Protinus aide le secteur suédois de l'énergie à lutter contre le NIS2

Anders Åhlgren n'est pas un consultant comme les autres. Fort de plusieurs dizaines d'années d'expérience dans la gestion de la sécurité de l'information et conseiller de la Commission européenne sur le Code de réseau sur la cybersécurité pour le secteur européen de l'énergie électrique parallèlement à la directive NIS2, ainsi que membre de la Task Force Smart Grid de la Commission européenne, il apporte à la fois une expertise politique et un pragmatisme pratique à chaque mission.

Aujourd'hui, par l'intermédiaire de sa société de conseil Protinus, il occupe le poste de responsable de la sécurité de l'information (CISO) pour 12 entreprises énergétiques en Suède. La plupart de ces entreprises sont de petite taille, souvent moins de 40 employés, mais elles sont confrontées aux mêmes contraintes de conformité que des entreprises beaucoup plus grandes.

Pour répondre à ces demandes sans augmenter les coûts ou la complexité, Anders s'appuie sur Cyberday.

"Cyberday fait partie de mon offre. Je dis à mes clients : oui, vous pouvez le faire sans, mais cela demandera beaucoup de travail."

Une faible sensibilisation, des enjeux importants

Lorsque M. Anders commence à travailler avec un nouveau client, il peut se trouver confronté à un ensemble de défis familiers : une faible maturité en matière de cybersécurité, une expertise interne limitée et des équipes dirigeantes qui sous-estiment l'importance et l'étendue de ce qui est requis.

"Le niveau de connaissance peut être faible", explique-t-il. "Les dirigeants peuvent ne pas être très intéressés. Et il n'y a pas de règles en place. Il y a peu de politiques et un manque d'appropriation".

Pourtant, la pression réglementaire se fait de plus en plus forte. Alors que la Suède n'a pas encore publié sa version nationale de la directive NIS2, les obligations européennes sont déjà dans le collimateur d'Anders et de ses clients.

Malheureusement, en l'absence d'un cadre ou d'un flux de travail clair, de nombreuses entreprises ont du mal à démarrer. "Un client a essayé sans moi, et cela s'est terminé sans aucun progrès", se souvient Anders.

Le Cyberday , colonne vertébrale de Protinus

C'est presque par hasard qu'Anders a intégré Cyberday à sa panoplie de consultant. L'un de ses premiers clients indépendants l'avait déjà mis en œuvre, et on attendait de lui qu'il le fasse fonctionner.

"Au début, c'était une période horrible", dit-il en riant. "Mais ensuite, j'ai commencé à l'aimer. J'ai réalisé qu'il pouvait résoudre de nombreux problèmes dans le secteur de l'énergie."

Aujourd'hui, Cyberday fait partie intégrante de son activité de conseil. Chaque mission de Protinus commence de la même manière : se familiariser avec l'outil, activer le cadre NIS2 et développer progressivement le système de gestion de la sécurité de l'information (SGSI).

Anders travaille avec ses clients à distance, se réunissant généralement en ligne une fois par semaine pendant quelques heures. Dans l'intervalle, il reste disponible par courrier électronique et peut directement prendre en charge leurs environnements Cyberday .

Comment ça marche : Le modèle de maturité NIS2 d'Anders

Anders suit un modèle de maturité étape par étape pour aider les organisations à établir progressivement un SMSI fonctionnel aligné sur NIS2. Le processus s'étend sur cinq étapes, de la mise en place initiale à l'optimisation complète. Voici comment il guide ses clients à travers le Cyberday:

1. La phase initiale

"Configurer Cyberday dans Teams".
Les clients commencent par accéder à Cyberday et à l'explorer dans leur environnement Microsoft Teams. Cela leur permet de se familiariser avec l'outil dans leur travail quotidien.

2. Géré

"Travailler sur les 104 tâches de NIS2"
L'étape suivante consiste à activer le cadre NIS2 dans Cyberday. Les clients commencent à accomplir les 104 tâches liées, ce qui leur permet de se familiariser avec l'étendue des exigences de conformité et les aide à prendre de l'élan.

3. Défini

"Désigner des responsables de thèmes et effectuer un audit interne"
Au fur et à mesure qu'ils progressent, Anders encourage les clients à déléguer des responsabilités en désignant des responsables de thèmes pour les ressources humaines, les fournisseurs, les plans, etc. Cela permet de répartir le travail et d'instaurer une responsabilité partagée. À ce stade, ils réalisent également un audit interne de base.

4. Gestion quantitative

"Aborder les conclusions de l'audit et lancer le guide du personnel"
L'équipe commence ici à combler les lacunes identifiées. Elle traite les non-conformités constatées lors de l'audit et crée un guide dans Cyberday pour soutenir la formation continue du personnel.

5. Optimiser

"Le SMSI est maintenant établi"
A ce stade final, le SMSI est opérationnel et intégré dans le travail quotidien. Les organisations gèrent :

• Déviations et incidents
• Améliorations continues
• Formation du personnel
• Contrôles des fournisseurs
• Audits internes
• Examen de la gestion