Directive NIS 2 Foundation

Dix questions d'exemple de l'examen

Une par domaine de compétence, telles qu'elles apparaissent dans le simulateur.

1. Domaine 2 : Planification de la mise en œuvre de NIS 2

   Les organes de direction d'une entité soumise à la directive approuvent les mesures de gestion des risques en matière de cybersécurité, puis laissent toute l'exécution au département informatique, sans aucune intervention ultérieure. Quel devoir des organes de direction n'est pas respecté ?

   1. Rédiger les spécifications techniques de chaque mesure avant son déploiement.
   2. Transférer sa responsabilité juridique vers le responsable du département qui exécute matériellement le travail.
   3. Certifier l'entité selon une norme internationale de gestion.
   4. Superviser de manière continue la mise en œuvre des mesures qu'ils ont approuvées.

2. Domaine 1 : Concepts et définitions fondamentaux de NIS 2

   Un rançongiciel est arrivé sur le serveur de fichiers d'une entreprise, mais la protection du poste de travail l'a bloqué avant qu'aucun fichier ne soit chiffré et avant qu'aucun service ne cesse d'être disponible. Selon la terminologie de la directive, comment cet événement doit-il être classé ?

   1. Un incident, parce qu'un code malveillant a atteint un serveur de production.
   2. Un incident évité, parce que l'intrusion a été stoppée avant de se concrétiser.
   3. Un incident important, parce que le rançongiciel provoque de graves perturbations opérationnelles.
   4. Une vulnérabilité, parce que le serveur restait joignable depuis le réseau.

3. Domaine 2 : Planification de la mise en œuvre de NIS 2

   Un opérateur postal régional reçoit de son superviseur l'exigence de déterminer lui-même son exposition, de fixer ses propres objectifs et de présenter le document qui en résulte pour revue, au lieu de suivre une liste prescrite de technologies. Quelle approche réglementaire est appliquée ?

   1. Approche fondée sur la gestion, parce que l'entité s'autorégule elle-même et le régulateur évalue.
   2. Approche fondée sur la performance, parce que le but est fixé et le moyen ne l'est pas.
   3. Commandement et contrôle, parce qu'il y a un organisme public qui voit ce que fait l'opérateur.
   4. Corégulation par instruction contraignante, parce que le superviseur examine le plan et se réserve le dernier mot sur lui.

4. Domaine 1 : Concepts et définitions fondamentaux de NIS 2

   Quel changement la directive en vigueur a-t-elle introduit par rapport à la directive de 2016 concernant la sécurité des réseaux et des systèmes d'information ?

   1. Le devoir de transmettre un événement aux autorités naît lorsqu'il a déjà causé un préjudice mesurable.
   2. La notification s'ouvre par une alerte précoce préalable au rapport formel.
   3. La réponse des autorités à l'entité qui notifie a été supprimée pour gagner en rapidité.
   4. La couverture sectorielle a été réduite aux seuls opérateurs d'infrastructures critiques qui étaient déjà énumérés en 2016.

5. Domaine 2 : Planification de la mise en œuvre de NIS 2

   Une équipe de projet doit déterminer comment la cybersécurité est gérée aujourd'hui dans une organisation dont les salariés affirment que rien n'est mis en place. Quelle combinaison d'actions est recommandée à ce stade ?

   1. Reporter toute collecte de données, attendre que l'évaluation des risques s'achève, connaître d'abord les risques principaux et interroger le personnel ensuite.
   2. Commander un test d'intrusion externe, faire réaliser une analyse de vulnérabilités, recevoir le rapport technique produit et le prendre pour un portrait complet de la situation.
   3. Observer les contrôles du site, interroger les responsables, examiner les informations documentées et passer en revue les audits internes.
   4. Accepter la déclaration du personnel, croire qu'il travaille chaque jour avec les systèmes, tenir cette version pour bonne et consigner l'absence totale de mesures.

6. Domaine 1 : Concepts et définitions fondamentaux de NIS 2

   Une entreprise ferroviaire qui fournit des services de transport de marchandises dans un État membre emploie 620 personnes et déclare un chiffre d'affaires annuel de 95 millions d'euros. Comment est-elle classée ?

   1. Entité essentielle, parce qu'elle dépasse les plafonds de la moyenne entreprise dans un sous-secteur hautement critique.
   2. Entité importante, parce que le transport ferroviaire apparaît énuméré à l'annexe consacrée aux autres secteurs critiques.
   3. Entité importante, parce qu'elle ne dépasse pas simultanément les deux plafonds de la moyenne entreprise.
   4. Entité essentielle, parce que toute entreprise qui agit dans le secteur des transports reçoit toujours cette qualité quelle que soit sa taille.

7. Domaine 2 : Planification de la mise en œuvre de NIS 2

   Qui doit valider les objectifs de cybersécurité d'un programme de conformité, et ces objectifs peuvent-ils changer une fois le travail engagé ?

   1. Le chef de projet les valide, et ils restent fixés jusqu'à la clôture du programme.
   2. Le responsable de la sécurité les valide, et ils ne peuvent être revus qu'à sa demande.
   3. L'audit interne les valide, et ils sont revus après chaque cycle d'audit.
   4. Le plus haut niveau de l'organisation les valide dans tous les cas, et ils peuvent être revus à mesure que le travail avance.

8. Domaine 1 : Concepts et définitions fondamentaux de NIS 2

   Quelle partie du texte légal apporte les antécédents et les orientations interprétatives qui aident à comprendre les exigences contraignantes, sans imposer elle-même aucune exigence ?

   1. Le dispositif, partie du texte légal dont les dispositions forment des chapitres.
   2. Les considérants, paragraphes numérotés qui précèdent la partie dispositive du texte légal.
   3. Les annexes, partie du texte légal dont l'ordonnancement suit les secteurs.
   4. Le tableau de correspondance, qui relie les dispositions de 2016 à celles en vigueur.

9. Domaine 2 : Planification de la mise en œuvre de NIS 2

   Une équipe qui prépare l'analyse du contexte d'une organisation veut un seul outil qui sépare ce qui vient de l'intérieur de l'organisation de ce qui vient de son environnement. Quel outil le fait par conception ?

   1. Les cinq forces de Porter, qui pondèrent la rivalité sectorielle et la pression de l'environnement.
   2. L'échelle de maturité, qui note chacun des processus entre ce qui n'existe pas et ce qui est optimisé.
   3. L'analyse PEST, qui examine l'environnement politique et les autres forces du marché où agit l'organisation.
   4. L'analyse SWOT, dont les deux premiers quadrants décrivent l'organisation et les deux autres son environnement.

10. Domaine 1 : Concepts et définitions fondamentaux de NIS 2

    Une entité déjà certifiée selon la norme de systèmes de management de la sécurité de l'information demande quel document lui donnera un ensemble de référence de mesures génériques avec des recommandations pour les mettre en œuvre. Vers lequel faut-il l'orienter ?

    1. ISO/IEC 27002, applicable au sein d'un système de management comme base de bonnes pratiques reconnues.
    2. ISO/IEC 27005, applicable pour satisfaire aux exigences sur le traitement du risque.
    3. ISO/IEC 27701, applicable comme extension dédiée au management des informations relatives à la vie privée.
    4. ISO 22301, applicable pour se prémunir contre des perturbations importantes en vue du rétablissement.

Répondez à ces mêmes dix questions dans le simulateur et voyez l'explication de chaque option, y compris des mauvaises. Il s'ouvre sans inscription →

À propos de l'examen officiel : le format, la durée et le nombre de questions sont fixés par l'organisme qui certifie et peuvent évoluer ; confirmez-les dans sa documentation avant de vous présenter. Ce matériel entraîne la norme, pas l'examen d'un organisme particulier : il sert donc aussi si vous vous certifiez ailleurs.