Un suivi récurrent, avec ou sans scanner existant
Un client de l'ESN souhaite surveiller les vulnérabilités de ses logiciels. Il dispose d'inventaires ou de SBOM, mais la veille et le suivi restent à organiser. S'il utilise déjà un scanner, ses résultats enrichissent ce travail. Qui vérifie l'applicabilité ? Qui rapproche les réponses éditeurs ? Qui prépare les arbitrages ? Sans responsable identifié, ces tâches retombent sur les équipes d'exploitation.
Une collaboration MCS peut prendre en charge la veille, la qualification et le suivi des dossiers confiés. L'ESN prépare les corrections et le client décide. Ce partage précise les inventaires de départ, les interlocuteurs et les alertes ou rapports que chacun reçoit pour agir.
Distinguer statut réglementaire et attente contractuelle
L'applicabilité de NIS2 dépend de l'activité et de la situation de l'entreprise. Le règlement d'exécution 2024/2690 vise notamment certaines catégories de services numériques, dont les prestataires de services gérés et de sécurité gérés. Le guide ENISA apporte des conseils de mise en œuvre et des exemples de preuves pour ces catégories. Les exigences sont à vérifier selon les services effectivement fournis.
Le client final peut aussi demander des éléments de suivi par contrat, indépendamment du statut du fournisseur. Pour un client financier, la relation de prestation et le statut de prestataire TIC critique désigné au sens de DORA sont distincts. Le contrat doit donc séparer les obligations de l'ESN, les demandes du client et les tâches confiées à CyberLifeCycle.
Sources : ENISA, guide technique de mise en œuvre de NIS2 pour les catégories visées par le règlement 2024/2690, Directive (UE) 2022/2555, articles 2, 4 et 21 et annexes, DORA, règlement (UE) 2022/2554, articles 1, 5 et 28
Cas fictif : trois acteurs, une seule chaîne de décision
Dans cet exemple fictif, Horizon maintient deux applications pour une entreprise. L'ESN détient les inventaires et les moyens de déploiement ; le client souhaite mieux suivre les dépendances et les fins de support. CyberLifeCycle organise la veille sur les composants des inventaires autorisés. Une bibliothèque commune fait l'objet d'un dossier technique partagé, tout en conservant les occurrences et les contraintes propres aux deux applications.
CyberLifeCycle propose une priorité documentée et prépare les actions. Horizon confirme leur faisabilité et fournit les éléments d'exécution ; le client arbitre les fenêtres et les exceptions. Les questions non résolues sont attribuées à leur propriétaire. Avant la clôture, les acteurs vérifient que la preuve attendue couvre bien les versions concernées.
| Étape | Répartition dans l'exemple |
|---|---|
| Inventaires et autorisations | Client et ESN fournissent les informations autorisées |
| Veille, qualification et proposition | CyberLifeCycle surveille les sources et documente les vulnérabilités du périmètre confié |
| Décision et exception | Le client arbitre selon ses responsabilités |
| Correction | L'ESN ou les équipes habilitées exécutent |
| Suivi et preuve | Les acteurs fournissent les éléments prévus et réexaminent les écarts |
Préparer une collaboration que le client final peut contrôler
Le cadrage couvre les produits, les versions, les inventaires disponibles, les sources et les restitutions. Il précise la relation avec le client final : qui reçoit une information nouvelle, qui autorise son partage et qui peut accepter un report ? Les modalités de sous-traitance ou de marque blanche peuvent alors être examinées avec les parties concernées.
Prévoyez les accès nécessaires, la confidentialité, la conservation des données et le circuit des demandes urgentes. Les restitutions doivent rendre visibles le périmètre suivi, les inconnues, les actions et les échéances. Vérifiez aussi les interfaces disponibles : un export exploitable peut suffire à démarrer, avant une éventuelle intégration aux outils existants.
Évaluer l'intérêt pour l'ESN et pour son client
Ajoutez un suivi MCS récurrent à vos prestations avec CyberLifeCycle. Les inventaires ou SBOM du client suffisent à définir le point de départ ; un scanner existant apporte des résultats supplémentaires. La répartition des rôles précise ce que chacun prend en charge. Pour l'évaluer, mesurez la charge par acteur et le temps nécessaire pour obtenir une décision ou retrouver une preuve.
Un premier périmètre permet de vérifier la qualité des données et des restitutions avant d'élargir le suivi. Distinguez les signalements, les occurrences et les actions pour comparer les volumes. La proposition précise la veille, la qualification, les priorités, les alertes et les rapports pris en charge par CyberLifeCycle, avec les responsabilités et modalités de service, sur devis.
Sources consultées
- Directive (UE) 2022/2555, articles 2, 4 et 21 et annexesConsulté le 30 octobre 2026.
- DORA, règlement (UE) 2022/2554, articles 1, 5 et 28Consulté le 30 octobre 2026.
- ENISA, guide technique de mise en œuvre de NIS2 pour les catégories visées par le règlement 2024/2690Consulté le 30 octobre 2026.