L'identification : le socle de tout le reste

Ce que l'article 8 demande réellement

L'exigence n'est pas « tenir un inventaire d'actifs ». Elle est de relier :

fonction métier → criticité → actifs TIC qui la soutiennent → tiers qui les fournissent → interdépendances

La plupart des organisations disposent d'un inventaire d'actifs (côté informatique) et d'une cartographie de processus (côté métier). Ces deux objets existent séparément et ne se parlent pas. L'article 8 exige précisément le lien entre les deux.

La séquence de construction

1. Identifier les fonctions critiques ou importantes. Une fonction est critique ou importante si son interruption compromettrait sensiblement les performances financières, la solidité ou la continuité des services, ou le respect des conditions de l'agrément. La qualification est une décision documentée, pas une évidence.

2. Rattacher les actifs TIC. Pour chaque fonction, les applications, bases de données, infrastructures, réseaux et terminaux qui la soutiennent. La granularité utile est le service applicatif, pas le serveur.

3. Rattacher les tiers. Chaque actif fourni ou opéré par un tiers est identifié comme tel, avec la référence du contrat. C'est ce chaînage qui alimentera le registre d'information de l'article 28.

4. Documenter les interdépendances. Quelles fonctions partagent un actif ? Quels actifs dépendent d'un même tiers ? C'est ici qu'apparaissent les concentrations.

Articles 11 et 12 : réponse, rétablissement, sauvegarde

L'article 11 exige une politique de continuité des activités TIC et des plans de réponse et de rétablissement, testés au moins annuellement et après tout changement substantiel. Il exige aussi d'estimer l'impact, les pertes et les dommages de chaque incident majeur — une exigence de quantification que beaucoup d'organisations découvrent tardivement.

L'article 12 traite les sauvegardes : périmètre et fréquence fondés sur la criticité, systèmes de restauration physiquement et logiquement séparés du système source, tests périodiques de restauration, et capacités redondantes adéquates.

La séparation logique est le point le plus souvent non conforme. Une sauvegarde administrée avec les mêmes identités que la production n'est pas logiquement séparée, quel que soit son emplacement physique.

Le reporting au conseil

L'organe de direction doit recevoir un reporting périodique. Un format qui fonctionne, en une page :

1. Incidents majeurs de la période, avec impact estimé ;
2. Tests réalisés et écarts constatés ;
3. Évolution du registre d'information et des concentrations ;
4. Avancement du plan de remédiation ;
5. Décisions demandées au conseil.

Le point 5 est celui qui transforme le reporting en gouvernance. Un reporting sans demande de décision est une information ; l'article 5 attend une supervision.