 22, §28(1), §31(2), §32(3), §39 BSIG; §2 No. 3 KRITISDachG; BSI-KritisV

L

Layered insurance: L'approche consistant à combiner des polices D&O, cyber et de défense juridique pour combler les écarts entre elles.
Least privilege: Le principe selon lequel chaque utilisateur ne dispose que de l'accès nécessaire à son travail - ni plus, ni moins.
Leitfragen: Le terme allemand désignant les questions structurées du chapitre 3 de l'aide à la formation non contraignante du BSI pour les organes de direction (§ 38 Abs. 3 BSIG).; Votre auditeur ou consultant appellera cette liste les BSI Leitfragen.Formation NIS2 pour la direction, Leçon 3.1: Les questions auxquelles chaque CEO doit répondre
Lessons learned: Le document écrit établi après un incident, qui consigne la cause racine et met le plan à jour ; DER.2.1.A17 prévoit que la direction devrait (SOLLTE) être informée chaque année des incidents.; Il comporte cinq parties, et l'auditeur vérifie si les cinq existent et ont été testées : détection (comment vous remarquez qu'un problème survient), classification (sa gravité et le fait qu'il franchisse ou non le seuil de notification de la leçon 1.11), réponse (qui fait quoi, dans quel ordre), rétablissement (comment vous restaurez le service - cela rejoint la Mesure 3, la continuité d'activité), et retour d'expérience (ce qui s'est passé, pourquoi, et ce qui change en conséquence).Formation NIS2 pour la direction, Leçon 2.7: Mesure 2 - Gestion des incidents
Likelihood: La fréquence à laquelle un événement défavorable pourrait survenir sur une période donnée.; Cette exposition se mesure avec deux nombres : la probabilité - à quelle fréquence un événement néfaste peut survenir - et l'impact - combien il vous coûterait s'il se produisait, mesuré en argent, en temps d'arrêt, en clients ou en préjudice.Formation NIS2 pour la direction, Leçon 2.1: Risque = Probabilité x Impact

M

malware: Un logiciel malveillant conçu pour endommager, perturber ou obtenir un accès non autorisé aux systèmes.; En 2017, l'entreprise agroalimentaire Mondelez a été frappée par le malware NotPetya et a subi environ cent millions de dollars de dommages.Formation NIS2 pour la direction, Leçon 4.1: L'assurance ne remplace pas les mesures de sécurité
Management approval: L'acte formel par lequel l'organe de direction approuve les mesures de gestion des risques en matière de cybersécurité, comme l'exige l'article 20(1), et qui crée une trace datée d'un consentement éclairé.
Management body: L'équipe dirigeante de l'entreprise : le CEO, les gérants, les membres du directoire et toute personne appelée, par la loi ou par les statuts, à conduire les affaires et à représenter l'entreprise.; § 2 No. 13 BSIG; La directive instaure une responsabilité personnelle de l'organe de direction, ce qui explique pourquoi l'équipe de direction, et pas seulement l'informatique, est directement visée.Formation NIS2 pour la direction, Leçon 1.1: Ce qu'est NIS2 et pourquoi il existe. Aussi dans : Leçon 0.1; Leçon 1.5; Formation à l'exercice sur table NIS 2, Leçon 0.1; Formation à l'exercice sur table NIS 2, Leçon 1.2
Management body training: L'obligation de formation créée par l'article 20(2), distincte de la formation de sensibilisation que reçoivent vos salariés ; une obligation personnelle pour chaque membre de l'organe de direction.
Management liability: La responsabilité personnelle de la direction de l'entreprise (Geschäftsführung) envers sa propre entreprise pour la conformité à NIS2 au titre du §38 BSIG. La direction doit mettre en œuvre les mesures de gestion des risques prévues au §30, superviser leur mise en œuvre et suivre régulièrement une formation en cybersécurité (§38(1) et (3)). Un manquement aux obligations de mise en œuvre et de supervision engage la responsabilité de la direction envers l'entreprise pour le dommage causé par sa faute, selon les règles du droit des sociétés applicables à sa forme juridique (§38(2)). L'obligation d'approuver ces mesures est fixée à l'art. 20(1) NIS 2 ; le §38(1) lui-même mentionne la mise en œuvre et la supervision. La possibilité pour l'entreprise de renoncer à de telles actions dépend de ce droit des sociétés ; le §38 ne dit rien à ce sujet. C'est la disposition qui fait passer la cybersécurité du service informatique à la salle du conseil.; §38(1)-(3) BSIG
management review: Une évaluation régulière au cours de laquelle l'organe de direction examine la posture de sécurité de l'organisation ; la norme BSI-Standard 200-1 (section 4.3) la recommande dans le cadre d'un système de management de la sécurité de l'information.; Le standard BSI 200-1, section 7.4 inscrit cela en dur comme la seule fréquence annuelle obligatoire du référentiel - la revue de direction formelle où vous, l'organe de direction, vous asseyez et évaluez si l'ensemble du programme de sécurité fonctionne encore.Formation NIS2 pour la direction, Leçon 2.4: Pourquoi la gestion du risque est continue. Aussi dans : Leçon 2.11; Leçon 3.3; Leçon 5.1
Management review protocol: Le document daté et signé qui consigne ce qui a été examiné, ce qui a été décidé et qui est responsable de chaque action de suivi issue de la revue de direction annuelle.; La revue de direction est un document daté et signé - le compte rendu de revue de direction - consignant ce qui a été examiné, ce qui a été décidé, et qui pilote chaque action de suivi.Formation NIS2 pour la direction, Leçon 2.11: Mesure 6 - Évaluation de l'efficacité
Manager ban: Le pouvoir, au titre de l'article 32(5)(b) et pour les seules entités essentielles, de faire interdire temporairement à la personne exerçant au niveau de directeur général ou de représentant légal d'exercer des responsabilités dirigeantes dans cette entité lorsque les injonctions de l'autorité sont ignorées au-delà du délai imparti.; Si une entité essentielle ne les respecte pas, le régulateur peut demander une interdiction de diriger temporaire au titre de l'article 32(5)(b), qui dure jusqu'à ce que les lacunes soient comblées.Formation NIS2 pour la direction, Leçon 1.3: Sanctions et interdiction de diriger
Mandatory incident reporting: Votre obligation légale de notifier un incident important à l'autorité de régulation dans la cascade 24 heures / 72 heures / un mois définie à l'article 23.
Market surveillance authority: L'autorité nationale qui vérifie la conformité au CRA dans chaque État membre de l'UE. Sur demande motivée, les autorités de surveillance du marché peuvent exiger la documentation nécessaire pour vérifier la conformité, ainsi que la SBOM si elle est nécessaire à cette vérification. Vous n'êtes pas tenu de la rendre publique.; Une autorité de surveillance du marché enquêtant sur une vulnérabilité datant de trois ans souhaite disposer du SBOM de la version qui était sur le marché à cette époque.Fondamentaux du SBOM du CRA, Leçon 1.3: La règle de conservation de 10 ans et qui obtient l'accès. Aussi dans : Leçon 0.1
MUK: Le compte d'entreprise central de l'Allemagne pour les services de l'administration fédérale, authentifié au moyen de certificats ELSTER. Un prérequis pour l'enregistrement auprès du BSI : les entreprises doivent d'abord créer un compte MUK, puis accéder au portail d'enregistrement du BSI par son intermédiaire. Si vous n'avez pas encore de compte MUK, vous ne pouvez pas vous enregistrer auprès du BSI: c'est la première étape pratique avant tout travail de conformité.; OZG, ELSTER
Multi-factor authentication: Une mesure de sécurité exigeant deux facteurs de vérification ou plus pour accéder à un système.; Si vous avez approuvé l'authentification multifacteur pour les connexions du personnel, vous utilisez l'authentification multifacteur.Formation NIS2 pour la direction, Leçon 1.5: Votre devoir d'approbation et de surveillance. Aussi dans : Leçon 1.9
Multi-factor authentication (MFA): Une connexion exigeant au moins deux facteurs de vérification, par exemple un mot de passe et un jeton matériel ou un téléphone ; NIS2 la demande le cas échéant (article 21(2)(j)), et le CIR cite les comptes privilégiés et la classification de l'actif auquel on accède (11.3.2, 11.7.1).; §30(2)(10) BSIG; La principale raison pour laquelle les prises de contrôle de comptes réussissent est que l'authentification multifacteur n'était pas activée.Formation NIS2 pour la direction, Leçon 2.15: Mesure 10 - Authentification multifacteur et communications sécurisées

N

NACE code: La Classification statistique des activités économiques dans la Communauté européenne (Nomenclature statistique des Activités économiques dans la Communauté Européenne). NIS2 et le BSIG ne renvoient aux codes NACE Rév. 2 que pour quelques types d'entités, comme les activités pharmaceutiques, chimiques et certaines activités de fabrication. La plupart des secteurs sont définis par le type d'activité. Le BSI ne vous dit pas si vous relevez du champ d'application ; vous le vérifiez vous-même.; Regulation (EC) No 1893/2006 (NACE Rev. 2); NIS2 Annex I point 5 and Annex II point 5; Anlage 1 and 2 BSIG
named insured: La personne ou l'entité précise mentionnée sur une police comme étant protégée par la couverture.; Cette réclamation personnelle doit être défendue par une police qui vous désigne personnellement comme assuré désigné.Formation NIS2 pour la direction, Leçon 4.3: Assurance cyber vs D&O : produits différents, couvertures différentes
nation-state: Un pays qui mène des opérations cyber par l'intermédiaire de ses services de renseignement ou militaires.; L'exclusion d'actes de guerre ou d'attaque par un État-nation : Lloyd's a durci cette formulation en 2023 à la suite de l'affaire Mondelez.Formation NIS2 pour la direction, Leçon 4.4: Exclusions de police courantes à surveiller
NIS2 Annex I: High-criticality sectors: La liste des secteurs dont les entités sont classées comme « essentielles » (entités essentielles) lorsqu'elles dépassent les plafonds applicables aux entreprises de taille moyenne, c'est-à-dire lorsqu'il s'agit de grandes entreprises ; les entités de taille moyenne de ces secteurs sont des entités importantes. Dans le BSIG, la catégorie essentielle s'appelle « besonders wichtige Einrichtungen ». Elle comprend : énergie (électricité, pétrole, gaz, hydrogène, chauffage urbain), transports (aérien, ferroviaire, par voie d'eau, routier), secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC, administration publique et espace.; NIS2 Directive Annex I and Art. 3(1)(a), Anlage 1 and §28(1) BSIG
NIS2 Annex II: Other critical sectors: La liste des secteurs dont les entités sont classées comme « importantes » (wichtige Einrichtungen) lorsqu'elles atteignent le seuil de taille. Comprend : les services postaux et de messagerie, la gestion des déchets, la fabrication et la distribution de produits chimiques, la production et la distribution de denrées alimentaires, la fabrication (dispositifs médicaux, électronique, machines, véhicules), les fournisseurs numériques (places de marché en ligne, moteurs de recherche, réseaux sociaux) et les organismes de recherche.; Directive NIS2 annexe II, §28(2) BSIG
NIS2 Directive: La directive (UE) 2022/2555, la loi de cybersécurité applicable dans toute l'UE aux entités essentielles et importantes.; Directive (EU) 2022/2555; Son nom officiel est directive (UE) 2022/2555, la directive NIS2.Formation NIS2 pour la direction, Leçon 1.1: Ce qu'est NIS2 et pourquoi il existe
NIS2UmsuCG: La transposition nationale de la directive NIS2 en Allemagne, officiellement le « Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung », appelée dans les projets « NIS-2 Implementation and Cybersecurity Strengthening Act ». Adoptée par le Bundestag le 13 novembre 2025, publiée le 5 décembre 2025 et en vigueur depuis le 6 décembre 2025. Elle introduit un nouveau BSIG et intègre les obligations de NIS2 dans le droit allemand. Lorsque le droit allemand parle de « conformité NIS2 », il s'agit de la conformité au BSIG.; Act of 2 December 2025, BGBl. 2025 I Nr. 301
non-conformance: Un manquement précis à une exigence légale ; le nom formel d'un constat.; Une constatation est une non-conformité : quelque chose que la loi exige et que vous n'avez pas ou ne faites pas.Formation NIS2 pour la direction, Leçon 3.7: Ce qui se passe lors d'un audit du régulateur
Non-delegable: Ne peut être transféré à un tiers ni exercé par un tiers en votre nom.; L'obligation de formation est personnelle et non délégable.Formation NIS2 pour la direction, Leçon 1.6: Votre obligation de formation. Aussi dans : Leçon 0.1; Leçon 4.6
Non-delegable duty: Une obligation que la loi attribue à l'organe de direction lui-même : approuver et superviser les mesures de gestion des risques (art. 20(1)). Le CISO ou l'équipe de conformité peut préparer et réaliser le travail, mais la responsabilité reste à la direction.; Lorsque la frontière est floue, traitez la décision comme non délégable et signez-la vous-même.Formation NIS2 pour la direction, Leçon 3.5: Ce que vous ne pouvez pas déléguer - la checklist
Notification clause: La clause qui vous oblige à informer l'assureur dans un délai très court, sous peine de perdre la couverture.; La clause de notification tardive : annule la couverture si vous déclarez la réclamation à l'assureur après le délai strict prévu par la police.Formation NIS2 pour la direction, Leçon 4.4: Exclusions de police courantes à surveiller
notification window: Le délai strict dans lequel un sinistre doit être déclaré à l'assureur.

O

Observation: Un domaine que l'auditeur signale comme perfectible et qui ne constitue pas une violation de la loi ; aucune sanction n'en découle d'elle-même, mais l'autorité peut ordonner la mise en œuvre des recommandations d'audit (art. 32(4)(f) et 33(4)(f)), et l'ignorer expose à un constat la prochaine fois.; Une observation est un domaine en deçà des bonnes pratiques mais qui ne viole pas la loi.Formation NIS2 pour la direction, Leçon 3.7: Ce qui se passe lors d'un audit du régulateur
OFAC: Office of Foreign Assets Control ; le bureau du Trésor américain qui gère les listes de sanctions.; L'analyse de l'OFAC s'est déroulée en parallèle de la décision de paiement, et non avant celle-ci.Formation NIS2 pour la direction, Leçon 4.6: Décisions de paiement de rançongiciel
On-site inspection: La visite physique de l'équipe d'audit de l'autorité de régulation dans vos locaux, autorisée par l'article 32(2)(a) pour les entités essentielles et l'article 33(2)(a) pour les entités importantes.; Le BSI envoie un courrier annonçant une inspection sur site.Formation NIS2 pour la direction, Leçon 3.7: Ce qui se passe lors d'un audit du régulateur
orphaned account: Un compte utilisateur actif qui n'appartient plus à un salarié en poste - un constat d'audit fréquent.
Out-of-band channel: Un canal de communication d'urgence distinct des systèmes habituels, utilisé lorsque ces systèmes sont compromis.; Un canal hors bande (un outil de messagerie distinct, une ligne téléphonique dédiée) existe précisément pour ce moment.Formation NIS2 pour la direction, Leçon 2.15: Mesure 10 - Authentification multifacteur et communications sécurisées
Oversight duty: L'obligation permanente de vérifier si les mesures approuvées sont effectivement mises en œuvre.

P

patch: Une mise à jour logicielle qui corrige une vulnérabilité connue.
Patch SLA: Le délai écrit pour appliquer les correctifs, fixé selon le niveau de gravité ; le CIR demande que les correctifs soient appliqués dans un délai raisonnable, avec des motifs documentés pour toute exception (6.6.1, 6.6.2).; Votre équipe appelle ces délais des SLA de correctifs.Formation NIS2 pour la direction, Leçon 2.10: Mesure 5 - Acquisition, développement et maintenance
Personal civil liability: L'exposition juridique d'un dirigeant qui doit payer des dommages-intérêts sur son patrimoine personnel lorsqu'un manquement à une obligation légale cause, par sa faute, un préjudice à l'entreprise.
Personal data: Toute information concernant une personne physique identifiée ou identifiable. Définie à l'article 4(1) GDPR.; DPO ou contact protection des données lorsque des personal data sont concernées.Formation à l'exercice sur table NIS 2, Leçon 1.2: Attribution des rôles : qui doit être présent
personal liability: La responsabilité juridique qui retombe sur le dirigeant à titre individuel, en plus de l'entreprise.; Et la responsabilité personnelle au titre de l'article 20(1) est couverte par l'assurance D&O, et non par la cyberassurance : ce sont deux produits différents.Formation NIS2 pour la direction, Leçon 4.1: L'assurance ne remplace pas les mesures de sécurité
Phishing simulation: De faux e-mails d'hameçonnage envoyés périodiquement au personnel pour tester la vigilance ; ils font partie du programme de formation, avec une formation complémentaire pour quiconque clique.; Combien de simulations d'hameçonnage votre propre entreprise vous a-t-elle envoyées, à vous personnellement, au cours des douze derniers mois ?Formation NIS2 pour la direction, Leçon 2.12: Mesure 7 - Cyberhygiène et formation
Privileged accounts: Les comptes administrateur, root et administrateur de domaine dotés d'un accès élevé ; ils requièrent une politique dédiée et leur propre rythme de revue au titre de l'annexe 11.3 du CIR.; En sus, les comptes privilégiés - administrateurs, accès root, administrateurs de domaine - nécessitent leurs propres règles avec des contrôles renforcés.Formation NIS2 pour la direction, Leçon 2.14: Mesure 9 - Sécurité RH, contrôle d'accès et gestion des actifs
Proactive supervision: L'autorité de régulation peut vous auditer sans déclencheur particulier (s'applique aux entités essentielles).; La directive appelle cela une supervision proactive au titre de l'article 32.Formation NIS2 pour la direction, Leçon 1.2: Qui est concerné : entités essentielles et importantes
Product with digital elements: Un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants mis sur le marché séparément (article 3(1) CRA). Le CRA s'applique à ceux dont la destination ou l'utilisation raisonnablement prévisible comprend une connexion de données directe ou indirecte à un appareil ou à un réseau (article 2(1)). Cela couvre les appareils physiques avec micrologiciel, les logiciels autonomes, les applications et les systèmes d'exploitation.; Le CRA s'applique à tout produit comportant des éléments numériques, matériel ou logiciel susceptible de se connecter, directement ou indirectement, à un autre appareil ou réseau.Fondamentaux du SBOM du CRA, Leçon 0.1: Ce qu'est un SBOM et pourquoi le CRA l'a rendu obligatoire
Progress report: Utilisé au titre de l'article 23(4)(e) NIS 2 lorsque l'incident n'est pas encore résolu à l'échéance d'un mois. Le rapport final suit une fois l'incident clôturé.; Vous envoyez alors un progress report à la place.Formation à l'exercice sur table NIS 2, Leçon 1.1: La cascade de notification de l'article 23 que votre exercice doit répéter
Proportionality: Le principe de l'article 21(1) qui adapte ce que vous devez mettre en œuvre à votre taille, à votre exposition aux risques, ainsi qu'à la probabilité et à la gravité des incidents.; La proportionnalité de l'article 21(1) ajuste la profondeur à votre taille, à votre secteur et à votre exposition au risque.Formation NIS2 pour la direction, Leçon 1.9: Les dix mesures : vue d'ensemble
PURL: Package URL. Identifiant normalisé pour les composants logiciels : `pkg:type/namespace/name@version`. Par exemple, `pkg:npm/%40angular/core@17.0.0`. Les PURL constituent l'identifiant unique recommandé dans CycloneDX et SPDX, et le point d'ancrage pratique pour lier un composant de SBOM à une entrée de base de données CVE.; Un PURL (Package URL) est la méthode normalisée pour identifier un composant de façon unique entre registres et bases de données.Fondamentaux du SBOM du CRA, Leçon 1.1: Ce que contient un SBOM : composants, versions et identifiants. Aussi dans : Leçon 2.1; Leçon 2.2; Leçon 4.1

R

ransomware: Un logiciel malveillant qui chiffre les données et exige un paiement pour la clé de déchiffrement.; Le 19 mars 2019, un rançongiciel a paralysé du jour au lendemain quarante sites de production de Norsk Hydro.Formation NIS2 pour la direction, Leçon 3.8: Scénario - Une attaque par ransomware un vendredi après-midi. Aussi dans : Leçon 4.4; Leçon 4.6
RBAC: Role-Based Access Control - des autorisations attribuées par fonction, et non individuellement.
reactive supervision: Le pouvoir de l'autorité de régulation d'auditer les entités importantes lorsqu'un incident, une plainte ou un renseignement le déclenche.
Recipients of services: Le terme juridique de la directive désignant les clients de l'entité.; L'article 23(1) de la directive NIS2 prévoit que, le cas échéant, les entités notifient, « sans retard injustifié », aux destinataires de leurs services les incidents importants susceptibles de nuire à la fourniture de ces services.Formation NIS2 pour la direction, Leçon 1.12: L'obligation d'information des clients
Recurring incidents: Des incidents qui, pris isolément, ne sont pas importants mais qui se produisent au moins deux fois en six mois, ont la même cause apparente et remplissent ensemble le critère de perte financière ; ils comptent comme un seul incident important (CIR, article 4).
Recurring incidents rule: La règle de l'article 4 du CIR (pour les types de prestataires que le CIR couvre) qui traite de petits incidents ayant la même cause apparente, survenant au moins deux fois en six mois, comme un seul incident important s'ils dépassent ensemble le seuil financier.; L'article 4 ajoute la règle des incidents récurrents : deux incidents ou plus survenus en six mois, partageant la même cause profonde et franchissant ensemble le seuil, comptent comme un seul incident important.Formation NIS2 pour la direction, Leçon 3.10: Scénario - Phishing réussi : significatif ou non ?
Registration: La déclaration administrative auprès de l'autorité de régulation au titre de l'article 3(4) NIS2 (en Allemagne § 33 BSIG, à effectuer dans les trois mois suivant le moment où une entreprise relève de NIS2).; Si vous laissez passer ce délai, la première chose que voit le régulateur lorsqu'il ouvre votre dossier est un enregistrement manquant, et cela constitue, en soi, une amende distincte.Formation NIS2 pour la direction, Leçon 1.4: L'obligation d'enregistrement
Regulation: Une loi de l'UE qui s'applique directement dans chaque pays sans transposition (par ex. GDPR, CIR).; NIS2 est une directive, et non un règlement.Formation NIS2 pour la direction, Leçon 1.1: Ce qu'est NIS2 et pourquoi il existe
remediation: Le processus de correction d'une lacune ou d'une non-conformité constatée lors d'un audit ou d'une revue.; Cinquièmement : une constatation d'audit exigeant une remédiation.Formation NIS2 pour la direction, Leçon 3.3: Quand revalider. Aussi dans : Leçon 3.7; Leçon 3.10
Remediation order: Une instruction de l'autorité de régulation de corriger une lacune précise dans un délai défini (art. 32(4)(b) et (d)) ; elle peut être assortie ou non d'une amende.; Une divulgation de bonne foi aboutit généralement à un ordre de remédiation ou à un avertissement, pas à une amende.Formation NIS2 pour la direction, Leçon 3.11: Scénario - Découverte d'une lacune avant l'audit
Remediation plan: La réponse écrite de l'entreprise aux constats : action corrective, responsable nommé, échéance et preuve d'achèvement pour chaque point.; Elle déclenche un ordre de remédiation assorti d'un délai.Formation NIS2 pour la direction, Leçon 3.7: Ce qui se passe lors d'un audit du régulateur
removable media: Clés USB, disques durs externes et supports portables similaires ; requiert une politique dédiée au titre du CIR.
Residual risk: Le risque qui subsiste après la mise en place des mesures ; ce que vous approuvez lorsque vous signez le registre des risques.; Ce qui subsiste après que vous avez appliqué vos mesures s'appelle le risque résiduel.Formation NIS2 pour la direction, Leçon 2.3: Options de traitement du risque et appétence au risque. Aussi dans : Leçon 3.4; Leçon 3.5
Responsible disclosure: Le processus publié permettant aux chercheurs en sécurité externes de signaler des failles à votre entreprise.; Il y a une quatrième pièce dans la même clause : la divulgation des vulnérabilités.Formation NIS2 pour la direction, Leçon 2.10: Mesure 5 - Acquisition, développement et maintenance
restore test: Le processus de récupération des données à partir d'une sauvegarde pour vérifier qu'elle fonctionne ; une sauvegarde non testée n'est pas une sauvegarde.
Reverse burden of proof: La règle du droit allemand des sociétés (par exemple le § 93(2) AktG) selon laquelle le dirigeant doit prouver qu'il a agi avec diligence, au lieu que le demandeur prouve la négligence.; Dans de nombreux pays de l'UE, dont l'Allemagne, l'inversion de la charge de la preuve s'applique à la responsabilité des dirigeants.Formation NIS2 pour la direction, Leçon 1.7: Responsabilité personnelle au titre du droit national des sociétés
Risk acceptance: Décider de vivre avec un risque au lieu de le corriger ; selon le CIR 2.1.1, l'organe de direction ou, le cas échéant, un propriétaire du risque responsable l'accepte, avec une remontée d'information adéquate à la direction.
Risk analysis: Le processus consistant à identifier les menaces, à évaluer la probabilité et l'impact, et à déterminer le traitement.; Fondations : (a) l'analyse des risques et les politiques de sécurité de l'information, et (f) les tests d'efficacité.Formation NIS2 pour la direction, Leçon 1.9: Les dix mesures : vue d'ensemble. Aussi dans : Leçon 3.2
Risk analysis methodology: La procédure documentée d'identification et de notation des risques ; elle fait partie des politiques de la mesure 1 au titre de l'article 21(2)(a).; Premièrement, une méthode écrite que votre entreprise suit pour identifier et évaluer les risques - la méthodologie d'analyse de risque (la leçon 2.1 a couvert l'équation qui la sous-tend).Formation NIS2 pour la direction, Leçon 2.6: Mesure 1 - Analyse des risques et politiques de sécurité de l'information
Risk appetite: Le niveau de risque que l'entreprise est prête à assumer, fixé par l'organe de direction comme la limite dans laquelle le CISO opère.; Une chose de plus relève du dirigeant : l'appétence au risque - le niveau de risque que l'entreprise est globalement prête à tolérer.Formation NIS2 pour la direction, Leçon 2.3: Options de traitement du risque et appétence au risque
Risk assessment: L'évaluation des menaces et de leur impact potentiel sur l'organisation.; Si votre évaluation des risques ne répertorie que les cyberattaques, elle ne satisfait pas à la norme tous risques.Formation NIS2 pour la direction, Leçon 1.10: Approche tous risques et état de l'art. Aussi dans : Leçon 2.1
Risk management cycle: La boucle continue d'identification, d'analyse, de traitement et de surveillance : elle ne s'arrête jamais, car les données d'entrée évoluent plus vite qu'un examen annuel ne peut suivre.; » S'il n'existe aucun processus de déclenchement documenté, le cycle de gestion des risques ne tourne pas.Formation NIS2 pour la direction, Leçon 2.4: Pourquoi la gestion du risque est continue
Risk matrix: La grille qui croise la probabilité et l'impact ; chaque risque identifié y est placé, et le coin supérieur droit est là où commence le travail de l'organe de direction.; À l'issue de cette leçon, vous saurez regarder une matrice des risques, repérer le coin qui compte, et savoir où débute la discussion budgétaire.Formation NIS2 pour la direction, Leçon 2.1: Risque = Probabilité x Impact
Risk register: Le document formel qui répertorie les risques identifiés, leurs évaluations et les décisions de traitement.; La signature datée, le justificatif de formation, le procès-verbal de réunion, le registre des risques portant votre signature : ce sont les preuves que vous utilisez pour démontrer votre diligence.Formation NIS2 pour la direction, Leçon 1.7: Responsabilité personnelle au titre du droit national des sociétés. Aussi dans : Leçon 2.1; Leçon 3.5
Risk treatment: La décision sur ce qu'il faut faire d'un risque identifié : l'éviter, l'atténuer, le transférer ou l'accepter.; Sans elle, chaque décision de traitement du risque devient une dispute plutôt qu'un processus.Formation NIS2 pour la direction, Leçon 2.3: Options de traitement du risque et appétence au risque
Risk-management measures: Les règles, les personnes et les outils que votre entreprise utilise pour gérer les risques pesant sur ses réseaux et systèmes d'information et pour limiter l'impact des incidents, énoncés à l'article 21.; §30(2) BSIG; Nos mesures de gestion des risques satisfont-elles aux exigences de la loi, et sont-elles documentées ?Formation NIS2 pour la direction, Leçon 3.1: Les questions auxquelles chaque CEO doit répondre
Root cause: La raison sous-jacente de la survenance d'un incident.; Deux incidents ou plus présentant la même cause racine apparente, survenant dans un délai de six mois et franchissant ensemble le seuil financier, sont traités comme un seul incident important.Formation NIS2 pour la direction, Leçon 1.11: La cascade de notification et les incidents importants
RPO: Recovery Point Objective - la perte de données maximale acceptable, mesurée en temps.; Le RPO - Recovery Point Objective - est la quantité de données que vous pouvez vous permettre de perdre.Formation NIS2 pour la direction, Leçon 2.8: Mesure 3 - Continuité d'activité
RTO: Recovery Time Objective - le délai maximal acceptable pour rétablir le service après une perturbation.; Le RTO - Recovery Time Objective - est la rapidité avec laquelle vous devez être rétabli.Formation NIS2 pour la direction, Leçon 2.8: Mesure 3 - Continuité d'activité

S

sanctions law: Les règles qui interdisent de payer certaines personnes et certains groupes ; selon les règles américaines quelle que soit l'intention, selon les règles de l'UE la responsabilité n'est écartée que si vous ne saviez pas et ne pouviez raisonnablement pas savoir (règlement (UE) 2019/796 du Conseil, article 10(2)). La première vérification juridique avant tout paiement de rançon.; Réponse correcte : « pas maintenant, et seulement après examen juridique du droit des sanctions.Formation NIS2 pour la direction, Leçon 3.8: Scénario - Une attaque par ransomware un vendredi après-midi. Aussi dans : Leçon 4.6
sanctions list: Un registre publié des personnes, des groupes et des organisations auxquels il est interdit de recevoir des paiements.; La question des sanctions s'est posée tout du long.Formation NIS2 pour la direction, Leçon 4.6: Décisions de paiement de rançongiciel
SBOM: Nomenclature des composants logiciels. Inventaire lisible par machine de chaque composant logiciel dans un produit : noms, versions, fournisseurs et identifiants. Obligatoire pour les produits comportant des éléments numériques conformément à l'annexe I, partie II, point (1) du CRA.; Ce cours vous apprend à élaborer, à tenir à jour et à conserver un SBOM conforme au Cyber Resilience Act.Fondamentaux du SBOM du CRA, Leçon 0.1: Ce qu'est un SBOM et pourquoi le CRA l'a rendu obligatoire
Scoping assessment: La vérification visant à déterminer si NIS2 s'applique à vous et dans quelle catégorie vous relevez. Vous pouvez la réaliser vous-même ; un avocat peut vous y aider.; « Avons-nous réalisé une analyse du champ d'application, et dans quelle catégorie sommes-nous ?Formation NIS2 pour la direction, Leçon 1.2: Qui est concerné : entités essentielles et importantes
secure development: Une norme documentée pour développer des logiciels dont la sécurité est intégrée dès la conception, et non ajoutée après coup.
Secured communications: Des communications vocales, vidéo et textuelles sécurisées pour un usage professionnel sensible ; l'article 21(2)(j) les cite parmi les mesures à appliquer le cas échéant.; La seconde moitié de la clause couvre les communications sécurisées.Formation NIS2 pour la direction, Leçon 2.15: Mesure 10 - Authentification multifacteur et communications sécurisées
security control: Une mesure technique ou organisationnelle appliquée pour gérer un risque spécifique.
Sign-off: Votre approbation formelle, au sein de l'organe de direction, des mesures de cybersécurité de l'entreprise, exigée par l'article 20(1) de la directive NIS2. Une trace datée est le moyen d'en apporter la preuve.; Si vous n'avez aucune preuve que vous avez cherché à comprendre vos obligations, aucun justificatif de formation, aucune signature documentée, aucun procès-verbal de réunion montrant que vous avez posé les questions, c'est le facteur qui fait basculer les trois strates dans le mauvais sens.Formation NIS2 pour la direction, Leçon 1.3: Sanctions et interdiction de diriger. Aussi dans : Leçon 0.1; Leçon 1.5; Leçon 1.7; Leçon 3.3; Leçon 3.4
Significant incident: Un incident ayant un impact important sur les services de l'entité, à notifier au titre de l'article 23. L'article 23(3) le définit ; le CIR 2024/2690 ne fixe de seuils précis que pour certains types d'entités, tels que les fournisseurs de services en nuage et de services DNS.; Art. 23(3) NIS2, §2 No. 11 BSIG, §32 BSIG, CIR 2024/2690 Art. 3 (for the entity types in its Art. 1); L'article 23 de la directive NIS2 exige que les entreprises concernées notifient les incidents importants à leur CSIRT national ou à leur autorité compétente.Formation NIS2 pour la direction, Leçon 1.11: La cascade de notification et les incidents importants. Aussi dans : Leçon 3.1; Leçon 3.10; Formation à l'exercice sur table NIS 2, Leçon 1.1
Size threshold: L'effectif, le chiffre d'affaires annuel et le total du bilan qui déterminent si une entreprise relève de NIS2.; La plupart des entreprises entrent dans le champ d'application via un simple seuil de taille : cinquante salariés ou plus, ou plus de dix millions d'euros à la fois de chiffre d'affaires annuel et de total du bilan annuel.Formation NIS2 pour la direction, Leçon 1.2: Qui est concerné : entités essentielles et importantes
SPDX: Software Package Data Exchange. Norme ISO/IEC 5962:2021 pour les SBOM, issue de la Linux Foundation. Axée sur les licences : conçue autour de la conformité aux licences open source et de l'attribution. Disponible aux formats JSON, YAML, RDF et tag-value. CycloneDX et SPDX sont tous deux des formats couramment utilisés et lisibles par machine, et sont acceptés par BSI TR-03183-2. Le CRA lui-même ne nomme aucun format à l'annexe I, partie II, point (1) ; la Commission peut en préciser un (article 13(24)).; Les formats CycloneDX et SPDX comblent cette lacune.Fondamentaux du SBOM du CRA, Leçon 1.1: Ce que contient un SBOM : composants, versions et identifiants. Aussi dans : Leçon 0.1; Leçon 2.1; Leçon 2.2; Leçon 4.1
State of the art: Le niveau actuel des bonnes pratiques éprouvées, auquel contribuent les normes reconnues ; l'article 21(1) mentionne les deux. L'étalon de l'auditeur évolue avec les pratiques et les normes.; L'article 21(1) exige des mesures qui « tiennent compte de l'état de l'art ».Formation NIS2 pour la direction, Leçon 1.10: Approche tous risques et état de l'art
Statutory duty: Une obligation que la loi vous impose personnellement, par opposition à une décision commerciale ordinaire. L'article 20 NIS2 crée des obligations légales pour l'organe de direction.; Le droit des sociétés de chaque pays de l'UE donne à l'entreprise un mécanisme pour recouvrer des dommages-intérêts auprès d'un dirigeant qui a manqué à une obligation légale, c'est-à-dire quelque chose que la loi vous oblige personnellement à faire, distinct d'une décision commerciale ordinaire.Formation NIS2 pour la direction, Leçon 1.7: Responsabilité personnelle au titre du droit national des sociétés. Aussi dans : Leçon 1.8; Leçon 4.2
Sufficient knowledge: Le critère de l'article 20(2) : des connaissances et des compétences suffisantes pour identifier les risques et évaluer les mesures ainsi que leur impact sur les services. La loi n'exige ni examen ni certification.
Supervisory board: L'organe de surveillance d'une structure d'entreprise à deux niveaux qui peut engager des actions contre les dirigeants.; Votre conseil de surveillance se réunit le lendemain matin.Formation NIS2 pour la direction, Leçon 1.7: Responsabilité personnelle au titre du droit national des sociétés. Aussi dans : Leçon 3.6
Supplier inventory: La liste tenue à jour de tous les fournisseurs avec ce à quoi ils accèdent et leur classification de risque.; Un : un inventaire des fournisseurs - qui ils sont, ce qu'ils font, à quoi ils peuvent accéder.Formation NIS2 pour la direction, Leçon 2.9: Mesure 4 - Sécurité de la chaîne d'approvisionnement
Supply chain: Le réseau de fournisseurs et de prestataires de services dont dépend votre entreprise.; Chaîne d'approvisionnement et systèmes : (d) la sécurité de la chaîne d'approvisionnement et (e) la sécurité dans la manière dont vous achetez, développez et maintenez les systèmes informatiques, y compris la gestion des vulnérabilités.Formation NIS2 pour la direction, Leçon 1.9: Les dix mesures : vue d'ensemble. Aussi dans : Leçon 2.9
Supply chain attack: Attaque ciblant un fabricant par l'intermédiaire d'une dépendance ou d'un fournisseur compromis, plutôt que par une attaque directe contre les systèmes du fabricant. SolarWinds et XZ Utils en sont des exemples. La SBOM constitue votre carte pour identifier les composants de la chaîne d'approvisionnement présents et donc les attaques par la chaîne d'approvisionnement susceptibles d'atteindre votre produit.; Le fournisseur compte pour l'évaluation du risque d'attaque de la chaîne d'approvisionnement.Fondamentaux du SBOM du CRA, Leçon 1.1: Ce que contient un SBOM : composants, versions et identifiants
Supply chain incident: Un événement de sécurité chez un fournisseur qui peut créer une obligation légale pour votre entreprise au titre des articles 21 et 23.
Supply chain security: L'exigence d'évaluer et de gérer les risques de cybersécurité dans votre chaîne d'approvisionnement, en particulier les prestataires de services informatiques, les fournisseurs d'informatique en nuage et tout fournisseur ayant accès à vos systèmes ou à vos données. Les mesures peuvent inclure des exigences de sécurité dans les contrats avec les fournisseurs, l'évaluation des pratiques des fournisseurs et leur suivi dans le temps ; les clauses contractuelles ne sont obligatoires que pour les types d'entités couverts par le CIR 2024/2690.; §30(2)(4) BSIG
Support period: Période pendant laquelle un fabricant fournit des mises à jour de sécurité pour un produit. L'article 13(8) du CRA exige que la période de support soit d'au moins cinq ans, ou égale à la durée d'utilisation prévue si celle-ci est inférieure à cinq ans. La période de conservation de la SBOM court sur 10 ans ou jusqu'à la fin de cette période de support, la durée la plus longue étant retenue.; Ou la période de support, la durée la plus longue étant retenueFondamentaux du SBOM du CRA, Leçon 1.3: La règle de conservation de 10 ans et qui obtient l'accès
Syft: Générateur de SBOM open source d'Anchore. Analyse les images de conteneurs, les systèmes de fichiers et les manifestes de paquets spécifiques aux langages. Produit des fichiers CycloneDX ou SPDX. Moyen le plus rapide de générer une première SBOM pour un produit existant.; Syft d'Anchore produit par défaut du CycloneDX 1.6 JSON :Fondamentaux du SBOM du CRA, Leçon 2.1: CycloneDX : le format SBOM axé sur la sécurité. Aussi dans : Leçon 3.1; Leçon 4.1

T

tabletop exercise: Un déroulé structuré d'un scénario d'incident réaliste avec les personnes qui interviendraient.; Une répétition sur papier face à un scénario s'appelle un exercice sur table.Formation NIS2 pour la direction, Leçon 2.7: Mesure 2 - Gestion des incidents. Aussi dans : Leçon 5.1; Formation à l'exercice sur table NIS 2, Leçon 0.1
Technical and organisational measures: L'abréviation de conformité universelle (TOMs) désignant la combinaison d'outils, de processus et de règles requise pour chaque mesure.; Votre RSSI les appellera mesures techniques et organisationnelles, ou TOMs.Formation NIS2 pour la direction, Leçon 1.9: Les dix mesures : vue d'ensemble
Technical documentation: Ensemble de documents qu'un fabricant doit compiler et conserver conformément à l'article 31 et à l'annexe VII du CRA. Comprend la SBOM, l'évaluation des risques, les décisions de conception sécurisée, les résultats des tests et la déclaration UE de conformité. Doit être conservé pendant 10 ans après la mise sur le marché du produit, ou pendant la période de support, la durée la plus longue étant retenue.; Cette leçon porte sur la durée de conservation, la place du SBOM dans l'ensemble plus large de la documentation technique et les personnes pouvant le demander ainsi que les conditions applicables.Fondamentaux du SBOM du CRA, Leçon 1.3: La règle de conservation de 10 ans et qui obtient l'accès. Aussi dans : Leçon 0.1; Leçon 4.1
The ten measures: Les dix catégories énumérées à l'article 21(2), qui représentent le périmètre minimal de l'UE des mesures de gestion des risques que toute entreprise concernée doit mettre en place.
Third-party liability: La partie d'une police qui indemnise les personnes extérieures à l'entreprise lorsque la défaillance de celle-ci leur a causé un préjudice.
Top-level dependency: Composant que votre produit importe ou lie directement. L'exigence minimale du CRA à l'annexe I, partie II, point (1) impose que la SBOM couvre au moins ces éléments. Si votre code contient `import requests` ou `<dependency>spring-boot</dependency>`, il s'agit de dépendances de premier niveau.; Cette leçon explique la différence entre dépendances de premier niveau et dépendances transitives, la raison d'être de cette distinction dans le texte légal et pourquoi les bonnes pratiques vont au-delà du minimum légal.Fondamentaux du SBOM du CRA, Leçon 1.2: Dépendances de premier niveau vs dépendances transitives. Aussi dans : Leçon 4.1
Training duty: L'obligation légale, au titre de l'article 20(2) NIS2, selon laquelle chaque membre de l'organe de direction doit personnellement suivre une formation en cybersécurité.; L'obligation de formation est personnelle et non délégable.Formation NIS2 pour la direction, Leçon 1.6: Votre obligation de formation. Aussi dans : Leçon 0.1
Transitive dependency: Composant intégré par l'une de vos dépendances de premier niveau, et non directement par votre code. Log4Shell (CVE-2021-44228) était une dépendance transitive dans des milliers d'applications dont les équipes ignoraient la présence. L'exigence minimale du CRA n'impose pas de les lister, mais les bonnes pratiques le recommandent.; Cette leçon explique la différence entre dépendances de premier niveau et dépendances transitives, la raison d'être de cette distinction dans le texte légal et pourquoi les bonnes pratiques vont au-delà du minimum légal.Fondamentaux du SBOM du CRA, Leçon 1.2: Dépendances de premier niveau vs dépendances transitives. Aussi dans : Leçon 4.1
Transposition: Le processus par lequel chaque pays de l'UE transpose une directive de l'UE dans son propre droit national.; Celui-ci EST un règlement, il s'applique donc directement dans les 27 États membres sans transposition, mais uniquement aux fournisseurs numériques énumérés à son article premier : fournisseurs de services DNS, registres des noms de domaines de premier niveau, fournisseurs de services d'informatique en nuage, de services de centres de données et de réseaux de diffusion de contenu (CDN), fournisseurs de services gérés et de services de sécurité gérés, places de marché en ligne, moteurs de recherche en ligne, plateformes de services de réseaux sociaux et fournisseurs de services de confiance.Formation NIS2 pour la direction, Leçon 1.1: Ce qu'est NIS2 et pourquoi il existe. Aussi dans : Leçon 0.1
Transposition law: La loi nationale qu'un pays adopte pour transposer une directive de l'UE.

V

VEX: Vulnerability Exploitability eXchange. Une déclaration jointe à une SBOM qui consigne si une CVE connue affecte réellement votre produit et pourquoi. Prise en charge nativement dans CycloneDX. Le CRA ne mentionne pas VEX, mais une déclaration « non affecté » accompagnée d'une justification consigne pourquoi une vulnérabilité connue n'a pas nécessité de correctif (annexe I, partie II).; CycloneDX dispose d'un support natif de VEX.Fondamentaux du SBOM du CRA, Leçon 2.2: SPDX et le choix de votre format. Aussi dans : Leçon 1.2; Leçon 2.1; Leçon 3.2; Leçon 4.1
Vulnerability: Une faiblesse dans un système qui pourrait être exploitée par une menace.; Chaîne d'approvisionnement et systèmes : (d) la sécurité de la chaîne d'approvisionnement et (e) la sécurité dans la manière dont vous achetez, développez et maintenez les systèmes informatiques, y compris la gestion des vulnérabilités.Formation NIS2 pour la direction, Leçon 1.9: Les dix mesures : vue d'ensemble
Vulnerability handling: Le processus continu de détection, d'évaluation et de correction des vulnérabilités connues.; L'article 21(2)(e) de la directive NIS2 exige « la sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information, y compris le traitement des vulnérabilités et leur divulgation ».Formation NIS2 pour la direction, Leçon 2.10: Mesure 5 - Acquisition, développement et maintenance

W

Without undue delay: Dès que raisonnablement possible ; le critère juridique de la rapidité de notification des clients.; L'article 23(1) de la directive NIS2 prévoit que, le cas échéant, les entités notifient, « sans retard injustifié », aux destinataires de leurs services les incidents importants susceptibles de nuire à la fourniture de ces services.Formation NIS2 pour la direction, Leçon 1.12: L'obligation d'information des clients

Sources

BSIG, loi sur l'Office fédéral de la sécurité de l'information et sur la sécurité des technologies de l'information des entités (version du 2 décembre 2025) : https://www.gesetze-im-internet.de/bsig_2025/
Directive NIS2 (UE) 2022/2555, Journal officiel de l'Union européenne : https://eur-lex.europa.eu/eli/dir/2022/2555/oj
Règlement d'exécution (UE) 2024/2690 de la Commission, Journal officiel de l'Union européenne : https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
Règlement (UE) 2024/2847 (Cyber Resilience Act), Journal officiel de l'Union européenne : https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Règlement (UE) 2016/679 (GDPR), Journal officiel de l'Union européenne : https://eur-lex.europa.eu/eli/reg/2016/679/oj
BSI, normes IT-Grundschutz BSI-200-1 à BSI-200-4
BSI, IT-Grundschutz Kompendium (édition actuelle)

On vous a confié NIS2 ?

Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.

Essayer 30 jours, remboursé

Réserver un appel

Formation gratuite pour votre dirigeant Prix et conditions

Le parcours NIS2 : votre chemin étape par étape, les premiers points terminés