Rapport exemple — données d'entreprise fictives. Chaque abonnement norppa.io inclut 100+ vérifications automatisées sur tous les domaines surveillés — OSINT passif et contrôles de sécurité HTTP — quotidiennement automatiquement.
Acme Manufacturing Oy
Période de rapport: Mars 2026 · Généré le 1er avril 2026
Résumé
La posture de risque de la chaîne d'approvisionnement NIS2 d'Acme Manufacturing s'est détériorée cette période, avec un score en baisse de 74 à 62, dû à deux constatations critiques nécessitant une attention immédiate de la direction.
La menace la plus significative est l'inscription active d'Acme Logistics Oy sur une liste de victimes de ransomware. Le groupe d'acteurs de menace à l'origine de cette campagne est connu pour maintenir un accès persistant et vendre l'accès réseau à des acteurs secondaires lorsque les négociations de rançon primaires échouent. Tous les points d'intégration — APIs, transferts de fichiers, systèmes d'authentification partagés — entre votre organisation et Acme Logistics doivent être considérés comme potentiellement compromis jusqu'à ce que le fournisseur fournisse un rapport de confinement vérifié. Simultanément, 14 identifiants d'employés de Nordic Cloud Services circulent sur les marchés infostealer du dark web, créant un risque d'exposition multi-vecteurs pour tout environnement cloud partagé ou point de terminaison VPN.
Du point de vue de la conformité NIS2, quatre articles ont des constatations actives cette période : Art. 21(2)(d) (gestion des risques de la chaîne d'approvisionnement), 21(2)(e) (obligations de notification d'incidents), 21(2)(h) (contrôles cryptographiques — expiration TLS) et 21(2)(i) (contrôle d'accès — hygiène des identifiants). Des évaluations des risques documentées immédiates sont requises en vertu des Art. 21(2)(d) et 21(2)(e). L'expiration du certificat TLS de databridge.fi dans 6 jours présente une échéance ferme — l'échec du renouvellement entraînera une interruption de service et constitue une lacune de conformité en vertu de l'Art. 21(2)(h).
Actions prioritaires
Acme Logistics Oy — inscription sur liste de victimes de ransomware : contacter le fournisseur immédiatement et examiner les flux de données. Engager la réponse aux incidents.
CritiqueNordic Cloud Services — 14 identifiants d'employés sur le dark web : notifier le fournisseur, exiger la rotation des mots de passe et l'application de la MFA.
CritiqueDataBridge Finland — certificat TLS expire dans 6 jours : demander au fournisseur de renouveler immédiatement pour éviter une interruption de service.
ÉlevéAcme Logistics Oy — infrastructure dans un pays à haut risque : demander la documentation d'infrastructure du fournisseur et examiner les obligations NIS2 Art. 21(2)(d).
ÉlevéNordic Cloud Services — DMARC manquant : demander au fournisseur de publier un enregistrement DMARC pour prévenir l'usurpation de domaine.
ÉlevéStatut de conformité des articles NIS2
Sécurité de la chaîne d'approvisionnement et mesures vis-à-vis des tiers
1 constatationGestion des risques dans les réseaux et systèmes d'information
3 constatationsCryptographie, TLS et hygiène des certificats
4 constatationsSécurité des ressources humaines et gestion des identifiants
1 constatationNotification d'incidents et divulgation des vulnérabilités
1 constatationConstatations actives (9)
Le domaine fournisseur est apparu sur une liste de victimes d'un acteur de menace actif. Le groupe de menaces revendique une exfiltration de données.
Des identifiants d'employés pour ce domaine circulent sur les marchés du dark web, capturés par une campagne infostealer. 14 comptes uniques identifiés.
L'IP principale du fournisseur correspond à une infrastructure enregistrée dans une juridiction figurant sur la liste des pays tiers à haut risque de l'UE. Cela peut représenter un risque pour la chaîne d'approvisionnement en vertu de NIS2 Art. 21(2)(d).
Le certificat TLS de databridge.fi expire le 30 mars 2026. Les services deviendront inaccessibles ou afficheront des avertissements de sécurité du navigateur aux utilisateurs finaux après l'expiration.
Aucun enregistrement DMARC n'est publié pour ce domaine. Le domaine peut être usurpé dans des campagnes de phishing ciblant votre organisation et les clients du fournisseur.
2 CVEs détectés sur l'infrastructure exposée sur internet. CVE-2023-44487 (HTTP/2 Rapid Reset, CVSS 7.5) est évalué élevé et dispose d'exploits publics connus.
DNSSEC n'est pas configuré. Les réponses DNS ne peuvent pas être authentifiées cryptographiquement, exposant le domaine aux attaques de spoofing DNS.
Aucun fichier security.txt trouvé à /.well-known/security.txt. NIS2 Art. 23 exige que les organisations disposent d'un canal de divulgation de vulnérabilités accessible.
L'en-tête Content-Security-Policy est absent sur la propriété web principale. Cela augmente l'exposition aux attaques de cross-site scripting et d'injection de contenu.
Voulez-vous ce rapport pour votre propre réseau de fournisseurs ?
Essai gratuit — sans carte bancaireAperçu des risques fournisseurs
| Fournisseur | Domaine | Score de sécurité | Critique | Élevé |
|---|---|---|---|---|
| Acme Logistics Oy | acme-logistics.fi | 22 | 2 | 1 |
| Nordic Cloud Services | nordiccloud.fi | 48 | 1 | 1 |
| DataBridge Finland | databridge.fi | 64 | — | 1 |
| SupplyLink Partners | supplylink.eu | 81 | — | — |
| Vantage IT Oy | vantage-it.fi | 97 | — | — |
Votre propre environnement
acme-manufacturing.fi
Dernier scan: 7 mai 2026
78/100
Score de sécurité
Aucun fichier security.txt trouvé à /.well-known/security.txt. NIS2 Art. 23 exige un canal de divulgation de vulnérabilités accessible.
DNSSEC n'est pas configuré pour votre domaine. Les réponses DNS ne peuvent pas être authentifiées cryptographiquement.
Votre propre domaine reçoit les mêmes 100+ vérifications automatisées que vos fournisseurs — OSINT passif et contrôles de sécurité HTTP quotidiennement. Le module Full Scan (si activé) ajoute une évaluation de sécurité externe mensuelle sur ce domaine.
Auto-évaluations fournisseurs (SAQ)
Les fournisseurs complètent une auto-évaluation NIS2 de 28 questions. Les réponses sont notées automatiquement et visibles ici aux côtés des constatations automatisées — deux niveaux de preuves de conformité dans un rapport.
| Fournisseur | Score SAQ |
|---|---|
| Acme Logistics Oy | — |
| Nordic Cloud Services | 61/100 |
| DataBridge Finland | 74/100 |
| SupplyLink Partners | — |
| Vantage IT Oy | 91/100 |
Nordic Cloud Services
[email protected] · 20 mars 2026
61/100
Score SAQ
Répartition par section
Gouvernance & politiques de sécurité
Art. 21(2)(a)
Contrôle d'accès & authentification
Art. 21(2)(i)(j)
Réponse aux incidents & divulgation
Art. 21(2)(b), Art. 23
Protection des données & cryptographie
Art. 21(2)(h)
Continuité des activités
Art. 21(2)(c)
Chaîne d'approvisionnement & tiers
Art. 21(2)(d)
Gestion des vulnérabilités
Art. 21(2)(e)(g)
Méthodologie de surveillance
Plus de 100 vérifications automatisées s'exécutent quotidiennement sur tous les domaines surveillés, avec une surveillance ransomware et dark web toutes les 6 heures. Les vérifications couvrent : listes de victimes de ransomware (plusieurs flux de renseignements sur les menaces), fuites d'identifiants infostealer du dark web, santé et expiration TLS/certificats, intégrité DNS (SPF, DMARC, DKIM, DNSSEC), chaîne de validation DNSSEC, statut liste noire DNS des serveurs MX, posture de sécurité des e-mails et score d'usurpation (TLS-RPT, MTA-STS, BIMI, risque BEC composite), indicateurs de sécurité des cookies (Secure, HttpOnly, SameSite), exposition des chemins sensibles robots.txt et sitemap, géolocalisation IP et détection de pays à haut risque, exposition aux vulnérabilités connues (CVE/EPSS), détection d'infrastructure de phishing AiTM via les journaux Certificate Transparency, validation RPKI/BGP, statut registre des entreprises et LEI (PRH, GLEIF), détection CNAME et MX orphelins, détection de références SBOM/CSAF, présence de security.txt, en-têtes de sécurité, vérification de redirection HTTPS et détection de changements de site web.
détection de la préparation TLS post-quantique (suites hybrides NIST FIPS 203 ML-KEM), détection d'exposition des points d'accès Model Context Protocol (MCP), analyse des secrets dans les bundles JavaScript (clés API, tokens), inventaire des fournisseurs d'IA pour les obligations du déployeur selon l'Art. 26 du Règlement UE sur l'IA, contrôles d'introspection GraphQL et d'exposition OpenAPI, et export DORA Register of Information (Annexe III B_02.03 + B_05.01). Toutes les constatations sont automatiquement mappées aux articles NIS2.
Les scans s'exécutent quotidiennement. Dernier scan : 7 mai 2026 00:00 UTC.
Obtenez ce rapport pour votre réseau de fournisseurs
Les nouveaux fournisseurs sont mis en file d'attente pour le scan immédiatement. Les rapports de conformité NIS2 mensuels sont générés automatiquement après chaque cycle de scan — avec un résumé exécutif IA. Aucun agent à installer.
Voir les tarifs →