ENISA

ENISA

Agence européenne de cybersécurité, utile pour NIS2, résilience, cloud et sécurité des chaînes d’approvisionnement.

Explication de la marmotte

Cette agence ressemble à un bureau européen de conseil en construction : elle n’élève pas les murs elle-même, mais elle aide tous les pays voisins à suivre des règles communes, à vérifier leurs fournisseurs de briques et à garder leurs bâtiments debout quand la tempête arrive.

→ Lire l’explication complète de la marmotte

Rôle

ENISA publie des guides et études de référence à l’échelle européenne sur la résilience, la gestion du risque et les cadres sectoriels. Elle ne répond pas elle-même aux incidents des institutions de l’Union : ce métier revient au CERT-EU, qui a l’élégance de ne pas rédiger d’étude pendant qu’il éteint le feu.

Lectures prioritaires

• Site officiel : enisa.europa.eu
• Guides NIS2
• Travaux sur cloud, supply chain, maturité, résilience et menace

Sous-chapitres

Cadres européens

• NIS2 et exigences de résilience
• Harmonisation européenne et pratiques recommandées
• Lien entre politique publique et mise en œuvre technique

Risque et maturité

• Maturité cyber et pilotage
• Sécurité des fournisseurs et dépendances
• Vision macro utile aux architectes et responsables sécurité

Cloud et supply chain

• Références pour évaluer des dépendances critiques
• Lecture des chaînes d’approvisionnement numériques
• Bon complément aux standards plus techniques

Dans TortueTech

• Référence à utiliser pour Europe, résilience, cloud et supply chain
• Complément d’ANSSI, ISO et CISA selon le contexte

Points à vérifier

• à compléter : guides ENISA les plus intéressants pour le site
• à compléter : liens vers architecture, risque et conformité

🐝 Ce qui arrive si on s’en passe

Ignorer les travaux de l’ENISA, c’est lire les obligations européennes de résilience sans les guides qui les traduisent en pratique, et donc les interpréter seul, au risque de découvrir tardivement qu’on a répondu à une autre question. C’est aussi évaluer ses fournisseurs et ses dépendances critiques sans grille partagée : chaque audit invente ses critères, aucun résultat ne se compare, et la dépendance la plus fragile échappe à l’examen parce qu’elle ne figurait dans aucun questionnaire. La vision d’ensemble européenne, justement utile aux architectes, reste alors dans un rapport que personne n’a ouvert.

🦫 Explication de la marmotte 🍫

L’ENISA, Agence de l’Union européenne pour la cybersécurité, travaille à l’échelle de l’Europe. Elle ne contrôle pas directement les systèmes ; elle publie des guides et des études de référence qui aident les pays et les organisations à appliquer des pratiques communes.

Son premier domaine est celui des cadres européens. La directive NIS2, deuxième version du texte européen sur la sécurité des réseaux et des systèmes d’information, impose des exigences de résilience, c’est-à-dire la capacité à continuer de fonctionner ou à repartir après un incident. L’agence aide à harmoniser la manière de les appliquer et fait le lien entre la décision politique et sa mise en œuvre technique.

Son deuxième domaine est le risque et la maturité : mesurer où en est une organisation, piloter ses progrès, évaluer la sécurité de ses fournisseurs et de ses dépendances.

Son troisième domaine est le nuage et la chaîne d’approvisionnement numérique, c’est-à-dire l’ensemble des fournisseurs, logiciels et services dont dépend un système. Ses travaux fournissent des grilles pour repérer les dépendances critiques.

Pour TortueTech, l’ENISA sert de référence pour les sujets européens de résilience, de nuage et de chaîne d’approvisionnement. Elle complète l’agence nationale française, les normes internationales de l’ISO, l’organisation internationale de normalisation, et l’agence américaine de cybersécurité, selon le contexte.

À lire aussi

• Comment exploiter le Global Risks Report du Forum économique mondialLe Forum économique mondial publie le Global Risks Report, un signal de gouvernance qui influence les priorités cyber sans constituer un référentiel technique.
• ISORéférence normative internationale pour les systèmes de management, les contrôles et la gestion des risques.
• Cloud Security AllianceRéférence cloud pour les matrices de contrôle, l’évaluation des fournisseurs et les repères de sécurité partagée.
• NIS2 pour les petites structuresLa plupart des petites structures ne sont pas directement visées par NIS2, mais beaucoup la rencontreront par leurs clients, sous forme de clauses et de questionnaires. Ce qu'elle demande ressemble moins à un chantier de conformité qu'à une hygiène qu'on aurait dû avoir de toute façon.

Pages voisines

La citent

• Comment exploiter le Global Risks Report du Forum économique mondial
• CCN-CERT Espagne : rôle, guides CCN-STIC et ENS
• NCSC-NL et coordination cyber portuaire néerlandaise
• Quel rôle joue l’INCIBE espagnol en cybersécurité
• AI Act : articuler les obligations de sécurité avec NIS 2, le CRA et le RGPD
• Monter un CSIRT interne, missions, services FIRST et rattachement
• NIS2 pour les petites structures
• Partager le renseignement sur la menace avec ISAC, MISP et STIX
• Prioriser les vulnérabilités avec CVSS 4.0, EPSS, KEV et exposition

ENISA

Elle cite

• ⇄Lien dans les deux sens :CERT-EU réponse aux incidents des institutions européennes
• Gérer les risques tiers et la chaîne logicielle
• NIS2 entités essentielles, obligations, périmètre et sanctions

⇄ : les deux pages se citent l’une l’autre.