Accompagnement à la conformité NIS V2 du système DSN

La mission accompagne la mise en conformité NIS V2 du système d’information régulé (SIR) DSN. Elle porte sur les politiques et processus de sécurité des opérateurs du système, la structuration d’une gouvernance de sécurité propre à la DSN et l’évaluation de la conformité aux 10 objectifs de sécurité de la directive.

La prestation s’organise en trois temps :

• État des lieux de la documentation et des processus de sécurité en place chez les opérateurs de la DSN.
• Élaboration et mise en œuvre d’une gouvernance de sécurité, comprenant une politique dédiée et une comitologie à définir avec les opérateurs.
• Audit de conformité NIS V2.

La DSN comprend plusieurs blocs applicatifs exploités par quatre opérateurs : le GIP-MDS pour l’authentification (bloc 0), l’Urssaf Caisse Nationale pour les dépôts du régime général (bloc 1 RG), la MSA pour les dépôts du régime agricole (bloc 1 RA) et la CNAV pour la répartition des données vers les organismes de protection sociale (bloc 3). La mission implique donc des échanges avec les RSSI et leurs équipes au sein de ces opérateurs.

Livrables et modalités de travail

Les livrables attendus sont :

• Un rapport sur les politiques et procédures de sécurité existantes, avec des préconisations pour atteindre une gouvernance de sécurité.
• Une gouvernance de sécurité comprenant une politique dédiée à la DSN et un document recensant les processus de sécurité mis en œuvre dans son système d’information.
• Un rapport d’audit de conformité NIS V2 et une déclaration d’applicabilité listant les objectifs de sécurité et la manière dont la DSN y répond.

La mission se déroule principalement à distance, sous forme d’ateliers et de réunions avec les RSSI et leurs équipes. Une présence sur site peut être demandée ponctuellement pour des réunions avec la direction, dans la limite de 5 réunions.

La DSN dispose d’une homologation de sécurité et d’une analyse de risques au format EBIOS RM, indiquées comme devant être revues en 2026. Un test d’intrusion a été réalisé en 2024 ; un audit d’architecture et de configuration est annoncé pour le dernier trimestre 2026.

Les livrables sont vérifiés par le GIP-MDS dans un délai maximal de 15 jours. En cas de demandes de mise au point, le titulaire dispose d’au plus 8 jours après notification pour remettre une version corrigée. À compter de la troisième version jugée non conforme, une pénalité forfaitaire de 500 € HT par livrable ou sous-livrable non conforme peut être appliquée.