Directive NIS 2 : quelles obligations et comment s’y préparer ?

Temps de lecture estimé : 2 à 3 minutes

Face à l'augmentation des cyberattaques, l'Union européenne a renforcé son cadre juridique en matière de cybersécurité avec la directive NIS 2. Adoptée en 2022, elle remplace la directive NIS de 2016 et vise à garantir un niveau de sécurité élevé au sein des organisations critiques de l'UE.

Comprendre la directive NIS 2 et ses implications est crucial pour les entreprises et les administrations publiques concernées. Cet article vous explique les obligations imposées par la directive, les sanctions en cas de non-conformité et les étapes à suivre pour s'y préparer efficacement.

01. Directive NIS 2 : présentation et enjeux

02. Quelles sont les obligations en matières de cybersécurité ?

03. Comment bien vous préparer à la Directive NIS 2 ?

01. Directive NIS 2 : présentation et enjeux

Présentation de la directive NIS 2

La directive NIS 2 (Directive (UE) 2022/2555) vise à renforcer la cybersécurité des infrastructures et services critiques en Europe. Elle s'applique à un large éventail d'entités, y compris les administrations publiques, les opérateurs de services essentiels (énergie, transport, santé, etc.) et les fournisseurs de services numériques.

Enjeux, objectifs et domaine d'application

Ses objectifs principaux sont de :

• Améliorer la gestion des risques de cybersécurité
• Renforcer la capacité de réponse aux incidents
• Coopérer et partager des informations entre les États membres

Le domaine d'application de la directive NIS 2 a été considérablement élargi par rapport à la directive NIS. Il inclut désormais :

• Aux entités classées comme "essentielles" (EE) et "importantes" (EI) dans les secteurs "essentiels", comprenant notamment les services de santé, les services postaux, l'alimentation, le secteur des machines/équipements, ainsi que d'autres services numériques.
• Les secteurs déjà identifiés sous la directive NIS1 ainsi qu'une liste supplémentaire de secteurs "hautement critiques".
• Les petites et moyennes entreprises du champ d'application, sauf dans certains cas spécifiques en fonction de la criticité du service fourni.

02. Quelles sont les obligations en matières de cybersécurité ?

Obligations de sécurité

La directive NIS 2 impose aux organisations concernées un certain nombre d'obligations en matière de cybersécurité. Parmi les plus importantes, on peut citer :

• Mise en place de mesures techniques et organisationnelles appropriées pour gérer les risques de cybersécurité
• Application de mesures de sécurité spécifiques à chaque secteur
• Désignation d'un responsable de la sécurité des systèmes d'information (RSSI)
• Notification des incidents de cybersécurité aux autorités nationales
• Mise en place d'un plan de réponse aux incidents
• Réalisation de tests de cybersécurité réguliers

Responsabilités et sanctions en cas de non-conformité

La directive européenne NIS 2 impose un certain nombre de responsabilités aux acteurs concernés, qui varient selon leur catégorie et leur taille. Voici un résumé des principales responsabilités :

• Administrations publiques : Elles doivent garantir la sécurité de leurs systèmes d'information et coopérer avec les autorités nationales.
• Opérateurs de services essentiels : Ils doivent mettre en place des mesures de sécurité spécifiques à leur secteur et notifier les incidents de cybersécurité aux autorités nationales.
• Fournisseurs de services numériques : Ils doivent mettre en place des mesures de sécurité pour leurs services et produits et coopérer avec les autorités nationales.

Les sanctions prévues dans le cadre de NIS2 peuvent comprendre :

• Des amendes : Ces sanctions monétaires peuvent être considérables, allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel global pour les entités essentielles, et 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel global pour les entités importantes.
• Des mesures administratives : Elles englobent diverses actions telles que des avertissements, des injonctions visant à assurer la conformité à la directive, des suspensions d'activité, ainsi que des retraits d'autorisations.
• Des injonctions judiciaires : Un tribunal peut ordonner à une organisation de se conformer à la directive par le biais de mesures spécifiques imposées par la loi.
  
  

03. Comment bien vous préparer à la Directive NIS 2 ?

Quand la directive NIS 2 sera-t-elle en vigueur ?

La directive NIS 2 est entrée en vigueur le 16 janvier 2023. Les organisations concernées ont 21 mois pour se mettre en conformité, soit jusqu'au 17 octobre 2024.

Comment bien se préparer à l'application de NIS 2 ?

1. Pour se préparer efficacement à l'application de la directive NIS 2, les entités concernées doivent suivre plusieurs étapes clés :

   1. Identifier si votre organisation est soumise à la directive NIS 2.

   Pour ce faire, vous devez analyser vos activités et les services que vous proposez par rapport aux secteurs et catégories d'entités définis dans la directive.

   2. Réalisez une évaluation de votre niveau de maturité en matière de cybersécurité.

   Cette évaluation permettra d'identifier les points forts et les points faibles de votre organisation en matière de cybersécurité et de définir les actions à mener pour vous mettre en conformité avec la directive NIS 2.

   3. Définissez un plan d'action pour combler les lacunes de sécurité.

   Ce plan d'action doit être précis et concret, et il doit identifier les ressources nécessaires pour sa mise en œuvre.

   4. Mettre en place les mesures de sécurité et les processus requis par la directive NIS 2.

   Cela inclut la mise en place de mesures techniques et organisationnelles appropriées, la désignation d'un RSSI, la mise en place d'un plan de réponse aux incidents et la réalisation de tests de cybersécurité réguliers.

   5. Formez vos équipes aux bonnes pratiques de cybersécurité.

   La sensibilisation et la formation des équipes aux risques de cybersécurité est essentielle pour garantir la sécurité des systèmes d'information.

   6. Documentez vos actions et soyez prêt à les démontrer aux autorités.

   Il est important de conserver des traces de toutes les actions entreprises pour se mettre en conformité avec la directive NIS2.