Gestion des vulnérabilités NIS 2 au titre de l'article 21(2)(e)
La gestion des vulnérabilités a deux faces sous NIS 2. La manière dont vous traitez les faiblesses de vos propres systèmes. Et la manière dont vous traitez les faiblesses qui vous sont signalées. L'article 21(2)(e) est le siège de cette obligation, le CIR (UE) 2024/2690 §6.10 en précise les modalités pour les fournisseurs numériques qu'il couvre, et le §30(2)(5) BSIG la transpose en droit allemand.
En bref
La gestion des vulnérabilités est le point (e) de la liste de l'article 21(2). Le CIR intitule la section correspondante « Traitement et divulgation des vulnérabilités ». Ce titre est révélateur. NIS 2 se soucie de deux choses à la fois : les faiblesses présentes dans les systèmes que vous exploitez, et les faiblesses que des tiers trouvent dans vos produits et veulent vous signaler.
Pour les fournisseurs numériques qu'il couvre, le CIR §6.10 énonce cinq actions. Recueillir l'information sur les vulnérabilités auprès des CSIRT, des autorités, des fournisseurs et des prestataires de services. Lorsque cela est approprié, mener des analyses de vulnérabilités et consigner les résultats à intervalles planifiés. Remédier sans délai injustifié aux vulnérabilités critiques. Articuler le traitement des vulnérabilités avec vos processus de gestion des changements, des correctifs, des risques et des incidents. Et mettre en place une procédure de divulgation coordonnée des vulnérabilités (CVD) alignée sur la politique CVD nationale.
L'Allemagne cite la gestion et la divulgation des vulnérabilités pour chaque entité au §30(2)(5) BSIG, sans en prescrire la forme. Le BSI est le coordinateur national de la divulgation coordonnée des vulnérabilités (§5(1) BSIG) et l'exploite par le CERT-Bund. NIS 2 lui-même met également en place une base de données européenne des vulnérabilités au titre de l'article 12, exploitée par l'ENISA, où les entités peuvent procéder à une divulgation volontaire.
Article 21(2)(e) de la directive NIS 2 (2022/2555)
La sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités.
Point (e) de la liste des dix mesures. Notez la formulation : le traitement et la divulgation des vulnérabilités s'inscrivent dans une obligation plus large autour de l'acquisition, du développement et de la maintenance. Le CIR la scinde en points distincts (6.1 acquisition, 6.10 vulnérabilités).
CIR (UE) 2024/2690, annexe §6.10
Les entités concernées obtiennent des informations sur les vulnérabilités techniques de leurs réseaux et systèmes d’information, évaluent leur exposition à ces vulnérabilités et prennent les mesures appropriées pour gérer ces vulnérabilités.
Droit de l'UE directement contraignant pour les types d'entités énumérés à l'art. 1 du CIR (DNS, TLD, cloud, centres de données, MSP, services de confiance et les autres). Le §6.10.2 énumère cinq actions concrètes. Le §6.10.3 dispose que lorsque vous renoncez à l'atténuation, vous en consignez la raison par écrit. Le §6.10.4 dispose que vous réexaminez périodiquement les canaux que vous utilisez pour surveiller l'information sur les vulnérabilités.
§30(2)(5) BSIG (Allemagne)
Les mesures de sécurité pour l'acquisition, le développement et la maintenance des systèmes, composants et processus de technologie de l'information, y compris la gestion et la divulgation des vulnérabilités.
L'Allemagne reprend le texte de l'UE. Le cadre CVD national passe par le programme de divulgation coordonnée CERT-Bund du BSI, ce à quoi renvoie en Allemagne la mention « aligné sur les politiques CVD nationales applicables » du CIR §6.10.2(e).
Faire entrer l'information
Suivez l'information sur les vulnérabilités auprès des CSIRT, des autorités, des fournisseurs et des prestataires de services. Menez des analyses de vulnérabilités à une cadence adaptée à votre environnement. Les outils d'analyse (Tenable, Qualys, Nessus, OpenVAS) sont le côté ingénierie. Les flux (lettre d'information CERT-Bund, avis des fournisseurs, NVD) sont le côté veille. Les deux sont nécessaires.
Corriger les critiques, documenter le reste
Les vulnérabilités critiques sont corrigées sans délai. Le traitement des vulnérabilités doit s'articuler avec votre gestion des changements, votre gestion des correctifs, votre gestion des risques et votre gestion des incidents. Lorsque vous décidez de ne pas atténuer, le §6.10.3 impose de créer un plan d'atténuation documenté ou de consigner par écrit pourquoi aucune action n'est nécessaire. Pas de retard silencieux.
Mener un processus de divulgation coordonnée
Établissez une procédure de réception des signalements de vulnérabilités émanant de tiers et de coordination de leur divulgation, alignée sur la politique CVD nationale applicable. Mécanique minimale : un canal de contact publié (boîte security@ ou un fichier security.txt), un délai d'accusé de réception, un calendrier de remédiation et une publication coordonnée. CERT-Bund servira d'intermédiaire si nécessaire.
Périodique, pas réactif
Le point 6.10.2(b) demande, lorsque cela est approprié, des analyses de vulnérabilités dont les résultats sont consignés à intervalles planifiés, et le point 6.10.4 un réexamen des canaux de surveillance à intervalles planifiés. Pour les entités que couvre le CIR, cela signifie une cadence écrite : documentez la fréquence de vos analyses et celle du réexamen de votre liste de flux, et tenez-vous-y. Aucun texte ne fixe l'intervalle.
La divulgation fait partie de l'obligation
Le § 30(2) Nr. 5 BSIG et l'art. 21(2)(e) NIS 2 citent la divulgation des vulnérabilités à côté de leur traitement, pour chaque entité. Pour les fournisseurs numériques couverts par le CIR, le point 6.10.2(e) demande une procédure conforme à la politique nationale de divulgation coordonnée. Une mise en place minimale : une boîte security@ que quelqu'un lit, une courte politique et un fichier security.txt qui y pointe.
BSI / programme CVD CERT-Bund
Le BSI exploite CERT-Bund, le CSIRT fédéral, et opère un programme de divulgation coordonnée des vulnérabilités. Les chercheurs peuvent signaler via CERT-Bund et le BSI coordonnera avec les fournisseurs concernés. Le § 5(1) BSIG fait du BSI le coordinateur national de la divulgation coordonnée des vulnérabilités au titre de l'art. 12(1) NIS 2. Si vous mettez en place un processus de divulgation pour la première fois, la ligne directrice CVD du BSI est un bon modèle.
Base de données européenne des vulnérabilités (article 12 de NIS 2)
L'article 12 de NIS 2 met en place une base de données européenne des vulnérabilités exploitée par l'ENISA. Les entités peuvent y divulguer volontairement des vulnérabilités. Ce n'est pas un canal de notification obligatoire au titre de l'article 23. C'est une ressource de référence à l'échelle de l'UE qui agrège l'information sur les vulnérabilités à travers les États membres.
Les CSIRT nationaux comme coordinateurs CVD
Chaque État membre désigne l'un de ses CSIRT comme coordinateur de la divulgation coordonnée des vulnérabilités (art. 12(1) NIS 2). Les lois nationales peuvent aller plus loin que la directive (art. 5) : consultez donc le texte national. Diffèrent aussi le CSIRT auquel vous vous adressez et le fonctionnement de sa coordination.
Nous appliquons les correctifs le Patch Tuesday, c'est suffisant.
Pas pour les fournisseurs numériques couverts par le CIR : le point 6.10.2(c) dispose que les vulnérabilités critiques sont traitées sans retard injustifié. Le Patch Tuesday est une cadence de publication des fournisseurs. Une faille zero-day divulguée un jeudi avec une exploitation active n'attend pas le mardi suivant. Une cadence de correctifs pour les corrections de routine plus un processus hors cycle pour les problèmes critiques couvre les deux.
Nous n'avons pas de processus CVD parce que personne ne nous signale jamais de vulnérabilités.
Pour les fournisseurs numériques couverts par le CIR, le point 6.10.2(e) demande la procédure d'emblée, pas une fois les signalements arrivés. Pour toutes les autres entités, la divulgation est citée au § 30(2) Nr. 5 BSIG sans forme prescrite. Une boîte security@ et une politique d'une page sont, dans les deux cas, un petit pas raisonnable.
L'analyse des vulnérabilités, c'est le travail de l'équipe de sécurité.
Oui, jusqu'à ce que vous lisiez le §6.10.2(d) : le traitement des vulnérabilités doit être cohérent avec la gestion des changements, la gestion des correctifs, la gestion des risques et la gestion des incidents. Cela fait de la gestion des vulnérabilités un processus transverse touchant l'exploitation informatique, le développement et le risque, pas une activité de sécurité cloisonnée.
Le côté CVD est la moitié sous-documentée. Minimum réaliste : une boîte security@votredomaine.com routée vers deux personnes, une politique de divulgation d'une page, et un fichier security.txt à /.well-known/security.txt pointant vers la boîte. Pour les délais, la ligne directrice CVD du BSI attend d'un fournisseur qu'il accuse réception d'un signalement sous trois jours ouvrés et lui laisse 45 à 90 jours pour corriger, la fourchette usuelle à l'échelle internationale.
- Directive (UE) 2022/2555 (NIS 2), article 12 et article 21(2)(e): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Règlement d'exécution (UE) 2024/2690 de la Commission (CIR), annexe §6.10: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Loi BSI (BSIG), §30(2)(5) tel que modifié par la loi de mise en œuvre de NIS2 et de renforcement de la cybersécurité
- Programme de divulgation coordonnée des vulnérabilités BSI / CERT-Bund: bsi.bund.de
- Base de données européenne des vulnérabilités de l'ENISA (article 12 de NIS 2)
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Procurement & Development
Write the rules for buying, updates and vulnerabilities
What you check when buying, how updates arrive and who closes gaps.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
