Classer la cyberattaque.
La signaler correctement.
Éviter la responsabilité.
L'ENTSO-E Cyber-Attack Classification Scale (CACS) oblige les fournisseurs d'énergie, les gestionnaires de réseau et les infrastructures critiques à classer et signaler systématiquement les cyberattaques. La méthodologie est en vigueur depuis le 13 juin 2025.
Quatre règlements. Une obligation.
La méthodologie CACS s'inscrit dans un environnement réglementaire UE complexe. Tout acteur du secteur de l'énergie doit en comprendre toutes les couches.
NCCS Règl. UE 2024/1366
Oblige les TSO et DSO à appliquer la méthodologie CACS. La méthodologie est en vigueur depuis le 13 juin 2025.
Directive NIS2 2022/2555
Obligations de signalement des incidents significatifs sous 24 heures (Early Warning) et 72 heures (Notification).
DORA Règl. UE 2022/2554
Définition de la « cyberattaque » — CACS s'appuie sur cette définition pour distinguer malicious / not malicious.
Règl. Électricité UE 2019/943
L'évaluation des risques à l'échelle de l'Union identifie les processus High-Impact et Critical-Impact comme base de la classification des actifs.
Qui est concerné ?
De l'événement à l'obligation de signalement
Chaque événement de sécurité passe par ce processus d'évaluation en 4 étapes. À chaque changement de paramètre, la classification doit être refaite (art. 7.3).
Root Cause
Déterminer la cause
L'origine de l'événement est-elle intentionnelle (malicious), non intentionnelle ou incertaine (uncertain) ? Seuls malicious ou uncertain sont qualifiés de cyberattaque.
- Malicious → Cyberattaque
- Uncertain → Cyberattaque
- Not Malicious → Pas de signalement
Potential Impact
Périmètre concerné
Quels actifs sont concernés ? Appartiennent-ils au périmètre High-Impact ou Critical-Impact selon l'art. 26(4)(c) NCCS ?
- Low PI : aucun actif High/Critical
- High PI : actif High-Impact concerné
- Critical PI : actif Critical-Impact concerné
Severity
Sévérité de l'attaque (MITRE)
Jusqu'où l'attaquant a-t-il progressé ? Sur la base de sa position dans MITRE ATT&CK Kill Chain (Enterprise & ICS).
- Low : Recon, Resource Dev, Initial Access
- High : Execution à Discovery
- Critical : Lateral Movement à Impact
Gravity
Évaluation globale
La combinaison Potential Impact et Severity donne le niveau de gravité final. High et Critical doivent être signalés au titre de l'art. 38(4) NCCS.
- To Follow / Medium / Important
- High → À signaler
- Critical → À signaler
Matrice de gravité & MITRE Kill Chain
Potential Impact × Severity = Gravity Level. Les cellules marquées ★ sont à signaler au titre de l'art. 38(4) NCCS.
Matrice de gravité (Art. 7)
MITRE ATT&CK Kill Chain (Art. 6)
L'attaquant tente d'accéder à un ou plusieurs actifs.
L'attaquant dispose d'un accès au moins limité à un ou plusieurs actifs.
Plus d'un actif est concerné par lateral movement ou l'attaquant peut interrompre des processus.
Nous vous rendons CACS-ready.
De l'analyse d'écart au processus de signalement complet — VamiSec vous accompagne tout au long du parcours vers la conformité NCCS art. 37(8).
Classification des actifs
Identification et affectation de vos actifs aux périmètres High-Impact et Critical-Impact selon l'art. 26(4)(c) NCCS.
Cadre Root Cause
Mise en place de processus internes pour une évaluation rapide et conforme des causes des événements de sécurité.
Mapping MITRE ATT&CK
Intégration des frameworks MITRE ATT&CK Enterprise et ICS pour automatiser l'évaluation de la sévérité.
Analyse d'écart CACS
État des lieux : où en est votre organisation aujourd'hui ? Que manque-t-il pour une conformité NCCS art. 37(8) complète ?
Processus de signalement (Art. 38)
Mise en place de procédures de signalement conformes pour les incidents High et Critical Gravity auprès des autorités nationales et des CSIRT.
Formation & tabletop CACS
Formations pratiques et simulations d'incidents pour votre SOC, IT et direction — y compris exercices de classification CACS.
La conformité CACS commence par une conversation.
La méthodologie CACS est obligatoire depuis le 13 juin 2025. De nombreux fournisseurs d'énergie n'ont pas encore terminé l'implémentation — en particulier la classification des actifs et l'intégration MITRE.
Notre équipe connaît les exigences NCCS dans la pratique et a déjà accompagné plusieurs TSO et DSO dans l'implémentation. Certifié ISO 27001.
- ISO 27001 Lead Auditor & Lead Implementer
- Experts conformité NCCS & NIS2
- MITRE ATT&CK Practitioner (Enterprise & ICS)
- Expérience dans le secteur de l'énergie (projets TSO/DSO)
Vos processus sont-ils CACS-ready ?
La méthodologie CACS est en vigueur. Demandez dès maintenant une analyse d'écart gratuite et assurez la conformité.
Réserver un conseil initial gratuit