Mise en place de NIS2 Cybersecurity Compliance Toolkit dans Odoo : un cas de bout en bout

Le cas : Metalúrgica Ribera installe le toolkit

Exemple Cas illustratif : l'entreprise et ses chiffres sont inventés pour expliquer le flux.

Metalúrgica Ribera est une entreprise fictive qui fabrique des pièces pour d'autres industries et travaille déjà avec Odoo. Sa responsable des systèmes, Laura, installe NIS2 Cybersecurity Compliance Toolkit pour réunir au même endroit le profil de l'entreprise, les contrôles, les risques, la formation et les incidents. Le parcours qui suit est celui qu'elle réalise pendant la mise en place : les noms des écrans, colonnes, champs et statuts sont ceux du module ; les décisions de Laura sont illustratives.

Avant d'installer, Laura vérifie sa version. Le module est publié sur Odoo Apps pour Odoo 17, 18 et 19, à 49 € HT pour chacune de ces versions, en paiement unique par version. Si vous hésitez encore à savoir s'il vous convient, tout est détaillé dans si le toolkit convient à votre entreprise.

Premier enregistrement : le profil d'entreprise

Laura commence par la liste des profils d'entreprise. Les colonnes qu'elle voit sont entité légale, entreprise, État membre, secteur, taille, statut d'applicabilité, statut du profil et responsable, avec une barre de recherche et le bouton Nouveau. Ces colonnes lui indiquent quelles données elle doit avoir préparées : quelle est l'entité légale, dans quel État membre elle opère, son secteur, sa taille et qui s'occupe du profil.

Le champ sur lequel elle s'attarde le plus est applicability_status. Les valeurs définies par le module sont Potentially In Scope, Likely Out of Scope, Needs Legal Review, Essential Entity Candidate (Annex I), Important Entity Candidate (Annex II) et Confirmed by Legal Counsel. Remarquez les libellés : ils parlent de « candidate » et de revue juridique. L'application enregistre l'évaluation que vous saisissez. Laura laisse le profil sur Needs Legal Review et note qu'elle le passera à Confirmed by Legal Counsel quand son conseiller juridique le lui aura confirmé.

Deuxième étape : les contrôles et leur niveau de maturité

La liste des contrôles comporte des colonnes de catégorie, nom du contrôle, niveau de maturité, responsable et revue. Le niveau de maturité (maturity_status) accepte Not Implemented, Planned, Partially Implemented, Implemented et Not Applicable.

Laura passe en revue les contrôles avec son équipe, un par un, et se fixe un critère personnel pour ne pas hésiter à chaque ligne :

• Implemented seulement si elle peut montrer comment cela se fait aujourd'hui.
• Partially Implemented si cela existe, mais ne couvre pas tout ce que décrit le contrôle.
• Planned si une personne et une date sont engagées.
• Not Applicable si cela ne concerne pas son activité et qu'elle sait expliquer pourquoi.
• Not Implemented pour tout le reste.

Sur chaque ligne, elle renseigne aussi le responsable, car la colonne figure dans la liste et elle veut voir d'un coup d'œil qui porte chaque contrôle.

Troisième étape : le registre des risques

La liste Risk Register affiche l'impact, la probabilité, le risque résiduel, la décision de traitement et le statut, avec le bouton New et la recherche. Les statuts que définit le module pour cet ensemble sont Draft, Under Review, Accepted et Closed.

Laura saisit chaque risque en Draft avec son impact et sa probabilité. Elle le passe en Under Review lorsqu'elle le présente à la direction et en Accepted lorsqu'une décision de traitement a été convenue. Ceux qui ne s'appliquent plus, elle les laisse en Closed au lieu de les supprimer, afin de conserver la trace.

Formation : les Training Records

La liste des Training Records comporte des colonnes de nom, type, article et statut, avec le bouton New et la barre de recherche. Les statuts sont Assigned, In Progress, Completed, Overdue et Exempt.

Laura crée un enregistrement pour chaque formation que le personnel doit suivre et marque comme Exempt les personnes non concernées, plutôt que de les laisser sans enregistrement. Ainsi, quand elle filtre la liste, ce qui n'est ni en Completed ni en Exempt est du travail en attente.

Incidents : la liste et les statuts que définit le module

La liste des incidents comporte des colonnes de référence, heure de détection, gravité, statut et évaluation de l'importance, ainsi que le bouton Nouveau et la barre de recherche.

Parmi les ensembles de statuts que définit le code du module, il y en a un avec Detected, Triage, Under Investigation, Reportable Decision Pending, Reported, Closed et False Positive, et un champ root_cause_status avec Unknown, Under Investigation, Identified et Not Applicable. Laura ouvre un incident de test dans sa base de test pour voir quelles valeurs la colonne de statut lui propose avant de l'expliquer à l'équipe. Si vous voulez voir la structure complète du module, elle est détaillée dans comment fonctionne le toolkit en interne.

La première semaine : ce que Laura a vérifié

Une fois tout saisi, Laura se réserve un moment chaque jour de la première semaine pour contrôler :

• Que le profil d'entreprise a bien renseigné l'entité légale, l'État membre, le secteur, la taille et le responsable.
• Que applicability_status reflète ce qu'a dit le conseiller et non une supposition.
• Qu'aucun contrôle n'est resté sans responsable dans la liste des contrôles.
• Que les contrôles en Planned ont une personne derrière eux.
• Que les risques en Draft sont passés en Under Review ou ont une date pour le faire.
• Quelles formations apparaissent en Overdue et qui il faut appeler.
• Que l'incident de test est resté dans la base de test et non dans la base de production.

Ce qu'il faut retenir du cas

L'ordre que suit Laura (profil, contrôles, risques, formation, incidents) est un choix qui lui est propre, pensé pour aller du général au quotidien. Ce qui vient bien du module, c'est ce que vous devez renseigner et comprendre : les colonnes de chaque liste et les valeurs de chaque statut. Trois idées à emporter :

• Les statuts sont des décisions de personnes. Fixez un critère par écrit avant de commencer, surtout pour maturity_status.
• Le statut d'applicabilité a besoin de votre conseiller. Les libellés du module le montrent clairement avec Needs Legal Review et Confirmed by Legal Counsel.
• Un responsable par ligne. Les listes des profils et des contrôles ont cette colonne ; utilisez-la.

Comment FlexigoTech vous aide

FlexigoTech met en place Odoo et développe des connecteurs et des intégrations sur mesure. Si vous souhaitez de l'aide pour charger vos contrôles et vos risques, ou pour connecter le toolkit à d'autres parties de votre Odoo, vous trouverez le module sur notre page et sur sa fiche Odoo Apps.

À lire aussi