L’étude du projet de loi Résilience – et donc la transposition de NIS2 – devrait reprendre début novembre.
Sur le terrain, beaucoup n’ont pas attendu. Depuis la diffusion du Référentiel Cyber France (ReCyF) à la fin de l’hiver, de futures entités essentielles et importantes, ainsi que leurs prestataires, adaptent leurs mesures de sécurité et leur documentation.
Moins pour anticiper un texte presque obsolète à sa sortie – un projet de réforme de la directive circule déjà – que pour relever le niveau de sécurité face à la déferlante.
Un réflexe à prendre dans ces chantiers : rendre paramétrable tout ce qui peut l’être.
Illustration avec la conservation des journaux.
ReCyF-20.5 impose de conserver les données de supervision et les événements de sécurité 3 mois au moins.
S’en tenir à ce plancher, au nom de la minimisation de la durée de conservation, peut sembler vertueux.
Mais un éditeur de DPI qui calerait toute sa journalisation, traces fonctionnelles comprises, sur cette durée pourrait embarrasser ses clients hospitaliers.
Le code de la santé publique impose en effet de garder 6 mois les traces d’accès au DPI.
Et côté CNIL, sont recommandés 6 mois à 1 an, voire jusqu’à 3 ans à des fins de contrôle interne.
Un même outil, quatre bornes. Une durée codée en dur, c’est une non-conformité programmée chez le prochain client.
Pour repérer ces points « paramétrables« , la méthode est simple. Croiser les référentiels et lister les frictions.
Ensuite, « il n’y a plus qu’à » coder le paramètre et sa plage d’admissibilité.
Et chez vous, quelle durée de conservation vos journaux affichent-ils aujourd’hui – et qui l’a fixée ?
Sources:
- 🇫🇷 Art. R6113-9-2 CSP
- 🇫🇷 Délibération n° 2021-122 du 14 octobre 2021 portant adoption d’une recommandation relative à la journalisation
- 🇫🇷 ReCyF-20.5
- 🇫🇷 Guide pratique RGPD – Sécurité des données personnelles, CNIL, mars 2023
- 🇪🇺 Proposition de directive en ce qui concerne les mesures de simplification et l’alignement sur le règlement sur la cybersécurité, Commission européenne, 20 janvier 2026
