# Annexe 2 — Matrice de criticité NIS2 des actifs IMEV ## 1. Méthode d'évaluation Chaque actif est évalué selon quatre critères :

Critère	Description
Disponibilité	Impact d'une indisponibilité
Intégrité	Risque de modification ou corruption
Confidentialité	Sensibilité des informations
Traçabilité	Besoin d'audit et investigation

Notation :

Niveau	Signification
1	Faible
2	Modéré
3	Important
4	Critique

--- # 2. Matrice de criticité

Actif	Disponibilité	Intégrité	Confidentialité	Criticité globale
Active Directory	4	4	3	Critique
LDAP	4	4	3	Critique
DNS	4	4	2	Critique
Firewall	4	4	3	Critique
VxRail	4	4	3	Critique
Unity XT	4	4	4	Critique
Veeam	4	4	4	Critique
VPN	3	4	4	Haute
Messagerie	3	3	3	Haute
Nextcloud	3	3	4	Haute
Serveurs scientifiques	3	4	4	Haute
GitLab	2	3	3	Moyenne
Postes utilisateurs	2	3	3	Moyenne

--- # 3. Priorisation des mesures de sécurité ## Niveau critique Mesures obligatoires : - sauvegarde régulière ; - supervision ; - journalisation ; - contrôle d’accès renforcé ; - MFA si applicable ; - maintien en condition de sécurité ; - documentation. Actifs concernés : - AD ; - LDAP ; - DNS ; - Unity XT ; - VxRail ; - Veeam ; - Firewall. --- ## Niveau haute Mesures : - suivi des mises à jour ; - contrôle des accès ; - supervision ; - sauvegarde adaptée. Actifs concernés : - VPN ; - messagerie ; - Nextcloud ; - serveurs scientifiques. --- ## Niveau moyenne Mesures : - gestion standard ; - mise à jour régulière ; - protection poste. Actifs concernés : - postes utilisateurs ; - services secondaires. --- # 4. Correspondance avec les exigences NIS2

Exigence NIS2	Réponse IMEV
Gestion des risques	Analyse de criticité des actifs
Sécurité des infrastructures	Architecture réseau segmentée
Gestion des accès	AD / LDAP / MFA
Continuité activité	Sauvegarde Veeam et Acronis + PRA
Gestion incidents	Procédure SSI
Sécurité fournisseurs	Évaluation services externes
Protection données	Classification données
Amélioration continue	Revue annuelle SSI

--- # 5. Évolution attendue Cette cartographie doit être maintenue : - au minimum annuellement ; - lors de l’arrivée d’un nouveau service critique ; - lors d’une évolution majeure d’infrastructure ; - après un incident significatif. Responsables : - SIR : mise à jour technique ; - CSSI : suivi SSI ; - Direction : validation des risques.