13.4-EE
EE
L’entité, pour chacun de ses activités et services, définit et documente la durée maximale d’interruption admissible (DMIA) et l e point de rétablissement des données (PRD).
| Publié par | ANSSI |
|---|---|
| Version | 2.5 |
| Date de publication | 2026-03-17 |
| Langue | fr |
| Exigences | 176 |
| Document source | recyf.pdf |
| Clé de plateforme | arcate:compliance:frameworks/recyf/2.5 |
Exigences
13.5-EI/EEEI/EE
Les mécanismes de sauvegarde sont dimensionnés pour répondre aux besoins de disponibilité associés aux différents services et aux différentes activités fournis par l’entité.
13.6-EE
EE
L’entité définit et met en œuvre un plan de continuité d’activité (PCA) et un plan de reprise d’activité (PRA) adaptés aux scénarios de crises d’origine cyber et cohérents avec la durée maximale d’interruption admissible et le point de rétablissement des données.
13.7-EE
EE
L’identification de ces mesures de continuité s’appuie notamment : • Sur la cartographie de l’écosystème ; • Sur la procédure de gestion des incidents pour détecter et réagir au plus tôt aux incidents ; • Sur la procédure de gestion des crises d’origine cyber pour permettre la reprise au plus tôt des services.
14
— Réaction aux crises d’origine cyber
Les entités [importantes ou essentielles] mettent en œuvre une organisation, des processus et des outils adaptés pour se préparer et réagir à des crises d’origine cyber et tiennent à la disposition des autorités nationales compétentes et en particulier de l’autorité nationale de sécurité des systèmes d’information les informations relatives aux parties prenantes externes à l’entité pertinente dans la gestion de la crise. Les [entités essentielles] mettent en œuvre des retours d’expérience permettant d’identifier les axes d’amélioration et les mesures associées à mettre en œuvre suite à un entraînement, un exercice ou une crise réelle.
14.1-EI/EEEI/EE
L’entité s’assure de la définition, du maintien à jour et de la mise en œuvre d’une procédure de gestion de crises en cas d’incident de sécurité sur ses systèmes d’information nécessitant le passage en mode crise (par exemple : pour les incidents importants au sens de l’article 17 du PJL).
14.2-EI/EEEI/EE
L’entité s’assure du maintien à jour d’une liste imprimée des personnes mobilisables dans la gestion de la crise sur les sujets relatifs à la sécurité numérique ainsi que leurs coordonnées.
14.3-EI/EEEI/EE
L’entité s’assure que la liste des personnes mobilisable s prévue au 14.2- EI/EE est accessible dans un format adapté à la nature de la crise (p ar exemple, la liste doit être accessible au format papier si les systèmes d’information ne sont plus disponibles, et elle doit être accessible au format numérique si la version papier n’est pas accessible).
14.4-EI/EEEI/EE
L’entité s’assure du maintien à jour d’un annuaire des parties prenantes externes à l’entité pertinente dans la gestion de la crise en s’appuyant sur la cartographie de l’écosystème.
14.5-EE
EE
L’entité s’assure de la mise en œuvre de retour d’expérience (RETEX) permettant d’identifier les axes d’amélioration et les mesures associées à mettre en œuvre suite à un entraînement, un exercice ou une crise réelle.
14.6-EE
EE
L’entité s’assure de la définition, du maintien à jour et de la mise en œuvre des critères permettant d’activer et de désactiver le dispositif de gestion de crise prenant en compte les menaces cyber.
14.7-EE
EE
L’entité s’assure de la définition, du maintien à jour et de la mise en œuvre des procédures et des mécanismes de gestion de la crise adaptés à la menace cyber en s’appuyant sur les recommandations de l’autorité nationale de sécurité des systèmes d’information. 3 Décret n° 2015-350 du 27 mars 2015 modifié relatif à la qualification des produits de sécurité et des prestataires de service de confiance pour les besoins de la sécurité des systèmes d'information. (legifrance.gouv.fr)
14.8-EE
EE
L’entité s’assure de la définition et de la mise en œuvre des mesures pour isoler, protéger et, le cas échéant, reconstruire les systèmes d’information concernés, activables en cas d’incident de sécurité. Ces mesures prennent en compte les infrastructures, applicatifs et services numériques externalisés à des prestataires et sont mises en place en cohérence avec les plans de continuité et de reprise d’activité.
14.9-EE
EE
L’entité s’assure de la définition d’une stratégie de communication adaptée aux crises d’origine cyber, incluant des scénarios de crise, le schéma d’organisation de la communication de crise, les outils de pilotage de la communication et des éléments de langage sur des sujets sensibles ou de crise. Cette stra tégie prend en compte les scénarios de menaces cyber identifiés.
14.10-EE
EE
L’entité s’assure de la disponibilité de moyens de communication de secours, si possible, sécurisés en temps de crise lorsque les moyens de communication habituels sont indisponibles.
15
— Exercices, tests et entrainements
Les entités [importantes ou essentielles] réalisent des exercices, tests et entraînements à intervalles réguliers pour vérifier la capacité de leur organisation, de leurs processus, de leurs outils et de leur préparation à faire face aux incidents de sécurité et aux crises d’origine cyber.
15.1-EI/EEEI/EE
L’entité s’assure de la sensibilisation et de la mise en œuvre d’a minima un exercice sur table à une fréquence qu’elle définit pour les personnes mobilisables dans le dispositif de gestion des crises d’origine cyber.
15.2-EE
EE
L’entité définit et met en œuvre une stratégie d’entraînement qui comporte, au minimum, les éléments suivants : • Une liste des acteurs amenés à participer aux différents dispositifs d’entraînement et d’exercice ; • Une liste d’exercices permettant d’entraîner ou de tester les capacités opérationnelles ; • Les objectifs visés par la stratégie ; • Les moyens de vérification ou d’évaluation d’atteinte de ces objectifs ; • Les scénarios de risques ou d’attaques à tester en priorité ; • La comitologie de suivi de la stratégie. Cette stratégie peut être mutualisée avec d’autres livrables.
15.3-EE
EE
Cette stratégie d’entraînement vise à tester les dispositifs mis en œuvre par l’entité en matière : • De gestion des alertes relatives aux incidents, aux vulnérabilités et menaces ; • De continuité et de reprise d’activité ; • De gestion des crises d’origine cyber.
15.4-EE
EE
L’entité décline cette stratégie dans la définition et la mise en œuvre d’un programme triennal d’entraînement et d’exercice. Ce programme précise notamment la fréquence de ces entraînements et exercices ainsi que leur nature et que leurs objectifs. Ce programme triennal doit permettre de tester les dispositifs de gestion des incidents, de gestion des crises d’origine cyber et de coopération avec l’écosystème et, le cas échéant, le volet cyber des plans de continuité et de reprise d’activité. 4 Décret n° 2015-350 du 27 mars 2015 modifié relatif à la qualification des produits de sécurité et des prestataires de service de confiance pour les besoins de la sécurité des systèmes d'information. (legifrance.gouv.fr) OBJECTIFS DE SECURITE APPLICABLES AUX ENTITÉS ESSENTIELLES
16
— Mise en œuvre d’une approche par les risques
Les entités [essentielles] mettent en œuvre une approche par les risques placée sous la responsabilité du dirigeant exécutif et leur permettant : 1. de prendre connaissance et de suivre l’évolution des risques pesant sur leurs systèmes d’information ; 2. de définir et suivre la mise en œuvre des mesures de sécurité pour maîtriser ces risques ; 3. d’accepter les risques résiduels.
16.1-EE
EE
L’entité définit, met en œuvre et maintient à jour une gouvernance par les risques. Cette gouvernance vise à s’assurer que le risque numérique est pris en compte par le dirigeant exécutif de l’entité et les responsables d’activité ou de service de l’entité au regard des rôles et responsabilités définis et que les moyens financiers, humains ou techniques adéquats sont alloués pour maîtriser ce risque. Cette gouvernance intègre les éléments issus de l’approche par la conformité et la complète par une approche par les risques, réalisée dans les conditions définies ci -après. Ces approches sont complémentaires et peuvent être mutualisées, notamment en termes de livrables attendus. 5 Décret En° 2015-350 du 27 mars 2015 modifié relatif à la qualification des produits de sécurité et des prestataires de service de confiance pour les besoins de la sécurité des systèmes d'information. (legifrance.gouv.fr)
16.2-EE
EE
L’entité s’assure que chaque système d’information fait l’objet d’une analyse de risques. Cette exigence peut être satisfaite via la réalisation et le maintien à jour d’une analyse de risques pour chaque activité ou service qu’elle fournit, couvrant l’ensemble des systèmes d’information supportant cette activité ou ce service. Cette analyse de risques s’appuie sur les éléments issus : • De la PSSI et des spécificités sectorielles ; • De la maîtrise de l’écosystème ; • De la maîtrise du système d’information ; • De l’approche par conformité ; • Des audits. La méthode EBIOS RM peut être utilisée pour réaliser cette analyse de risques.
16.3-EE
EE
L’entité valide l’analyse de risques, accepte les risques résiduels et met en œuvre le plan d’action pour maîtriser ces risques. Le plan d’action prévoit, au minimum, une échéance raisonnable et un responsable pour la réalisation de chaque action.