UrbaHiveUrbaHive
    Connexion

    ∙ Cas d'usage

    Cartographie SI pour RSSI : l'inventaire et les dépendances que NIS2 et DORA supposent

    Échéance NIS2 le 17 octobre 2026. Sanctions jusqu'à 10 M€ ou 2 % du CA, responsabilité personnelle des dirigeants. NIS2 et DORA supposent de connaître ses actifs, leurs dépendances et leurs responsables : UrbaHive fournit ce référentiel — applications, serveurs, flux, éditeurs, responsables —, une analyse d'impact et un journal d'audit de chaque modification, hébergés dans l'Union européenne. Ce n'est pas un outil de conformité : c'est le socle sur lequel votre démarche s'appuie.

    L'inventaire des actifs et des dépendances que NIS2 (article 21) et DORA supposent
    Hébergement Vercel et Supabase, régions UE uniquement
    Journal d'audit de chaque modification (qui, quoi, quand, valeurs avant/après)
    Analyse d'impact depuis un serveur ou une application : ce qui est touché s'il tombe
    Éditeurs et prestataires rattachés aux applications, service interne ou externe
    Accès des agents IA en lecture seule par défaut, limité à une organisation
    Réserver une démo de 30 minDémarrer gratuitementVoir la fiche sécurité UrbaHive

    Ce que NIS2 et DORA imposent en matière de cartographie

    NIS2 article 21 : obligations de cartographie des actifs et prestataires

    L'article 21 impose aux entités essentielles et importantes de tenir à jour la cartographie des actifs SI critiques avec leur classification, la cartographie des dépendances aux prestataires et tiers critiques avec évaluation de leur sécurité, la cartographie des chaînes d'approvisionnement IT, et un reporting auditable pour l'autorité nationale (ANSSI en France). Échéance : 17 octobre 2026.

    DORA : cartographie des dépendances IT critiques

    DORA (applicable depuis le 17 janvier 2025) impose aux établissements financiers la cartographie complète des dépendances IT critiques, le registre détaillé des prestataires tiers de TIC, les tests de résilience opérationnelle, et la gestion des incidents avec délais stricts. UrbaHive ne produit pas ce registre : il fournit l'inventaire des applications, de leurs éditeurs et de leurs dépendances sur lequel ce travail s'appuie.

    Sanctions et responsabilité personnelle des dirigeants

    Pour les entités essentielles : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel (montant le plus élevé retenu). Pour les entités importantes : jusqu'à 7 millions d'euros ou 1,4 % du CA. Plus grave : la responsabilité personnelle des dirigeants peut être engagée (article 20), avec interdiction d'exercer en cas de manquement caractérisé.

    Ce qu'UrbaHive apporte à votre démarche NIS2 / DORA

    Un inventaire des actifs, avec responsables et type de service

    Applications, flux, serveurs et infrastructures (avec leur localisation) dans un référentiel unique. Chaque application porte son éditeur, sa stack technique, son type de service (interne ou externe), son serveur d'hébergement, son dossier d'architecture technique et sa version, un responsable et des contacts complémentaires. Des champs personnalisés, recherchables, permettent d'ajouter les attributs propres à votre démarche sécurité. Les capacités métier portent une criticité et un propriétaire.

    Les dépendances et l'analyse d'impact

    À partir d'un serveur, d'une infrastructure ou d'une application, l'analyse d'impact affiche les dépendances directes, en amont et en aval, sur cinq couches : technique, applicative, fonctionnelle, métier et personnes. Depuis un serveur, vous voyez les applications qu'il héberge ; depuis chacune de ces applications, les processus et les capacités qu'elle sert et les personnes concernées. L'analyse porte sur un niveau de dépendance à la fois et ne suit pas les flux entre applications. Les diagrammes de flux applicatifs et d'infrastructure sont générés depuis le référentiel et s'exportent en PNG et PDF.

    La traçabilité : un journal d'audit de chaque modification

    Chaque création, modification et suppression dans le référentiel est enregistrée avec son auteur, sa date et les valeurs avant/après, tout comme chaque appel d'un agent IA via le connecteur MCP. Le journal se consulte dans l'application, avec des filtres. UrbaHive n'est pas un outil de conformité : il fournit l'inventaire, les dépendances et la traçabilité que NIS2 et DORA supposent.

    Cas d'usage RSSI

    Préparer le terrain d'une démarche NIS2

    Avant de parler mesures de sécurité, il faut savoir ce que l'on protège. UrbaHive aide à préparer ce socle : périmètre des applications et des serveurs, éditeurs et services externes, responsable nommé sur chaque application, dépendances directes. Le référentiel reste à jour au fil des projets, au lieu d'être reconstitué à chaque sollicitation.

    Faire remonter et gouverner le shadow IT

    Ouvrir le référentiel aux métiers permet de remonter les applications utilisées sans la DSI. La démarche est déclarative : UrbaHive ne détecte rien automatiquement. Chaque application déclarée est qualifiée par son éditeur, son type de service (interne ou externe) et son responsable. Le shadow IT révélé peut alors être gouverné (intégration, sécurisation, ou décommissionnement).

    Alimenter un PCA/PRA avec des dépendances réelles

    L'analyse d'impact depuis un serveur ou une application donne la liste de ce qui est directement touché en cas d'indisponibilité. Côté processus, UrbaHive signale ceux qui n'ont pas de propriétaire, ceux qui n'ont pas été revus depuis 12 mois et ceux dont la connaissance repose sur une seule personne. UrbaHive ne calcule ni RTO ni RPO et ne rédige pas le PCA : il fournit la base de dépendances sur laquelle le construire.

    Sécurité d'UrbaHive : hébergement, accès, traçabilité

    • Hébergement Vercel et Supabase, régions de l'Union européenne uniquement ; données clients stockées dans l'UE
    • Chiffrement des données en transit (TLS) et au repos, assuré par les plateformes d'hébergement
    • Sauvegardes chiffrées conservées 30 jours, restauration testée chaque mois
    • Connexion par e-mail et mot de passe, code à usage unique reçu par e-mail ou lien magique
    • Quatre rôles par organisation : Owner, Editor, Member, Viewer ; retrait d'un membre avec transfert de ce qu'il possédait
    • Journal d'audit de chaque création, modification et suppression (valeurs avant/après) et de chaque appel d'agent IA, consultable dans l'application
    • Connecteur IA (MCP) : jeton personnel limité à une organisation, lecture seule par défaut, écriture en option, 60 requêtes par minute, aucun outil de suppression
    • Plan Entreprise : option d'hébergement on-premise (Kubernetes/Docker) pour les besoins HDS ou SecNumCloud, SLA et support dédié

    FAQ RSSI : NIS2, DORA, sécurité

    Que demande exactement NIS2 en matière de cartographie SI ?

    L'article 21 de la directive NIS2 impose aux entités essentielles et importantes de tenir à jour : (1) la cartographie des actifs SI critiques avec leur classification, (2) la cartographie des dépendances aux prestataires et tiers critiques avec évaluation de leur niveau de sécurité, (3) la cartographie des chaînes d'approvisionnement IT, (4) un reporting auditable de ces cartographies pour l'autorité nationale (en France : ANSSI). L'échéance est le 17 octobre 2026.

    Quelles sanctions en cas de non-conformité NIS2 ?

    Pour les entités essentielles : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel (montant le plus élevé retenu). Pour les entités importantes : jusqu'à 7 millions d'euros ou 1,4 % du CA. Plus grave : la responsabilité personnelle des dirigeants peut être engagée (article 20), avec interdiction d'exercer en cas de manquement caractérisé.

    Quelles entreprises sont concernées par NIS2 en France ?

    Environ 18 000 entités françaises, contre une centaine sous NIS1. Sont concernées les entreprises : (1) appartenant à un secteur listé (énergie, transports, banques, santé, eau, infrastructures numériques, administration publique, espace, services postaux, gestion des déchets, alimentaire, industrie manufacturière, fabricants de produits chimiques, recherche…), ET (2) atteignant le seuil moyenne entreprise : ≥ 50 salariés et CA ≥ 10 M€ ou bilan ≥ 10 M€. Les grandes entreprises (>250 salariés ou >50 M€ CA) sont systématiquement classées 'essentielles'.

    Que demande DORA pour le secteur financier ?

    DORA (Digital Operational Resilience Act, applicable depuis le 17 janvier 2025) impose aux établissements financiers (banques, assurances, fonds, fintechs) : cartographie complète des dépendances IT critiques, registre détaillé des prestataires tiers de TIC, tests de résilience opérationnelle, gestion des incidents avec délais stricts. UrbaHive ne produit pas le registre DORA : il fournit l'inventaire des applications, de leurs éditeurs et de leurs dépendances sur lequel ce travail s'appuie.

    En quoi UrbaHive aide-t-il à préparer une démarche NIS2 ou DORA ?

    UrbaHive n'a pas de fonctionnalité de conformité et ne produit ni rapport ni registre réglementaire. Ce qu'il apporte : (1) l'inventaire que ces textes supposent — applications, serveurs, flux, éditeurs, type de service interne ou externe, responsables, (2) une analyse d'impact qui montre les dépendances directes d'un serveur ou d'une application, (3) un journal d'audit de chaque modification (qui a modifié quoi, quand, avec les valeurs avant/après), consultable dans l'application.

    Peut-on cartographier les dépendances aux prestataires tiers ?

    En partie. Chaque application porte son éditeur et son type de service (interne ou externe), et vous pouvez y rattacher des contacts externes, sans compte utilisateur. Vous savez ainsi quelles applications dépendent de quel éditeur, et l'analyse d'impact montre ce qui dépend de ces applications. Des champs personnalisés permettent d'ajouter vos propres informations. UrbaHive n'évalue pas le niveau de sécurité d'un prestataire et ne tient pas de registre des tiers au sens de DORA.

    Comment repérer ce qui est critique dans le SI ?

    Trois appuis. La criticité se porte sur les capacités métier et sur chaque lien capacité-application de la matrice de couverture. L'analyse d'impact montre ce qui dépend directement d'un serveur ou d'une application. Les signaux de risque des processus pointent ceux qui n'ont pas de propriétaire, ceux non revus depuis 12 mois et ceux dont la connaissance repose sur une seule personne. La classification de sécurité des actifs et le calcul des RTO/RPO restent dans votre méthode d'analyse de risque.

    Un agent IA peut-il accéder au référentiel, et comment est-ce encadré ?

    Oui, via le connecteur MCP, qui est le seul accès programmatique à UrbaHive. Chaque jeton d'accès est personnel, limité à une seule organisation, en lecture seule par défaut ; l'écriture est une option à activer. Le débit est plafonné à 60 requêtes par minute par jeton, il n'existe aucun outil de suppression, et chaque appel est inscrit au journal d'audit. Compatible avec Claude Desktop, claude.ai, Claude Code, Cursor, Windsurf, Codex et Devin.

    UrbaHive remplace-t-il une CMDB ?

    Non — il la complète. La CMDB (ServiceNow, BMC) gère les Configuration Items techniques (serveurs, VMs, certificats) avec un grain fin pour l'exploitation. UrbaHive cartographie l'architecture d'entreprise au-dessus : applications, processus métier, capacités, dépendances. Il n'y a pas de connecteur ni de synchronisation entre les deux : la CMDB reste la référence pour les CI, UrbaHive porte le sens métier, les responsables et les dépendances.

    Comment UrbaHive sécurise mes données, et restent-elles en Europe ?

    UrbaHive est hébergé sur Vercel et Supabase, dans des régions de l'Union européenne uniquement ; les données clients sont stockées dans l'UE. Elles sont chiffrées en transit (TLS) et au repos. Les sauvegardes sont chiffrées, conservées 30 jours, et leur restauration est testée chaque mois. L'accès repose sur quatre rôles par organisation et chaque modification est tracée dans le journal d'audit. Le plan Entreprise propose une option d'hébergement on-premise (Kubernetes/Docker), qui répond aussi aux besoins HDS ou SecNumCloud.

    Pour aller plus loin

    Voir UrbaHive sur votre périmètre en 30 minutes

    Démo orientée RSSI : inventaire des actifs, analyse d'impact depuis un serveur, journal d'audit, encadrement des agents IA. Sans CB, sans engagement.

    Réserver une démo de 30 min