Le piège classique
Le considérant 81 introduit le principe de proportionnalite des mesures de cybersécurité : ni sous-investissement, ni sur-ingenierie. En pratique, l'ILR sanctionné deux derives opposees : l'entité qui invoque la proportionnalite pour ne rien faire ('nous sommes une petite entité importante'), et celle qui deploie un SOC 24/7 sans avoir documente pourquoi son risque le justifie. Sans analyse de risque formalisee qui justifie chaque mesure au regard de l'état de l'art et du cout, vous êtes attaquable des deux cotes.
Le test de proportionnalite que l'ILR attendra
Pour chaque mesure de l'article 21(2) NIS 2, vous devez pouvoir répondre a quatre questions opposables :
- Risque adresse : quel scénario de menacé concret (ransomware, supply chain, deni de service) cette mesure attenue, avec quelle probabilité et quel impact mesure ?
- état de l'art : quelle norme ou référentiel reconnu (ISO 27001:2022, ENISA, NIST CSF 2.0, BSI IT-Grundschutz) recommande cette mesure pour votre secteur et votre taille ?
- Cout de mise en œuvre : combien coute la mesure (CAPEX, OPEX, ETP) rapporte au cout du sinistre evite et au chiffre d'affaires de l'entité ?
- Décision documentee : qui a arbitre l'inclusion ou l'exclusion de la mesure, sur quelle base, et a quelle date la décision sera-t-elle reevaluee ?
Comment Luxgap automatise ce risque
Notre Luxgap Proportionality Engine transforme le principe abstrait du considérant 81 en une matrice de décision opposable a l'ILR, générée automatiquement à partir de votre profil de risque reel. L'outil croise votre cartographie d'actifs (extraite d'Active Directory, Microsoft Defender, CrowdStrike, Wazuh, Azure Sentinel), votre exposition (scan externe continu, threat intel ENISA et CTI ILR) et votre profil financier (chiffre d'affaires, effectifs, secteur annexe I ou II) pour calculer, mesure par mesure de l'article 21(2), un score de proportionnalite justifie.
- Calcule pour chaque mesure de gestion des risques un score cout/bénéfice base sur votre exposition reelle et compare aux baselines ENISA et ISO 27001:2022 de votre secteur.
- Detecte les mesures sous-dimensionnees (risque eleve, contrôle absent ou faible) et les mesures sur-dimensionnees (cout disproportionne au regard du risque residuel).
- Genere automatiquement la Statement of Applicability conforme ISO 27001 annexe A, avec justification ecrite de chaque inclusion ou exclusion.
- Reevalue le score en continu et alerte sur Teams ou email des qu'un changement (nouvel actif critique, vulnerabilite CVSS > 8, nouvelle norme ENISA) remet en cause la proportionnalite.
- Produit un dossier PDF horodate, cryptographiquement scelle, opposable a l'ILR en cas de contrôle, qui démontré que chaque arbitrage de mesure a ete documente, date et signe.
Disponible en complement d'un mandat CISO Luxgap ou en brique SaaS dediee selon votre périmètre. Demandez un devis personnalise et nos équipes preparent une demonstration sur votre cartographie reelle, avec un audit blanc gratuit sous 48h pour mesurer l'alignement de vos mesures actuelles au principe de proportionnalite NIS 2.
