NIS2 & DORA : Comment mettre hors service les systèmes existants sans perdre les preuves de conformité

Votre RSSI veut que l'ancien système disparaisse au troisième trimestre. Votre équipe chargée de la conformité insiste pour que la piste d'audit survive. Votre responsable des archives s'inquiète de perdre 15 ans de contrats. Cela vous semble familier ?

Le déclassement est l'un des moyens les plus pratiques de réduire votre surface d'attaque et de répondre aux exigences des normes NIS2 et DORA. Mais c'est aussi l'une des décisions les plus risquées que vous puissiez prendre si vous ne faites pas attention à la préservation des preuves.

Ce guide propose une marche à suivre pratique pour retirer les demandes tout en conservant tous les éléments de preuve dont vous avez besoin en cas de conformité, d'audit ou de litige.

 

Pourquoi NIS2 et DORA vous poussent-ils à abandonner les systèmes existants ?

NIS2 et DORA placent tous deux la barre plus haut en matière de gestion des risques liés aux TIC et de résilience opérationnelle. Les systèmes existants ont tendance à augmenter votre surface d'attaque de manière prévisible :

• Composants et dépendances non corrigés
• Bases de données et cadres non pris en charge
• Comptes et identifiants codés en dur
• Intégrations et flux de données opaques

 

La mise hors service des systèmes existants réduit considérablement ce risque. Mais voici le piège : les organisations ferment une application pour découvrir plus tard qu'elles ne peuvent pas reconstituer qui a approuvé quoi, quelle version était finale ou comment un enregistrement critique a été créé. Il s'agit là d'un échec en matière de conformité et d'un risque de litige.

 

Le véritable objectif : réduire la surface d'attaque ET préserver la preuve

Une bonne application de la retraite nécessite de penser en deux courants parallèles :

• Renforcement de la sécurité en supprimant le système
• Préserver les exigences commerciales, légales et d'audit

 

Un plan de retraite bien conçu permet de constituer des archives :

• Complétez : vous pouvez prouver que vous avez exporté tous les documents pertinents et que rien n'a été omis
• inviolable : vous pouvez prouver que rien n'a changé après l'exportation
• Recherche possible : vous pouvez répondre aux auditeurs sans remettre en marche l'ancien système
• Explicable : vous avez préservé le contexte (métadonnées, processus, identité)

 

Un manuel d'application pratique sur la retraite

Utilisez-le comme un flux de travail reproductible pour retirer les applications tout en préservant les preuves de conformité.

Étape 1 : Classer ce que vous devez conserver

Avant d'exporter quoi que ce soit, déterminez le champ d'application. Il ne s'agit pas seulement de documents :

• Enregistrements et documents (contrats, factures, dossiers, approbations, décisions)
• Métadonnées (horodatage, propriétaires, versions, statuts, classifications, clés de gestion)
• Pistes d'audit (qui a fait quoi, quand, d'où, avec quel résultat)
• Règles de conservation et mises en suspens légales
• Modèle d'accès (qui peut voir quoi après la retraite)

 

Étape 2 : Définir l'ensemble des éléments de preuve par enregistrement

Un PDF seul est rarement suffisant. Pour chaque enregistrement ou document, définissez un paquet qui comprend :

• Fichier(s) original(aux) dans un format adapté à la conservation
• Métadonnées clés (clés d'entreprise, versions, approbations, signatures, règles d'entreprise)
• Historique des événements et extrait de la piste d'audit (preuves minimales viables)
• Relations (pièces jointes, structure parent/enfant, liens avec des cas ou des dossiers)

 

Étape 3 : Exporter avec des contrôles d'exhaustivité

Vous devez prouver que vous n'avez rien manqué :

• Geler la base de données source ou prendre un instantané pour éviter les cibles mobiles
• Exportation à l'aide de requêtes déterministes (entièrement documentée)
• Comptage et rapprochement : enregistrement des comptages par type/état avant et après l'exportation
• Générer un manifeste d'exportation (hachages, tailles, identifiants, horodatages)

 

Étape 4 : Préserver l'intégrité, le temps et la provenance

Pour rendre les archives défendables, ajoutez des preuves d'effraction et un ancrage temporel. En fonction de votre profil de risque, vous pouvez utiliser des horodatages qualifiés ou des services de confiance qualifiés. L'essentiel est que chaque contrôle soit vérifiable et reproductible.

C'est là que de nombreuses organisations se trompent : elles supposent que le logiciel d'archivage assure à lui seul l'intégrité. Ce n'est pas le cas. Vous devez rattacher vos preuves à des sources externes fiables (horodatage, sceaux légaux, chaînes de hachage) qu'un auditeur ou un tribunal accepterait.

Étape 5 : Rendre l'application consultable (sans refondre l'application existante)

Une archive qui ne peut pas répondre aux questions devient un projet informatique fantôme. Veillez à pouvoir effectuer des recherches dans les champs demandés par les auditeurs :

• Qui a approuvé ou signé ce document ?
• Quelle est la version finale ou décisive ?
• Quelle était la règle de rétention ou la rétention légale ?
• Qu'est-ce qui a changé, quand et qui est à l'origine de ce changement ?
• Pouvons-nous exporter une piste d'audit ou un rapport de preuve ?

 

Étape 6 : Contrôle d'accès, séparation et surveillance

Après le départ à la retraite, les schémas d'accès changent généralement. Mettez en œuvre l'accès au moindre privilège et conservez une piste d'audit des accès dans les archives elles-mêmes. Cela est important à la fois pour la conformité et pour la prévention des infractions.

 

Modes de défaillance courants à éviter

• Désactiver l'application avant de capturer un instantané ou une exportation finale et prouvable
• Exporter sans piste d'audit ou sans documenter la signification de chaque champ
• Stockage des exportations dans des fichiers partagés ad hoc sans contrôle de la conservation des données ni gouvernance des accès
• Maintenir indéfiniment l'ancien système en service uniquement pour des audits occasionnels (la surface d'attaque reste élevée).
• La mise en conformité est automatique une fois que les données sont archivées.

 

La place de Docbyte

Docbyte Vault est spécialement conçu pour la mise hors service des applications. Il permet de relever le défi de la préservation des preuves auquel la plupart des organisations sont confrontées :

• Exportation basée sur des normes : l'apport structuré de données d'application et de métadonnées dans des formats ouverts et adaptés à la conservation
• Emballage des preuves : regroupement automatique des enregistrements avec leurs pistes d'audit, leurs approbations et leur contexte
• Archives consultables : une récupération puissante par clés de gestion, approbations, versions ou dates sans avoir à reconstruire l'application existante
• Gouvernance de la rétention : des règles de conservation fondées sur une politique et appliquées dès l'admission
• Accès prêt pour l'audit : un contrôle d'accès basé sur les rôles avec des journaux immuables indiquant qui a consulté quoi
• Certification eIDAS : préservation qualifiée et la validation à long terme des documents sensibles ou à fort enjeu

 

Docbyte Vault s'aligne sur OAIS (modèle de référence pour un système d'information archivistique ouvert) et les exigences de résilience de NIS2, ce qui vous permet de retirer vos systèmes en toute confiance.

 

Foire aux questions (FAQ)

Le déclassement nous rend-il automatiquement conformes aux normes NIS2 ou DORA ?

Le déclassement réduit considérablement votre surface d'attaque, mais vous avez toujours besoin de contrôles pour la préservation des preuves, la gouvernance des accès, la surveillance et la résilience. La mise hors service d'une application doit faire partie d'un cadre documenté de gestion des risques liés aux TIC qui couvre le cycle de vie complet de vos systèmes et de vos données.

Pouvons-nous tout supprimer une fois que nous avons migré vers un nouveau système ?

Souvent non. Les obligations de conservation et de maintien légal exigent généralement de conserver certains documents pendant des années. L'astuce consiste à identifier ce que vous devez conserver, à le préserver de manière sûre et prouvable, puis à supprimer ce dont vous n'avez plus besoin selon des calendriers et des approbations documentés.

Quel est le meilleur format pour archiver les données d'un système existant ?

Cela dépend des types d'enregistrements et de votre contexte réglementaire. Vous souhaitez généralement des formats ouverts et bien documentés (tels que PDF, CSV, XML) et une structure de paquet qui préserve les métadonnées, les relations et l'historique des audits. Plus le contexte est réglementé, plus l'inviolabilité et la traçabilité deviennent importantes. Docbyte prend en charge plusieurs formats et peut vous conseiller sur l'approche la mieux adaptée à vos documents.

Combien de temps devons-nous conserver les données archivées ?

Cela dépend de votre secteur d'activité, de votre juridiction et des besoins de votre entreprise. Les documents financiers doivent souvent être conservés pendant 6 ou 7 ans, les documents relatifs à l'emploi pendant plus longtemps. Certains documents font l'objet d'une mise en suspens juridique et doivent être conservés indéfiniment. L'essentiel est de définir un calendrier de conservation, de l'appliquer de manière cohérente et de documenter votre justification. Docbyte Vault vous permet d'appliquer des politiques de conservation dès la réception des documents, afin que vous soyez prêt à les éliminer ou à les retirer de la circulation le moment venu.

Que se passera-t-il en cas de litiges juridiques ou d'audits concernant l'ancien système après son retrait ?

C'est précisément la raison pour laquelle l'archivage des preuves est important. Si vous avez capturé et conservé la piste d'audit, les approbations et les métadonnées avec les documents, vous pouvez reproduire le cas ou la décision très rapidement. Une archive avec des preuves d'altération, des horodatages et une chaîne de provenance claire devient votre meilleure défense. Sans cela, vous êtes vulnérable aux questions relatives à l'exhaustivité ou à l'authenticité.

 

Pages de solutions Docbyte connexes

Poursuivez avec les pages de solutions qui correspondent à ce sujet :

• Retrait de l'application
• Archivage à long terme
• L'archivage électronique qualifié