Retrouvez-nous à l’Espace Startups, et à notre atelier mercredi 7 octobre à 16h30. Grimaldi Forum, un pitch de dix minutes.
Réserver l’atelierNotre atelier aux AssisesPAR SECTEUR · ÉNERGIE & UTILITIES
Les postes électriques et la téléconduite tournent sur des protocoles plus vieux que votre équipe sécurité, patchés pendant de rares fenêtres d’arrêt et maintenus par des prestataires dont les portables atteignent le réseau. Mindlapse note ces prestataires comme les systèmes qu’ils touchent et pilote les exceptions, sans prétendre surveiller le réseau.
Entité essentielle NIS2 · LPM et OIV · Code de réseau cybersécurité · Prestataires notés
SecurityScorecard · Bitsight · Scovery
Un prestataire avec un accès distant à un poste électrique est noté comme le système qu’il touche.
LA SITUATION
Un accès distant à un poste électrique, évalué à la signature du contrat et jamais depuis.
NIS2, OIV, le code de réseau et CER, chacun avec son portail et son autorité.
RTU, relais de protection et SCADA sur des sites distants, où un changement est une décision de sûreté avant d’être une décision de sécurité.
Producteurs renouvelables, agrégateurs et opérateurs de recharge qui entrent dans le périmètre avec un responsable sécurité à temps partiel.
QUI EST CONCERNÉ
Électricité, gaz, pétrole, hydrogène, réseaux de chaleur, eau potable et eaux usées relèvent de l’annexe I de NIS2 : la plupart des opérateurs français seront des entités essentielles une fois la loi française applicable, avec la CRE et les ministères de tutelle comme autorités de référence. Les entités électriques à impact élevé ou critique sur les flux transfrontaliers relèvent aussi du code de réseau sur la cybersécurité une fois identifiées. Les plus grands opérateurs français sont opérateurs d’importance vitale au titre du Code de la défense, un régime dont les informations protégées restent chez l’opérateur. La page NIS2 porte le test d’entité.
Écrite pour
CE QUE MINDLAPSE CHANGE
Surface: Organization Map
Production, réseau, eau et commercialisation sont des entités avec leur registre, leurs échelles et leurs responsables ; le groupe lit une posture consolidée et descend jusqu’aux enregistrements de l’entité. Un poste électrique n’est pas un objet du registre.
En savoir plus
Surface: Mindlapse Trust Grade
Le prestataire O&M qui a un accès distant à un poste porte un Trust Grade calculé depuis son évaluation, l’impact métier du service essentiel qu’il atteint et les notations externes, pondérations à découvert.
En savoir plus
Surface: Risk Posture
Des indicateurs de risque clés à seuils vert, ambre et rouge, alimentés par les flux intégrés de la plateforme et lus face à l’appétence que le conseil a approuvée, avec l’instantané quotidien derrière chaque chiffre.
En savoir plus
Surface: Value Chain Map
Chaque métier est une chaîne de fonctions et d’activités avec un responsable et une criticité ; la téléconduite, le comptage et la plateforme client se placent là où ils arrêteraient le service, et un prestataire présent sous plusieurs activités est signalé sur la chaîne.
En savoir plus
Surface: Derogation lane
Le firmware du relais qui ne peut pas bouger avant le prochain arrêt obtient une dérogation avec des mesures compensatoires, un approbateur et une échéance calée sur la fenêtre, pour que la décision se rouvre d’elle-même au lieu de survivre à l’ingénieur qui l’a signée.
En savoir plus
LA CARTE DES OBLIGATIONS
Les lignes européennes d’abord, la spécificité française étiquetée ; chaque cellule « vérifie » est une affirmation produit au niveau du registre, aucune cellule ne porte de date, et la phrase sous le tableau est la seule source datée du site.
| Réglementation | Obligation | Ce que Mindlapse vérifie | Surface |
|---|---|---|---|
| NIS2 | Art. 21 · mesures de gestion des risques tous risques | Un seul jeu de contrôles, précartographié entre référentiels, chaque contrôle portant un verdict daté avec sa source | Control Atlas |
| NIS2 | Art. 23 · notification des incidents (les horloges sont sur la page NIS2) | Scénarios d’incident, responsables et circuits d’escalade tenus à jour ; quand l’horloge démarre, le dossier porte déjà l’entité, le service et les prestataires | Cyber Incidents |
| NIS2 | Art. 21(2)(d) · sécurité de la chaîne d’approvisionnement, fournisseurs et prestataires | Les prestataires à accès distant évalués dans le contexte du système qu’ils atteignent et notés ; la réévaluation se déclenche sur événement, pas sur un calendrier | Supplier Hub |
| Code de réseau | Code de réseau sur la cybersécurité · analyses de risque transfrontalières et contrôles minimaux pour les entités qu’il identifie à impact élevé ou critique | L’analyse de risques selon la méthode que vous pratiquez, par entité ; les contrôles dans le même atlas que NIS2 ; aucun référentiel code de réseau n’est revendiqué au catalogue | Risk Analysis |
| AI Act | Annexe III · composants de sécurité de la fourniture d’électricité, de gaz, de chaleur ou d’eau, à haut risque (dates sur la page AI Act) | Les systèmes d’IA placés sur la chaîne de valeur, leurs risques dans le même registre que tous les autres | Value Chain Map |
| LPM / OIV FR | Code de la défense, art. L.1332-1 et suivants · le régime des opérateurs d’importance vitale, comme paysage du lecteur | Les informations protégées OIV restent dans les systèmes de l’opérateur ; Mindlapse porte la couche de gouvernance non classifiée : contrôles d’entité essentielle, prestataires, dérogations à échéance de fenêtre d’arrêt | Derogation lane |
NIS2 devait être transposée dans toute l’UE avant le 17 octobre 2024. En septembre 2026, la loi française de transposition (le projet de loi résilience, qui refond aussi le régime OIV) est encore devant le Parlement, et la Commission européenne a saisi la Cour de justice contre la France en juillet 2026.
UN TRIMESTRE, PUIS LE JOUR OÙ L’AUTORITÉ DEMANDE
Quatre moments d’un trimestre ordinaire dans une entité essentielle, et ce que la plateforme avait déjà fait ; puis le jour où l’autorité compétente demande, en trois temps.
Un trimestre normal
SEMAINE 1
La dérogation RTU arrive en approbation.
Approuvée avec deux des trois mesures compensatoires en place, un approbateur au bon niveau et une échéance calée sur la fenêtre d’arrêt.
Surface: Derogation lane
alerte: SEMAINE 6
Un bulletin du BSI nomme votre fournisseur de relais de protection.
Le bulletin avait été rapproché des systèmes que vous aviez déclarés, avait fait bouger le risque et levé un constat ; la réévaluation du prestataire s’est déclenchée seule.
Surface: Risk Register
SEMAINE 9
L’équipe de deux personnes de la filiale eau clôture son trimestre.
Sur un seul module et un périmètre défini, depuis une file d’actions à la taille de l’équipe ; rien n’a été réimplémenté pour que le groupe puisse la lire.
Surface: Action queue
vérifié: SEMAINE 12
Analyse d’écarts avant le pack.
Par entité, à travers NIS2 et le code de réseau, depuis le même jeu de contrôles : couvert, partiel, ouvert, avec ce que la fermeture de chaque écart exige.
Surface: Control Atlas
Le jour où le superviseur demande
LA DEMANDE
L’autorité compétente demande à une entité essentielle ses preuves au titre de l’article 21 et la liste des exceptions encore ouvertes.
Les deux étaient lues depuis le même registre : les contrôles avec leurs verdicts datés, les dérogations avec leur échéance.
Surface: Control Atlas
CE QUI S’OUVRE
Les contrôles aux verdicts datés, les dérogations avec leurs mesures compensatoires, les prestataires sur les activités touchées.
Chaque dérogation avec son approbateur et son échéance de fenêtre d’arrêt ; chaque prestataire avec sa note et l’activité qu’il atteint.
Surface: Derogation lane
CE QUI S’EXPORTE
L’analyse d’écarts par entité et les preuves des contrôles.
Depuis le mode Audit, cadrées sur l’entité et le référentiel que l’autorité a demandés.
Surface: Audit mode
Trimestre illustratif : les moments sont fictifs, les surfaces sont celles du produit.
RETOURS DU TERRAIN
CYBER COLLECTIVE LAB · Édition 6
L’exercice de cellule de crise lu du côté OT de la table : ce que la salle a appris sur les prestataires qui détiennent un accès distant quand un agent vous échappe.
Mesuré avec les RSSI partenaires de conception, chiffres en validation continue.
SOUS LE CAPOT
FAQ
Oui. La plupart des clients démarrent avec un seul module sur un périmètre défini, l’abonnement est fixé par la tranche d’effectif de l’organisation couverte et non par utilisateur, et la file d’actions est une seule liste que les deux personnes traitent ; activer un second module plus tard est un avenant, pas un nouveau projet.
Non. Les informations protégées OIV et les informations classifiées sont hors du périmètre du SaaS partagé et restent dans vos propres systèmes ; Mindlapse porte la couche de gouvernance non classifiée : les contrôles d’entité essentielle, les prestataires, les dérogations. Pour les postures les plus exigeantes, la plateforme se déploie en instance dédiée, dans votre cloud privé ou on-premise ; aucune qualification SecNumCloud n’est revendiquée.
Non ; il ajoute des analyses de risque transfrontalières et des contrôles minimaux pour les entités électriques qu’il identifie à impact élevé ou critique. Dans Mindlapse, les deux se rapportent à un seul jeu de contrôles, et ce que votre superviseur demande, l’analyse d’écarts par entité et les preuves des contrôles, s’exporte depuis le module plutôt que d’être assemblé pour l’occasion.
Oui. La notation externe alimente le signal EASM du Trust Grade : une baisse fait bouger le signal et déclenche la réévaluation ; la note est recalculée avec les pondérations à découvert, et un signal périmé compte moins plutôt que de passer pour actuel.
Oui. Chacune est une entité avec des rôles délimités, son propre registre et des échelles héritées du groupe là où vous le décidez ; le groupe lit la posture consolidée et descend jusqu’aux enregistrements de l’entité. Les postes et les centrales ne sont pas des objets du registre : l’unité est l’entité, pas le site.
À lire ensuite
Le point cyber en décisions : accepter, financer, différer ou transférer, chacune à un clic de sa preuve.
En savoir plus
Le cyber coté comme les autres lignes : méthode, appétence, responsables, revues.
En savoir plus
Votre posture du lundi : risques, exceptions, fournisseurs et le pack, depuis un seul registre.
En savoir plus
Aussi par résultat
GLOSSAIRE
ESSENTIEL, VÉRIFIÉ
Une session en direct sur votre périmètre : entités, services essentiels, prestataires, la vue du conseil.
La mesure d’audience de notre hébergeur (Vercel) n’utilise aucun cookie et n’est pas concernée par ce choix. Google Analytics et les traceurs marketing restent désactivés tant que vous ne les acceptez pas. Lire la politique de cookies
