Khu vực công · NIS2
Khoảng 1 500 chính quyền địa phương, liên hiệp và tổ chức trực thuộc tại Pháp sẽ thuộc phạm vi NIS2. PSSI của bạn, từ 7 500 đến 20 000 € chưa VAT, nằm dưới ngưỡng 60 000 € chưa VAT: có thể đặt hàng trực tiếp.
Cập nhật ngày 13/10/2026
Bước tiếp theo
Chưa ấn định
Quốc hội xem xét tại phiên họp toàn thể, dự kiến ngày 07/10/2026 rồi bị hoãn
Văn bản của Pháp đến muộn, nhưng nội dung không có gì bất ngờ: nó chuyển hóa một chỉ thị châu Âu được công bố vào tháng 12/2022. Các nghĩa vụ đã được viết sẵn. Chỉ còn phạm vi chính xác và lịch áp dụng là chưa được ấn định.
12/2022
Công bố Chỉ thị (EU) 2022/2555, gọi tắt là NIS2
Đã hoàn tất17/10/2024
Hạn chót chuyển hóa vào luật quốc gia, Pháp đã bỏ lỡ
Đã hoàn tất12/03/2025
Dự luật được Thượng viện thông qua ở lần đọc thứ nhất
Đã hoàn tất09/2025
Văn bản được ủy ban đặc biệt của Quốc hội thông qua
Đã hoàn tấtChưa ấn định
Quốc hội xem xét tại phiên họp toàn thể, dự kiến ngày 07/10/2026 rồi bị hoãn
Bước tiếp theo
Chờ đến khi luật được đăng trên Công báo (Journal officiel) mới bắt đầu nghĩa là phát hiện ra các nghĩa vụ đúng vào ngày chúng có hiệu lực. Xây dựng một chính sách an ninh mất từ 10 đến 12 tuần: đây là lúc nên viết nó.
Tại Pháp, NIS2 áp dụng cho khoảng 15 000 thực thể thuộc 18 lĩnh vực: doanh nghiệp, cơ quan hành chính và chính quyền địa phương. Trang này chỉ đề cập đến chính quyền địa phương. Chỉ thị để các quốc gia thành viên tự quyết định có đưa họ vào phạm vi hay không. Pháp đã làm vậy, theo hai nhóm. Các thực thể thiết yếu chịu sự kiểm soát chặt chẽ nhất.
Phạm vi theo văn bản đã được Thượng viện thông qua, sau đó được ủy ban của Quốc hội chỉnh sửa. Phạm vi này vẫn có thể thay đổi tại phiên họp toàn thể; chúng tôi sẽ cập nhật sau lần biểu quyết cuối cùng.
Các điều 20, 21 và 23 của chỉ thị, được văn bản luật của Pháp tiếp thu.
Điều 20
Cơ quan lãnh đạo phê duyệt các biện pháp an ninh, giám sát việc triển khai và có thể phải chịu trách nhiệm về các biện pháp đó. Các thành viên phải được đào tạo về quản lý rủi ro an ninh mạng. An ninh trở thành quyết định của cấp lãnh đạo, không còn chỉ là việc của phòng CNTT.
Điều 21
Các biện pháp « phù hợp và tương xứng », dựa trên cách tiếp cận theo rủi ro:
Điều 23
Mọi sự cố nghiêm trọng đều phải được báo cáo cho cơ quan có thẩm quyền (tại Pháp là ANSSI, Cơ quan An ninh hệ thống thông tin quốc gia) theo ba bước.
T0
Phát hiện sự cố
Thời hạn bắt đầu tính ngay khi bạn biết về sự cố
24 giờ
Cảnh báo sớm gửi ANSSI
72 giờ
Thông báo sự cố, kèm đánh giá ban đầu
1 tháng
Báo cáo cuối cùng
Không theo tỷ lệ thời gian
Không phát hiện được thì đồng hồ không bao giờ bắt đầu đúng lúc.
Ủy ban đặc biệt của Quốc hội đã giữ nguyên tắc không áp dụng chế tài tài chính đối với chính quyền địa phương, trong khi một doanh nghiệp thiết yếu có thể bị phạt đến 10 triệu € hoặc 2 % doanh thu toàn cầu. Các nghĩa vụ thì vẫn còn nguyên: kiểm tra của cơ quan có thẩm quyền, lệnh yêu cầu khắc phục để tuân thủ, trách nhiệm của cấp lãnh đạo. Và chi phí thực sự vẫn là chi phí của sự cố.
11 %
nạn nhân mã độc tống tiền tại Pháp là chính quyền địa phương
Dữ liệu của người dân thuộc phạm vi RGPD (GDPR), và CNIL, cơ quan bảo vệ dữ liệu của Pháp, có quyền xử phạt một xã. Người chịu trách nhiệm xử lý dữ liệu là thị trưởng hoặc chủ tịch: chính họ chịu trách nhiệm về an toàn dữ liệu. Các dữ kiện, kèm nguồn:
5 triệu €
Mức phạt áp dụng ngày 22/01/2026 đối với France Travail, một cơ quan công. Trong các lý do: ghi nhật ký không đủ để phát hiện hành vi bất thường.
10 000 euro
Mức phạt áp dụng đối với một xã ngày 11/09/2025, đặc biệt vì không bảo đảm an toàn dữ liệu. Các xã khác đã bị xử phạt năm 2023 và 2024.
50 %
hoạt động kiểm tra và xử phạt của CNIL năm 2026 sẽ dành cho an ninh mạng. An ninh mạng của chính quyền địa phương là một trong các ưu tiên kiểm tra.
72 giờ
để thông báo vi phạm dữ liệu cho CNIL. Mức trần 20 triệu € hoặc 4 % doanh thu cũng áp dụng cho chính quyền địa phương, các cơ quan và doanh nghiệp công trực thuộc.
Hướng dẫn của CNIL và Cybermalveillance.gouv.fr cho chính quyền địa phương (tiếng Pháp)
1,5 triệu €
Chi phí trực tiếp của vụ tấn công mạng nhằm vào thành phố Bondy năm 2020. Với vùng đô thị Aix-Marseille-Provence: 900 000 €.
RGPD yêu cầu bảo vệ dữ liệu, phát hiện xâm nhập và thông báo kịp thời. PSSI đặt ra các biện pháp, kiểm thử xâm nhập kiểm chứng chúng, SOC phát hiện.
Không nhà cung cấp nào một mình có thể giúp chính quyền địa phương « tuân thủ NIS2 ». Dưới đây là những gì chúng tôi đảm nhận, và những gì bạn cần giao cho đơn vị khác.
Bảng đối chiếu mức đáp ứng NIS2
Quản trị, phân tích rủi ro, chính sách an ninh
Điều 20, 21 a
PSSI, bước 1, 2 và 7: ma trận nghĩa vụ, vai trò và trách nhiệm, các kịch bản rủi ro được đánh giá, tài liệu được cấp lãnh đạo phê duyệt
Kiểm soát truy cập, xác thực đa yếu tố, siết chặt hệ thống
Điều 21 i, j
PSSI, bước 4 và 5: chính sách truy cập, tài khoản đặc quyền, cấu hình chuẩn tham chiếu
Đánh giá hiệu quả của các biện pháp
Điều 21 f
Offensive Security
Kiểm thử xâm nhập: chúng tôi kiểm tra xem các biện pháp có đứng vững trước một kẻ tấn công thực sự hay không
Phát hiện và xử lý sự cố, thời hạn 24 giờ
Điều 21 b, 23
SOC 24/7: phát hiện trong vòng dưới 15 phút, chuyên viên phân tích đánh giá sự cố. Điều kiện tiên quyết: môi trường Microsoft 365
Liên tục hoạt động, sao lưu
Điều 21 c
PSSI, bước 3 và 7: phần CNTT trong kế hoạch liên tục hoạt động của bạn (thời gian gián đoạn chấp nhận được cho từng ứng dụng, kế hoạch khôi phục, kiểm tra khôi phục, khủng hoảng an ninh mạng). Phần nghiệp vụ do bạn đảm nhận, việc vận hành sao lưu do nhà cung cấp dịch vụ CNTT của bạn
Chuỗi cung ứng
Điều 21 d
PSSI, bước 1 và 6: yêu cầu an ninh đối với nhà cung cấp, kết nối liên thông với các nhà cung cấp. Các điều khoản hợp đồng vẫn thuộc bộ phận pháp chế của bạn
Vệ sinh an ninh mạng và đào tạo nhân viên
Điều 21 g
Ngoài phạm vi dịch vụ
Chúng tôi không cung cấp dịch vụ đào tạo. Các bước PSSI là dịch vụ tư vấn, không phải khóa đào tạo
Mật mã
Điều 21 h
Ngoài phạm vi dịch vụ
Không có dịch vụ riêng: chủ đề này được xử lý trong chính sách truy cập và siết chặt hệ thống
Không thể giám sát một hệ thống khi chưa xác định rủi ro của nó. Thứ tự rất quan trọng.
01
Không ràng buộc
Xác định vị trí của chính quyền địa phương bạn: có thuộc phạm vi hay không, thuộc nhóm nào, và những khoảng cách nào cần xử lý trước tiên.
02
7 bước, 10 đến 12 tuần
Viết PSSI (chính sách an toàn hệ thống thông tin) cùng đội ngũ của bạn: quản trị, rủi ro, truy cập, phân vùng, ghi nhật ký, bám theo các mục tiêu của ReCyF, bộ tiêu chuẩn tham chiếu cho NIS2 của ANSSI. Một tài liệu được cấp lãnh đạo phê duyệt.
03
Tùy theo môi trường của bạn
Một đợt kiểm thử xâm nhập để thử thách các biện pháp, sau đó là SOC 24/7 nếu hệ thống của bạn dựa trên Microsoft 365.
PSSI có giá từ 7 500 đến 20 000 € chưa VAT tùy quy mô của chính quyền địa phương.
Nhiều xã trên cùng một địa bàn? Một nhóm mua chung (groupement de commandes), hoặc liên hiệp hành chính số của bạn, có thể đứng ra mua cho tất cả.
Dữ liệu của bạn vẫn nằm trong môi trường của bạn, tại vùng của bạn, chúng tôi không giữ bất kỳ bản sao nào. Xem chính sách chủ quyền dữ liệu của chúng tôi
Theo văn bản hiện tại thì không trực tiếp. Nhưng nếu liên xã của bạn thuộc phạm vi và hệ thống của hai bên có kết nối liên thông, họ sẽ yêu cầu bạn đưa ra các bảo đảm. Và rủi ro thì không phụ thuộc vào số dân.
Không. Các biện pháp của điều 21 sẽ không thay đổi: chúng đã có trong chỉ thị. Chỉ phạm vi chính xác và thời hạn áp dụng là có thể thay đổi. Một PSSI viết hôm nay vẫn có giá trị vào ngày mai. Hơn nữa, vào tháng 3/2026 ANSSI đã công bố ReCyF, bộ tiêu chuẩn tham chiếu của cơ quan này cho NIS2: lộ trình PSSI của chúng tôi bám theo các mục tiêu của ReCyF, và việc áp dụng nó có thể được nêu ra khi bị kiểm tra.
Ủy ban đặc biệt của Quốc hội đã giữ nguyên tắc không áp dụng chế tài tài chính đối với chính quyền địa phương. Văn bản chưa phải là bản cuối cùng. Và cơ quan có thẩm quyền vẫn giữ quyền kiểm tra và ra lệnh khắc phục.
Không. PASSI là thẩm định (qualification) của ANSSI dành cho các đơn vị kiểm toán an ninh. Nếu một bộ tiêu chuẩn, một thủ tục công nhận an toàn (homologation) hay chính hồ sơ yêu cầu của bạn bắt buộc phải có một cuộc kiểm toán do đơn vị được thẩm định thực hiện, chúng tôi sẽ nói rõ ngay trong buổi audit miễn phí, và chúng tôi sẽ không nhận phần việc đó.
PSSI và kiểm thử xâm nhập không phụ thuộc vào bất kỳ nhà cung cấp phần mềm nào: chúng áp dụng cho mọi hệ thống thông tin. Ngược lại, SOC của chúng tôi chỉ hoạt động trên môi trường Microsoft 365; chúng tôi không cung cấp SOC ở môi trường khác.
Buổi audit miễn phí để xác định vị trí của chính quyền địa phương bạn so với NIS2: có thuộc phạm vi hay không, thuộc nhóm nào, các khoảng cách cần ưu tiên. Phản hồi trong vòng 24 giờ làm việc.
Phản hồi trong 24 giờ làm việc
Một chuyên gia đọc yêu cầu và liên hệ lại để xác định nhu cầu của bạn.
Audit miễn phí
Với Microsoft 365: audit 1 giờ về tư thế bảo mật của tenant (Secure Score, danh tính, Defender) và các lỗ hổng cần ưu tiên. Nếu không: xác định nhu cầu (pentest, PSSI) và chốt giá. Không ràng buộc.
Đầu mối chuyên trách
Cùng một chuyên gia DMC đồng hành với bạn xuyên suốt, không qua call-center.
