En bref : la VdS 10000 est une directive de VdS Schadenverhütung (organisme allemand de prévention des sinistres) pour la sécurité de l'information dans les petites et moyennes entreprises. Selon VdS, elle repose sur l'ISO 27001 et le socle de sécurité du BSI (office fédéral allemand de la sécurité des technologies de l'information), mais elle est nettement plus légère et adaptée aux PME. Pour les sites et serveurs web, l'inventaire, le traitement des vulnérabilités, les accès à distance avec authentification multifacteur, la sauvegarde des données et la gestion des incidents de sécurité sont surtout importants.
Pourquoi la VdS 10000 intéresse les PME
De nombreuses entreprises savent qu'elles devraient aborder la sécurité de l'information de façon plus structurée, mais reculent devant l'effort d'une ISO 27001. C'est précisément pour cela que la VdS 10000 est conçue. VdS la décrit comme un catalogue de mesures indépendant du secteur, qui ne doit surcharger ni organisationnellement ni financièrement les petites et moyennes entreprises et les communes.
Deux indications de VdS aident à la situer. L'effort serait d'environ 20 pour cent de celui de l'ISO 27001. Et le BSI évaluerait les exigences de la VdS 10000 comme un sous-ensemble de la protection de base du socle de sécurité informatique. La directive n'est donc pas un substitut aux grandes normes, mais une entrée réaliste, qui est selon VdS compatible vers le haut.
Pour les assureurs, la VdS 10000 a un poids particulier, car VdS est étroitement liée au secteur de l'assurance. VdS souligne qu'une certification peut créer la confiance auprès des assureurs et aider à transférer le risque résiduel. Ce que cela signifie concrètement pour votre police, clarifiez-le avec votre assureur ou votre courtier ; des indications sur le sinistre figurent dans Cyberassurance : ce qui compte en cas de sinistre.
Ce qui est nouveau dans la VdS 10000 version 2025
VdS a révisé la directive en 2025. Selon VdS, les points suivants, entre autres, ont été ajoutés ou modifiés :
- Un langage plus clair, pour que même les débutants comprennent les exigences.
- Des responsabilités contraignantes : les responsables de la sécurité de l'information et l'équipe correspondante doivent être officiellement désignés.
- L'authentification multifacteur pour les accès à distance devient obligatoire.
- Une sauvegarde des données selon le principe multi-générations, en différents lieux et sur des supports différents.
- Une gestion des risques révisée, avec des règles sur les critères d'évaluation et les seuils à partir desquels un risque est accepté.
- Un chapitre commun « Incidents de sécurité », qui réunit les anciens chapitres sur les perturbations, les pannes et les incidents.
- Les accès physiques tels que clés et badges sont aussi réglés dans les processus de personnel.
La nouvelle édition tient en outre compte de la directive VdS 10100, qui décrit les exigences de NIS2. VdS voit la VdS 10000 comme une base sur laquelle celles-ci pourront être ajoutées plus tard.
VdS 10000 et le serveur web : ce qu'il faut concrètement faire
La directive ne parle pas de PHP ni de serveurs web particuliers. Ses exigences se transposent toutefois directement à l'infrastructure web. Le tableau suivant montre à quoi cela peut ressembler. C'est une aide à la traduction, pas une interprétation officielle.
| Domaine d'exigence | Signification pour le site et le serveur web | Exemple tiré de la situation PHP2Shell |
|---|---|---|
| Vue d'ensemble des systèmes informatiques et des risques | Sites, boutiques, portails et leurs serveurs sont recensés et évalués | Savoir immédiatement quels systèmes utilisent PHP et en quelle version |
| Vulnérabilités et mises à jour | Les mises à jour de sécurité sont installées rapidement et documentées | Correctif vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, redémarrage de tous les workers |
| Accès à distance avec authentification multifacteur | SSH, panneau d'hébergement et administration du CMS sont protégés en plus | Des mots de passe volés ne suffisent pas à ouvrir un accès administrateur |
| Sauvegarde des données | Plusieurs générations, lieux et supports séparés | Retour à une sauvegarde antérieure au 17/10/2026, si nécessaire |
| Incidents de sécurité | Voie de signalement, évaluation, documentation | Un soupçon de webshell est signalé et examiné, pas supprimé en silence |
| Prestataires | L'hébergeur et l'agence sont intégrés contractuellement | Confirmation écrite du correctif par l'hébergeur |
Pour la sauvegarde, voyez Sauvegardes selon la règle 3-2-1, pour les accès à distance Authentification à deux facteurs pour les accès administrateur. Les deux correspondent bien aux nouvelles obligations de la version 2025.
Comment les PME procèdent de façon réaliste
La VdS 10000 peut aussi servir de guide sans objectif de certification. Une voie pragmatique commence par l'inventaire, car sans vue d'ensemble, aucune autre exigence ne peut être remplie proprement. Viennent ensuite les points au meilleur effet par effort : authentification multifacteur, sauvegardes fonctionnelles avec test de restauration et voie de signalement claire en cas de soupçon.
Ce n'est qu'une fois ces bases posées que le volet formel vaut la peine, avec directives, responsables désignés et évaluation des risques. Celui qui vise plus tard une certification trouvera la procédure dans les documents de VdS ; l'audit lui-même est assuré par l'organisme de certification, pas par un prestataire comme nous.
Un obstacle fréquent dans les PME est la question de savoir qui assume le rôle de responsable de la sécurité de l'information. La version 2025 exige une désignation officielle. Dans les petites entreprises, la tâche revient souvent à la direction informatique ou à la direction elle-même. C'est possible tant que le temps et les pouvoirs sont dimensionnés de façon réaliste. Il est important que cette personne ait aussi un regard sur les sites gérés par le marketing ou une agence. Ce sont justement eux qui passent volontiers à travers les mailles lors du premier état des lieux, parce qu'ils ne tournent pas dans votre propre centre de calcul. Une règle simple aide : chaque domaine que l'entreprise possède a une personne responsable et une entrée dans l'inventaire.
Pour le serveur web, cela signifie : le durcissement et la discipline des correctifs ne sont pas un supplément à côté de la directive, mais exactement ce qu'elle exige au quotidien. Ce que cela comprend est décrit dans le durcissement de serveurs pour serveurs web PHP. La comparaison avec les grandes normes est faite dans l'article ISO 27001 et TISAX : ce que cela implique pour les serveurs web.
Comment PHP SOS aide-t-il concrètement ?
- Nous établissons avec vous l'inventaire de vos sites, serveurs et versions de PHP et marquons les systèmes critiques.
- Nous mettons en œuvre les exigences techniques sur le serveur web : mises à jour avec preuve, authentification multifacteur pour les accès à distance, durcissement et contrôle des sauvegardes.
- Nous documentons le tout de façon que vos responsables de la sécurité de l'information puissent le reprendre dans les documents VdS.
- Nous ne promettons aucune certification. Savoir si les exigences sont remplies relève de l'organisme d'évaluation.
Conclusion
La VdS 10000 est un cadre sérieux, mais réalisable pour les PME. La version 2025 affûte précisément les points qui comptent aussi après PHP2Shell : des responsables, l'authentification multifacteur, de bonnes sauvegardes et une gestion réglée des incidents. Celui qui commence par le serveur web obtient vite des progrès visibles et une base solide pour aller plus loin.
Questions fréquentes
À qui s'adresse la VdS 10000 ?
Selon VdS, aux petites et moyennes entreprises ainsi qu'aux communes et entreprises communales. Elle est indépendante du secteur et ne doit ni surcharger l'organisation ni peser financièrement. Selon VdS, de plus grandes organisations peuvent aussi l'appliquer.
Quelle est la différence entre VdS 10000 et ISO 27001 ?
Selon VdS, la VdS 10000 repose sur l'ISO 27001 et le socle de sécurité du BSI (IT-Grundschutz), mais elle est adaptée aux PME et nettement plus légère. VdS chiffre l'effort à environ 20 pour cent de celui de l'ISO 27001 et décrit la directive comme compatible vers le haut, donc comme une entrée possible dans la série ISO 27000.
La VdS 10000 aide-t-elle pour NIS2 ?
VdS décrit la nouvelle édition 2025 comme une base sur laquelle les exigences de NIS2 pourront être ajoutées plus tard. Pour cela existe la directive propre VdS 10100. Savoir si votre entreprise relève de NIS2 et ce qui s'applique alors est à clarifier séparément.
Existe-t-il une version pour les installations de production ?
Oui. Pour les systèmes d'automatisation industriels, VdS publie le guide VdS 10020, qui interprète la VdS 10000 pour ce domaine.