Lot C - GOUVERNANCE

Le Lot C couvre les prestations d’appui à la gouvernance de la cybersécurité, à la gestion des risques cyber et à la conformité réglementaire. Il s’agit d’activités transverses, orientées politiques, référentiels, stratégie, pilotage et accompagnement. Les travaux attendus auprès des Titulaires comprennent notamment, sans s’y limiter:
- Système de Management de la Sécurité de l’Information (SMSI) et cadre de gouvernance : Contribution à la définition et à l’évolution du modèle de gouvernance de la cybersécurité au sein de RTE (rôles, responsabilités, processus, …), Appui à la mise en œuvre et au maintien d’un SMSI conforme à la norme ISO 27001 (état des lieux, définition du périmètre, plan d’action, suivi, préparation d’audit de certification).
- Appui au pilotage de la gouvernance cybersécurité : Organisation des différents comités : planification, élaboration des ordres du jour, prises de notes et rédaction des comptes-rendus, Mise en place et suivi d’indicateurs, de tableaux de bord et de reporting cybersécurité (risques, conformité, plans d’actions, incidents, ...), Appui de manière ponctuelle sur des sujets liés à l’actualité cyber de RTE : analyse, synthèse, veille, benchmark, ….
- Politique et référentiels : Rédaction, mise à jour et maintien de la politique de sécurité du SI et du corpus documentaire associé (PSSI, politiques, directives et règles SSI, ...), Rédaction et maintien des référentiels documentaires de référence (standards, guides, modèles), Rédaction du bilan annuel de mise en œuvre de la PSSI, Rédaction et maintien d’offres de services sécurité, Instruction des demandes de dérogations aux exigences de sécurité du SI, en lien avec les demandeurs, les experts techniques opérationnels (Lot A) et les responsables des risques, Suivi de l’ensemble des dérogations aux exigences de sécurité du SI.
- Conformité réglementaire : Accompagnement de RTE dans la mise en conformité avec la directive NIS2 et plus largement dans la prise en compte des évolutions réglementaires (LPM, RGPD, autres référentiels nationaux ou européens), Suivi des différents chantiers de mise en conformité, Elaboration et mise en œuvre d’indicateurs pertinents de suivi de la conformité, notamment NIS2 et LPM, Réalisation d’audits internes de conformité réglementaire et d’analyses d’écarts par rapport aux exigences (LPM, NIS2, RGPD, ...).
- Gestion des risques : Maintenir la cartographie des risques cyber de RTE, Pilotage et/ou conduite d’analyses de risques sécurité (méthode EBIOS RM), Rationalisation et suivi global de l’ensemble des plans d’actions.
- Contrôle interne sur l’application de la PSSI : Accompagnement de RTE dans le suivi du respect par les agents, prestataires et projets des exigences de sécurité (revues, contrôles, plans d’actions), Contribution à l’élaboration du plan de contrôle interne sur la cybersécurité, Production des éléments nécessaires à la réalisation du contrôle interne, Suivi de la réalisation du contrôle interne par l’ensemble des actes, Elaboration et mise en œuvre d’indicateurs pertinents de suivi du contrôle interne.
- Accompagnement des instances européennes : Participation aux instances et groupes de travail européens liés à la cybersécurité (instances ENTSO-E), y compris en langue anglaise, Déclinaison et réalisation des actions liées aux instances ENTSO-E, Suivi des audits et des actions associées des plans de sécurité européen.
- Insertion de la Sécurité dans les Projets : Formalisation des méthodologies de prise en compte de la cybersécurité dans les projets de RTE et intégration dans le référentiel de pilotage des projets, Rédaction des modèles de documents à destination des chefs de projet et intégration dans le référentiel de pilotage des projets, Animation des chefs de projets sur l’intégration de la cybersécurité, Appui à la rédaction de CCTP et/ou à la lecture des Plans d’Assurance Sécurité pour des consultations portant sur des projets à enjeux cybersécurité.
- Sensibilisation et accompagnement à la cybersécurité : Conception et réalisation d’actions de sensibilisation et de formation aux enjeux de cybersécurité à destination des salariés de RTE, Appui à la communication sur la sécurité (supports, messages, campagnes, événements internes), Appui aux animations Métier et Métier SI (filière SI et filière ASI).
- Outils de GRC (Gouvernance, gestion des Risques et Conformité) : Etude des outils de GRC du marché, Mise en œuvre de POC (Proof of Concept), Aide au choix d’outils et à leur mise en œuvre au sein de RTE, Maintien en conditions opérationnelles des outils mis en œuvre.
Types de profils et compétences requises
Les profils attendus dans le cadre du Lot C sont notamment les suivants (ces profils peuvent évoluer durant la consultation) :
- Consultant GRC : junior, confirmé, sénior
- PMO : confirmé, sénior.