Paradigm, identifié comme service essentiel au regard de NIS2, doit remettre en route et structurer son programme de conformité NIS2.

La mission vise à établir une structure de programme NIS2 opérationnelle, à accompagner la reprise du pilotage, et à assurer un support ainsi qu’un transfert de compétences vers la personne qui assurera le rôle de Programme Manager en interne.

Le consultant interviendra principalement en qualité d’expert NIS2, en support et accompagnement du Programme Manager interne. À titre très provisoire, et uniquement durant la phase de démarrage, il pourra adopter une posture de Programme Manager afin de mettre en place la structure du programme NIS2 : gouvernance, rituels de pilotage, priorisation, feuille de route et reporting. Cette intervention vise à installer le cadre de fonctionnement du programme, sans se substituer durablement à la fonction interne.

Justification :

Le programme NIS2 doit être relancé sur des bases clarifiées, priorisées et démontrables afin de répondre aux attentes applicables aux services essentiels et de sécuriser la trajectoire de conformité de Paradigm.

L’accompagnement externe permettra de consolider les éléments déjà disponibles, de structurer la gouvernance, de faciliter la priorisation des actions, d’identifier les quick wins et de renforcer l’autonomie du Programme Manager interne.

L’approche proposée reposera sur une logique « risk-based » et sur la définition d’un socle de « Minimum Viable Compliance », afin de concentrer les efforts sur les risques réels pesant sur les activités essentielles de l’organisation.

Périmètre de la mission :

• Prise de connaissance structurée du programme NIS2 existant, sur base des rapports, auto-évaluations, analyses d’écarts, documents produits et plans d’action déjà disponibles
• Clarification, au démarrage de la mission, du périmètre d’intervention avec le consultant, le sponsor, le CISO et la cellule GRC, en tenant compte des travaux déjà prévus ou réalisés
• Revue de la cartographie des activités métiers, des services critiques et des dépendances internes et externes, y compris les fournisseurs, ainsi que de leur alignement avec les risques cyber
• Objectivation des points d’attention du programme, identification des éléments nécessitant clarification ou consolidation, et mise en évidence des leviers permettant d’en faciliter la poursuite, la priorisation et le pilotage
• Identification de quick wins permettant de relancer rapidement la dynamique de conformité
• Définition d’une approche méthodologique risk-based pour prioriser les actions selon les risques réels pesant sur les activités essentielles
• Définition d’une approche de type Minimum Viable Compliance, comprenant un périmètre clarifié, une gouvernance définie, une cartographie des activités critiques, un plan d’action priorisé et les premiers éléments de preuve associés
• Accompagnement, support et formation du Programme Manager interne afin de faciliter la reprise en main durable du programme NIS2
• Construction d’une feuille de route phasée, graduée et itérative couvrant les actions immédiates, les remédiations prioritaires, l’industrialisation du pilotage et l’amélioration continue

Objectif :

Permettre à Paradigm de reprendre le contrôle de son programme NIS2, de concentrer ses efforts sur les priorités réelles et de disposer d’une trajectoire crédible vers une conformité durable.

• Relancer rapidement la dynamique de conformité NIS2
• Structurer une gouvernance et un pilotage lisibles du programme
• Prioriser les actions selon les risques cyber et les activités essentielles
• Définir un socle minimal, réaliste et démontrable de conformité
• Renforcer l’autonomie du Programme Manager interne par un accompagnement expert et un transfert de compétences

Délivrables attendus :

Dans le cadre de la mission d’accompagnement expert NIS2 de Paradigm, le consultant produira les livrables suivants :

Cadrage et consolidation du programme NIS2 :

• Note de cadrage de la mission et confirmation du périmètre avec les parties prenantes. Définition du projet charter et du planning du programme
• Synthèse structurée des éléments existants : rapports, auto-évaluations, analyses d’écarts, documents de gouvernance, plans d’action et éléments de preuve disponibles
• Matrice des points d’attention, zones à clarifier, dépendances et décisions à arbitrer

Cartographie, criticité et priorisation par les risques :

• Revue de la pertinence de la cartographie métier existante et de son alignement avec les services critiques
• Identification des dépendances internes et externes significatives, notamment fournisseurs et services support
• Lien entre activités critiques, risques cyber, exigences NIS2 et priorités de remédiation

Approche méthodologique risk-based et Minimum Viable Compliance

• Approche méthodologique de priorisation fondée sur les risques réels pour les activités essentielles
• Définition du socle Minimum Viable Compliance attendu pour rendre la conformité progressive, réaliste et démontrable
• Identification des premiers éléments de preuve à constituer ou à consolider

Plan d’amélioration et feuille de route :

• Plan d’amélioration priorisé, distinguant quick wins, actions immédiates, remédiations prioritaires et chantiers d’industrialisation
• Feuille de route phasée, graduée et itérative pour le pilotage du programme NIS2
• Recommandations de gouvernance, rapports de suivi, indicateurs et mécanismes de reporting

Accompagnement du Programme Manager interne :

• Sessions de support, coaching et transfert de compétences à destination du Programme Manager interne
• Préparation et animation d’ateliers ciblés avec les parties prenantes pertinentes
• Support à la structuration des décisions, arbitrages et suivis nécessaires à la relance du programme

Reporting et restitution :

• Rapports périodiques d’avancement : état des actions, risques, décisions attendues et points bloquants
• Support de restitution à la direction, incluant la situation du programme, les priorités et la trajectoire proposée
• Capitalisation des supports méthodologiques utiles à la poursuite du programme après la mission

Profil attendu :

Le consultant devra disposer d’une expérience avérée dans l’accompagnement d’entités importantes ou essentielles au regard de NIS 2 et du Framework CYFUN, idéalement dans le secteur public.

• Expérience confirmée en gouvernance cybersécurité, conformité NIS2, gestion des risques et structuration de programmes de conformité
• Connaissance des environnements de services digitaux et publics
• Certifications de référence attendues : CISSP, CISM et ISO 27001 Senior Lead Implementer, ou équivalents démontrables
• Capacité à accompagner un Programme Manager interne, à former les parties prenantes et à produire des livrables exécutifs utilisables par la direction

Modalités de mission :

• Rôle : consultant expert NIS2 en support et accompagnement du Programme Manager interne, sans prise de rôle de Programme Manager ad interim
• Durée estimée : 50 jours
• Rythme indicatif : 1 à 2 jours par semaine, avec possibilité de renforcer l’appui au démarrage ou de l’étaler dans la durée selon les priorités du programme
• Coordination interne : implication du Programme Manager interne dès le démarrage, avec une disponibilité initiale prévue d’environ un jour par semaine et une montée en puissance envisagée à partir de septembre
• Modalités d’intervention : analyses documentaires, entretiens, ateliers ciblés et points de validation avec les parties prenantes, en présentiel et/ou en distanciel
• Date de départ souhaitée : ASAP, sous réserve de validation procurement et, le cas échéant, de l’autorisation du CA

Informations additionnelles :

La mission peut être reconduite pour une durée maximale (durée initiale comprise) de : 880 jours ouvrables.