Exigences NIS2 : guide de conformité et checklist de préparation

Les exigences NIS2 couvrent 18 secteurs critiques dans toute l’UE, imposant des contrôles des risques, un signalement des incidents par étapes et une responsabilité personnelle du conseil d’administration en cas de non-conformité.

Qu’est-ce que NIS2 ?

La directive NIS2 constitue la loi-cadre de l’Union européenne en matière de cybersécurité pour les organisations des secteurs critiques et importants. Si vous exercez vos activités dans l’UE ou y fournissez des services, NIS2 est désormais votre référence de sécurité, et même si votre État membre est encore en phase de rattrapage, vous devriez déjà travailler selon le niveau de référence fixé par la directive.

Cette urgence n’a rien de théorique. En 2021, Colonial Pipeline a été contraint d’interrompre ses opérations à la suite d’une attaque par ransomware, un communiqué du DOJ indiquant que l’entreprise avait payé environ 4,4 millions de dollars de rançon. NIS2 est conçue pour ce type de perturbation : elle formalise les attentes en matière de gestion des risques, impose un signalement rapide et fait des défaillances de gouvernance un problème relevant du conseil d’administration.

NIS2 est entrée en vigueur en octobre 2024, remplaçant la directive NIS d’origine (2016/1148), la page NIS2 de la Commission européenne la décrivant comme relevant « le niveau commun d’ambition de l’UE en matière de cybersécurité, grâce à un champ d’application plus large, des règles plus claires et des outils de supervision plus solides ». En pratique, NIS2 élargit les secteurs couverts, introduit des délais obligatoires de signalement des incidents et crée une responsabilité personnelle pour la direction générale.

Pour comprendre pourquoi ces changements comptent pour votre programme de sécurité, il est utile d’examiner ce que NIS2 exige précisément.

Quelles sont les exigences de NIS2 ?

Les exigences deNIS2 sont les obligations de cybersécurité obligatoires établies par la directive NIS2 (Directive 2022/2555) pour les organisations opérant dans des secteurs critiques et importants à travers l’UE. 

Elles couvrent les mesures de gestion des risques au titre de l’article 21, les obligations de signalement des incidents au titre de l’article 23 et la responsabilité de gouvernance au titre de l’article 20. Ensemble, ces exigences créent une base de sécurité contraignante qui s’applique à des milliers d’entités dans dix-huit secteurs.

Pourquoi les exigences de NIS2 sont-elles importantes pour la cybersécurité ?

Les incidents informatiques deviennent des crises métier plus vite que la plupart des bilans ne peuvent l’absorber. NotPetya l’a prouvé en 2017. Merck a ensuite déclaré environ 870 millions de dollars de coûts associés dans un dépôt SEC de Merck. NIS2 existe pour éviter que cela ne devienne votre histoire.  Vous devez prouver la gouvernance, la préparation à la réponse et l’efficacité des contrôles, et les auditeurs rechercheront des preuves documentées, pas des captures d’écran de configuration.

NIS2 n’est pas un simple exercice de conformité formelle. Elle impose des mesures spécifiques de gestion des risques de cybersécurité, exige un signalement structuré des incidents dans des délais serrés et tient votre conseil d’administration personnellement responsable des défaillances de supervision.

La directive introduit également une classification à deux niveaux. Les entités essentielles font l’objet d’une supervision proactive (ex ante) avec audits et inspections. Les entités importantes font l’objet d’une supervision réactive (ex post) déclenchée par des éléments attestant d’une non-conformité. Les deux niveaux s’exposent à des sanctions financières substantielles et à une responsabilité de la direction.

Qu’est-ce qui a changé entre NIS1 et NIS2 ?

Si votre organisation relevait de la directive NIS d’origine, l’écart entre les deux cadres est significatif. NIS2 n’est pas une révision mineure. Elle restructure les obligations en matière de périmètre, d’application, de gouvernance et de signalement.

• Le périmètre a été considérablement élargi. La directive d’origine couvrait sept secteurs : l’énergie, les transports, la banque, les infrastructures des marchés financiers, la santé, l’eau potable et les infrastructures numériques. NIS2 étend ce périmètre à dix-huit secteurs, en ajoutant les eaux usées, l’espace, la gestion des services TIC, l’administration publique, les services postaux, la gestion des déchets, les produits chimiques, la production alimentaire, l’industrie manufacturière et la recherche. La Commission européenne estime que NIS2 couvre désormais des dizaines de milliers d’entités dans l’UE, contre quelques centaines sous NIS1.
• Le signalement des incidents est désormais harmonisé. Sous NIS1, les États membres fixaient leurs propres délais et critères de signalement, ce qui entraînait des incohérences transfrontalières. NIS2 normalise le processus en trois étapes : alerte précoce dans les 24 heures, notification d’incident dans les 72 heures et rapport final dans un délai d’un mois, appliqués uniformément dans toute l’UE.
• La responsabilité de la direction est nouvelle. NIS1 imposait des obligations de sécurité aux organisations. NIS2 ajoute une responsabilité personnelle pour la direction générale au titre de l’article 20, y compris la possibilité pour les autorités d’interdire temporairement à des dirigeants d’exercer des fonctions de direction après une violation grave.
• Les obligations liées à la chaîne d’approvisionnement sont nouvelles. NIS1 ne comportait pas d’exigences structurées en matière de sécurité de la chaîne d’approvisionnement. L’article 21 vous impose désormais d’évaluer la posture de sécurité de vos fournisseurs, leurs propres dépendances et de les engager contractuellement à respecter vos exigences NIS2.
• Les sanctions ont fortement augmenté. NIS1 laissait les niveaux de sanction à l’appréciation nationale, créant de fortes variations. NIS2 fixe des plafonds minimaux à l’échelle de l’UE : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités importantes, et jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial pour les entités essentielles, le montant le plus élevé étant retenu dans les deux cas. Pour le détail complet des sanctions, consultez la FAQ NIS2 de la Commission.

La première question n’est donc pas de savoir comment se conformer. Elle est de savoir si vous entrez dans le champ d’application.

À qui NIS2 s’applique-t-elle ?

Le périmètre de NIS2 dépend du secteur, de la taille et du rôle de service. La directive utilise deux annexes pour classer les entités, ainsi que des seuils de taille pour déterminer si elles relèvent du champ d’application par défaut.

• Les entités essentielles (annexe I) opèrent dans des secteurs hautement critiques : énergie (électricité, pétrole, gaz, hydrogène, chauffage urbain), transports (aérien, ferroviaire, maritime, routier), banque et infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques (fournisseurs DNS, registres TLD, fournisseurs cloud, centres de données, CDN, prestataires de services de confiance, réseaux de communications électroniques), gestion des services TIC (fournisseurs de services managés et fournisseurs de services de sécurité managés), administration publique et espace.
• Les entités importantes (annexe II) opèrent dans d’autres secteurs critiques : services postaux et de courrier, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution alimentaires, fabrication de dispositifs médicaux, d’ordinateurs, d’équipements électroniques, de machines, de véhicules automobiles et d’autres équipements de transport, fournisseurs numériques (places de marché en ligne, moteurs de recherche en ligne, réseaux sociaux) et organismes de recherche.
• Des seuils de taille s’appliquent dans la plupart des cas. Les organisations comptant 50 employés ou plus, ou réalisant 10 millions d’euros ou plus de chiffre d’affaires annuel, qui opèrent dans un secteur couvert, relèvent du champ d’application par défaut. Les entreprises moyennes et grandes ne bénéficient généralement d’aucune exemption automatique. Toutefois, des organisations plus petites peuvent toujours être désignées comme entités essentielles ou importantes si elles sont le seul fournisseur d’un service critique dans leur État membre, si leur perturbation aurait un impact transfrontalier significatif, ou si une autorité nationale estime qu’elles présentent un risque systémique. Consultez la FAQ NIS2 du NCSC Ireland pour une présentation pratique des critères de dimensionnement.
• Les organisations non européennes ne sont pas automatiquement exemptées. Si vous fournissez dans l’UE des services entrant dans le champ d’application, même si votre siège est situé hors de l’UE, vous devrez peut-être désigner un représentant dans un État membre et vous conformer à la loi nationale de transposition NIS2 de cet État. Confirmez votre situation auprès de l’autorité nationale compétente concernée.

Une fois le périmètre et la classification établis, le vrai travail commence. Voici ce que NIS2 vous impose de faire.

Principales exigences de sécurité de NIS2

Les exigences de NIS2 se répartissent en trois piliers fondamentaux : mesures de sécurité obligatoires, signalement des incidents et application. Chacun affecte directement la manière dont vous structurez votre programme de sécurité.

Mesures de sécurité obligatoires (article 21)

Toute entité couverte doit mettre en œuvre des mesures de gestion des risques de cybersécurité proportionnées à son exposition au risque, à sa taille et à son impact sociétal. Les exigences de l’article 21 se regroupent autour de quelques thèmes opérationnels :

• Gouvernance et assurance : analyse des risques, politiques de sécurité et évaluation continue de l’efficacité afin de pouvoir démontrer que les contrôles fonctionnent, avec des preuves que les régulateurs peuvent examiner.
• Résilience opérationnelle : gestion des incidents et continuité d’activité, y compris sauvegarde et reprise après sinistre, alignées sur votre processus de réponse aux incidents.
• Ingénierie et communications sécurisées : sécurité dans l’acquisition, le développement et la maintenance des systèmes, ainsi que politiques de cryptographie et de chiffrement et communications sécurisées.
• Personnes, accès et tiers : hygiène cyber de base et formation (y compris pour la direction), contrôle d’accès et gestion des actifs, sécurité des fournisseurs (y compris l’exposition aux attaques de la chaîne d’approvisionnement), et authentification forte telle que l’ authentification multifacteur.

Ces mesures sont volontairement larges. NIS2 ne prescrit pas de technologies spécifiques, seulement des résultats proportionnés, mais la question de savoir qui est responsable de leur obtention n’est pas laissée à l’interprétation.

Responsabilité de la direction (article 20)

Votre organe de direction doit approuver les mesures de cybersécurité, superviser leur mise en œuvre et suivre une formation en cybersécurité. Ces obligations ne peuvent pas être déléguées. Selon l’analyse NIS2 de DLA Piper, la direction générale « peut être tenue personnellement responsable des manquements à ses obligations au titre de la directive ».

Voilà pour le « quoi ». Les sections suivantes couvrent le « comment » : signalement des incidents, gouvernance, obligations liées à la chaîne d’approvisionnement et application.

Exigences de signalement des incidents au titre de NIS2

L’article 23 établit un processus obligatoire de signalement en trois étapes, le délai commençant lorsque vous prenez connaissance d’un incident, et non lorsque l’incident s’est produit.

• Étape 1 : alerte précoce. Dans un délai d’un jour, vous soumettez une classification initiale, indiquez si l’incident semble résulter d’actes illicites ou malveillants, évaluez l’impact transfrontalier potentiel et fournissez les coordonnées nécessaires à la coordination.
• Étape 2 : notification d’incident. Dans un délai de trois jours, vous fournissez une analyse actualisée de la gravité et de l’impact, des indicateurs de compromission (IoC) lorsqu’ils sont disponibles, les systèmes et services affectés, ainsi que la méthode d’identification et l’horodatage.
• Étape 3 : rapport final. Dans un délai d’un mois, vous fournissez une analyse de la cause racine, une description des mesures de réponse appliquées et en cours, ainsi qu’une évaluation de l’impact transfrontalier.

Un « incident significatif » au sens de l’article 23(3) est un incident qui a causé ou est susceptible de causer une perturbation opérationnelle grave, une perte financière, ou des pertes matérielles ou immatérielles pour d’autres personnes. Le seuil « susceptible de causer » signifie que vous devez évaluer l’impact potentiel, et pas seulement les dommages confirmés. Le non-respect de l’une quelconque des étapes de cette chaîne de signalement vous expose à une action de supervision.

Les obligations de signalement définissent ce que vous devez communiquer après un incident. Les exigences de gouvernance ci-dessous définissent qui est responsable de prévenir ces incidents en premier lieu.

Exigences de gouvernance et de responsabilité

L’article 20 place la gouvernance de la cybersécurité directement sous la responsabilité de votre organe de direction. Les membres du conseil d’administration et les cadres dirigeants doivent approuver les mesures de gestion des risques de cybersécurité de votre organisation et superviser activement leur mise en œuvre. Ces responsabilités sont personnelles et ne peuvent pas être déléguées.

1. Formation obligatoire de la direction. Chaque membre de votre organe de direction doit suivre une formation en cybersécurité. L’article 20(2) précise que cette formation doit être suffisante pour identifier les risques, évaluer les pratiques de gestion des risques de cybersécurité et apprécier leur impact sur les services fournis par votre organisation. Il ne s’agit pas d’une exigence ponctuelle d’intégration. La formation doit suivre l’évolution de votre environnement de risque, et les régulateurs peuvent vérifier les justificatifs de suivi lors des audits.
2. Responsabilité personnelle en cas de défaillance de supervision. Si un incident de cybersécurité résulte d’une gouvernance insuffisante, les autorités nationales peuvent tenir des dirigeants individuellement responsables. Les sanctions comprennent des amendes administratives, la divulgation publique de l’infraction et, pour les entités essentielles, une interdiction temporaire d’exercer des fonctions de direction. Hogan Lovells note que NIS2 « élève la cyberrésilience au rang de sujet de gouvernance d’entreprise et de responsabilité personnelle au niveau du conseil d’administration ».
3. Preuves documentées de la supervision. Un programme de sécurité qui fonctionne entièrement au sein de votre département informatique, sans trace visible de gouvernance au niveau exécutif, ne satisfera pas un auditeur. Les régulateurs s’attendent à voir :

• Des politiques de sécurité approuvées par le conseil avec signataires nommés et dates d’approbation
• Des décisions documentées de traitement des risques montrant comment les risques résiduels ont été acceptés ou traités
• Des enregistrements de cycles de revue réguliers prouvant que les politiques sont mises à jour et non statiques
• Des décisions d’allocation de ressources reliant budget et effectifs aux risques identifiés

Reliez chacun de ces éléments à des personnes nommées et à des dates. Si vous ne pouvez pas produire ces preuves sur demande, vos contrôles sont de fait non documentés.

La responsabilité de gouvernance établit la chaîne interne de responsabilité. NIS2 étend cette responsabilité vers l’extérieur au travers des exigences de sécurité de la chaîne d’approvisionnement.

Exigences de sécurité de la chaîne d’approvisionnement dans NIS2

L’article 21(2)(d) vous impose d’évaluer et de gérer les risques de sécurité dans votre chaîne d’approvisionnement, y compris vos fournisseurs directs et prestataires de services. NIS2 considère le risque tiers comme votre risque : si la faiblesse d’un fournisseur provoque une violation dans votre environnement, l’obligation de conformité vous incombe toujours.

Critères d’évaluation des fournisseurs. Votre évaluation doit aller au-delà de questionnaires superficiels. NIS2 attend de vous que vous preniez en compte les vulnérabilités spécifiques de chaque fournisseur, la qualité globale de ses produits et ses pratiques de cybersécurité, les juridictions dans lesquelles il opère, ainsi que ses propres dépendances dans la chaîne d’approvisionnement. 

Exigences contractuelles de sécurité. Les accords fournisseurs doivent inclure des clauses de sécurité alignées sur NIS2. Au minimum, les contrats devraient couvrir :

• Les obligations de notification d’incident afin que vous puissiez respecter vos propres délais de signalement
• Les droits d’audit vous permettant de vérifier les contrôles de sécurité des fournisseurs
• Les accords de niveau de service liés à la performance de sécurité
• Les clauses de résiliation en cas de non-conformité persistante

Ces clauses transforment vos attentes de conformité en engagements opposables plutôt qu’en ententes informelles.

Transparence logicielle. Pour les composants logiciels critiques, conservez des nomenclatures logicielles (SBOM) documentant les composants et dépendances au sein des logiciels fournis par vos fournisseurs. Les SBOM vous donnent de la visibilité sur les vulnérabilités qui apparaissent après le déploiement et permettent une évaluation d’impact plus rapide lors des incidents.

Diversification et continuité. NIS2 attend également de vous que vous évaluiez le risque de concentration. Si la défaillance d’un fournisseur unique peut interrompre un service critique, documentez votre plan de continuité et, lorsque cela est possible, identifiez des fournisseurs alternatifs. L’objectif est la résilience, pas seulement la conformité.

Les obligations liées à la chaîne d’approvisionnement définissent le périmètre externe de votre programme de conformité. Les mécanismes d’application ci-dessous établissent ce qui se passe lorsqu’une partie quelconque de ce programme est insuffisante.

Exigences de contrôle et de sanctions de NIS2

NIS2 ne repose pas sur de bonnes intentions. Elle impose la conformité au moyen de pouvoirs de supervision, de sanctions financières et d’une responsabilité personnelle.

Pouvoirs de supervision

Les entités essentielles font l’objet d’une supervision proactive au titre de l’article 32. Les autorités peuvent effectuer des inspections sur site, des audits aléatoires et ad hoc, des analyses de sécurité et des demandes de preuves. Elles peuvent également émettre des instructions contraignantes, ordonner la divulgation publique des infractions et interdire temporairement aux PDG ou représentants légaux d’exercer des fonctions de direction.

Les entités importantes font l’objet d’une supervision réactive au titre de l’article 33, déclenchée par des preuves ou indices de non-conformité. Elles sont soumises aux mêmes structures de sanctions mais ne sont pas exposées à des audits aléatoires proactifs. Dans les deux cas, les conséquences financières sont substantielles.

Structures de sanctions

Les sanctions NIS2 sont calculées soit sur la base d’un plafond fixe, soit sur la base d’un pourcentage du chiffre d’affaires mondial, le montant le plus élevé étant retenu, avec des plafonds plus élevés pour les entités essentielles que pour les entités importantes. Pour le cadrage complet des sanctions par la Commission, consultez la FAQ NIS2 de la Commission.

La responsabilité de la direction va au-delà des amendes. Hogan Lovells note que NIS2 « élève la cyberrésilience au rang de sujet de gouvernance d’entreprise et de responsabilité personnelle au niveau du conseil d’administration ».

Aucune autorité n’a encore signalé de cas publics d’application de NIS2, mais le texte de la directive rend clairs le niveau attendu et les outils de supervision. Comprendre ce cadre ne suffit pas à lui seul. Les façons dont la plupart des organisations échouent sont prévisibles, et chacune d’elles est évitable.

Défis courants pour satisfaire aux exigences de NIS2

La directive est suffisamment claire à la lecture. C’est la mise en œuvre qui fait trébucher les organisations. Voici les erreurs qui piègent le plus souvent les entités essentielles et importantes, et aucune n’est difficile à éviter.

• Traiter NIS2 comme un exercice purement technique. NIS2 exige un changement organisationnel. L’article 20 impose l’approbation du conseil, la formation de la direction et une responsabilité documentée. Les régulateurs rechercheront des preuves de gouvernance dans chacune de ces dimensions.
• Réaliser des évaluations des risques ponctuelles. Une évaluation unique des risques est incompatible avec l’exigence d’évaluation continue de l’efficacité prévue à l’article 21. Vous avez besoin de revues permanentes des risques inscrites à votre agenda de gouvernance à intervalles réguliers, avec des mises à jour documentées des plans de traitement des risques.
• Limiter la diligence raisonnable de la chaîne d’approvisionnement aux fournisseurs directs. NIS2 vous impose d’évaluer les propres dépendances de chaîne d’approvisionnement de vos fournisseurs, créant ainsi des obligations liées au risque de quatrième partie. Selon les orientations de mise en œuvre de l’ENISA, « les risques liés aux systèmes de réseau et d’information fournis par des tiers… restent de la responsabilité de l’entité elle-même ».
• Maintenir une documentation insuffisante. Des contrôles qui existent mais ne peuvent pas être démontrés lors d’un audit sont, en pratique, inexistants. Reliez chaque élément du registre des risques aux contrôles, aux attributions et aux preuves. Préparez un récit de conformité prêt pour l’audit avant que les régulateurs ne vous le demandent.
• Sous-estimer la fenêtre de signalement d’un jour. L’alerte précoce exige une soumission avant que l’évaluation complète de l’impact ne soit terminée. Si vos workflows de réponse aux incidents ne peuvent pas classifier rapidement la gravité après la prise de connaissance, vous manquerez l’échéance ou soumettrez des informations inexactes, ce qui crée dans les deux cas une exposition réglementaire.

La plupart de ces erreurs ont une cause racine commune : traiter NIS2 comme un projet plutôt que comme un programme. La checklist ci-dessous vous donne une manière structurée de la construire comme le second.

Checklist de mise en œuvre des exigences NIS2

Cette checklist en huit phases est dérivée des orientations de mise en œuvre de l’ENISA.

Phase 1 : analyse du périmètre et des écarts

• Déterminez la classification de votre entité (essentielle ou importante) à l’aide des annexes I et II
• Calculez les effectifs à l’aide des unités de travail annuelles, et non d’un simple décompte des personnes
• Cartographiez toutes les filiales et unités opérationnelles par rapport aux secteurs couverts par NIS2
• Évaluez votre posture actuelle au regard des exigences de l’article 21
• Documentez la justification de votre détermination du périmètre

Phase 2 : gouvernance et cadre de politiques

• Attribuez une responsabilité cybersécurité au niveau du conseil avec une responsabilité documentée
• Mettez en place des mécanismes réguliers de reporting à la direction générale
• Créez ou mettez à jour votre politique de sécurité de l’information alignée sur l’article 21
• Développez des procédures de réponse aux incidents respectant les délais de l’article 23
• Documentez l’approbation formelle par le conseil des mesures de gestion des risques de cybersécurité

Phase 3 : mise en œuvre des contrôles techniques

• Déployez des contrôles d’accès selon les principes du moindre privilège
• Mettez en œuvre l’authentification multifacteur (MFA) ou une authentification continue sur les systèmes critiques
• Déployez le chiffrement pour les données sensibles au repos et en transit
• Mettez en place une surveillance de sécurité continue sur tous les systèmes critiques
• Conservez des pistes d’audit reliant les décisions de sécurité aux évaluations des risques

Phase 4 : sécurité de la chaîne d’approvisionnement

• Inventoriez tous les fournisseurs directs et prestataires de services
• Évaluez les fournisseurs selon les critères d’évaluation NIS2 (juridiction, conformité, propriété, continuité, diversification)
• Évaluez les propres dépendances de chaîne d’approvisionnement des fournisseurs
• Mettez à jour les contrats pour inclure les exigences de sécurité NIS2 et les SLA
• Incluez dans les accords fournisseurs les notifications d’incident, les droits d’audit et les clauses de résiliation
• Conservez des nomenclatures logicielles (SBOM) pour les composants logiciels critiques

Phase 5 : formation et sensibilisation

• Fournissez une formation NIS2 aux membres du conseil couvrant les obligations de l’article 20 et la responsabilité personnelle
• Déployez des programmes de sensibilisation basés sur les rôles pour tous les employés

Phase 6 : préparation à la réponse aux incidents

• Mettez en place une capacité de notification initiale en un jour
• Établissez à l’avance des relations avec votre équipe nationale de réponse aux incidents de sécurité informatique (CSIRT)
• Préparez des modèles pour les trois étapes de notification
• Testez régulièrement les procédures avec des exercices sur table

Phase 7 : surveillance continue et amélioration

• Réalisez des audits internes périodiques avec du personnel qualifié
• Reliez chaque ligne du registre des risques aux contrôles, aux attributions et aux preuves
• Surveillez les flux de renseignement sur les menaces et mettez à jour les évaluations des risques en conséquence

Phase 8 : considérations relatives aux environnements OT (le cas échéant)

• Définissez une gouvernance cyber distincte pour les actifs OT
• Mettez en œuvre une segmentation réseau entre les environnements IT et OT
• Incluez des clauses de conformité NIS2 dans les contrats des fournisseurs OT

Le traitement systématique de chaque phase permet de construire une base conforme. Les pratiques ci-dessous vous aident à la maintenir dans le temps.

Bonnes pratiques pour satisfaire aux exigences de NIS2

• Alignez-vous d’abord sur les cadres existants. Si vous maintenez déjà des contrôles ISO 27001 ou NIST CSF, mappez-les aux exigences de l’article 21 de NIS2. Le chevauchement est important. L’analyse des écarts progresse plus vite à partir d’une base établie qu’à partir d’une page blanche.
• Construisez votre workflow de signalement des incidents avant d’en avoir besoin. Identifiez dès maintenant votre autorité nationale compétente et votre CSIRT. Pré-rédigez des modèles pour les trois étapes de signalement et exécutez des exercices sur table testant la classification et la soumission rapides.
• Utilisez la responsabilité de la direction comme levier stratégique. Les dispositions de responsabilité personnelle de l’article 20 créent un sentiment d’urgence au niveau du conseil. Présentez votre feuille de route de conformité en termes d’exposition au risque : quantifiez le coût de la non-conformité par rapport à ce qu’exige votre programme de sécurité. Le conseil ne peut pas déléguer l’approbation des mesures de cybersécurité au titre de l’article 20. Ce seul fait statutaire est souvent votre meilleur outil pour obtenir budget et priorité.

Ces pratiques ne passent à l’échelle qu’avec des outils capables de suivre les exigences de surveillance continue de NIS2. C’est là que la bonne plateforme justifie sa place, avec des pistes d’audit intégrées, et non ajoutées après coup.

Comment SentinelOne prend en charge les exigences de NIS2

NIS2 vous demande trois choses, sans interruption : surveiller en continu, classifier rapidement les incidents et prouver que vos contrôles fonctionnent réellement. Un effort manuel réparti sur des dizaines d’outils déconnectés ne peut pas tenir ce rythme. La SingularityTM Platform de SentinelOne consolide la sécurité des endpoints, des identités et du cloud dans une seule console, vous offrant une visibilité en temps réel et des capacités de réponse autonome qui correspondent directement à vos obligations NIS2.

• Surveillance continue et évaluation de l’efficacité (article 21). La Singularity Platform exécute en permanence Behavioral AI sur chaque agent. Elle détecte les menaces par leur comportement, avant même qu’une signature n’existe. 
• Gestion et signalement des incidents (articles 21 et 23). La technologie Storyline assemble la télémétrie des endpoints, des charges de travail cloud et des identités dans une seule chronologie d’attaque. Lorsqu’un incident significatif survient, vous disposez déjà du contexte forensique, des IoC et des preuves d’impact nécessaires à votre alerte précoce. Pas besoin de courir entre une douzaine de tableaux de bord.
• Investigations plus rapides (article 21). Purple AI transforme des questions en langage naturel en réponses issues de votre télémétrie, et rédige pour vous le récit d’investigation. Les premiers utilisateurs signalent jusqu’à 80 % d’accélération des investigations sur les menaces, ce qui compte lorsque vous devez passer rapidement de « nous avons vu quelque chose » à une classification réglementaire justifiée.
• Supervision des identités (article 21). Singularity Identity bloque les attaques pilotées par l’identité avant qu’elles ne deviennent la panne qui fait les gros titres. Elle couvre le contrôle d’accès, l’hygiène des comptes et le confinement des incidents.
• Continuité d’activité et reprise (article 21). La restauration en 1 clic de SentinelOne annule le chiffrement par ransomware et restaure les endpoints à leur état antérieur à l’infection, soutenant les objectifs de reprise sans dépendre uniquement des workflows de restauration de sauvegarde.

Réservez une démo SentinelOne pour voir comment chaque capacité s’aligne sur votre programme NIS2, contrôle par contrôle.

Points clés à retenir

NIS2 est désormais en vigueur, quel que soit le stade atteint par la transposition dans votre État membre. Elle définit des mesures de sécurité précises au titre de l’article 21, impose un signalement rapide et échelonné des incidents, et place la responsabilité personnelle sur la direction générale. 

Les entités essentielles supportent la charge supplémentaire d’une supervision proactive, audits et inspections compris. Rien de tout cela ne se satisfait d’un certificat obtenu une seule fois. La conformité est continue : surveillance, évaluation de la chaîne d’approvisionnement et gouvernance documentée, maintenues à jour. Gérez-la comme un programme, et elle devient un avantage.

FAQ

Qu’est-ce que NIS2 ?

NIS2 (directive 2 sur la sécurité des réseaux et des systèmes d’information) est une réglementation de l’UE qui établit des exigences de cybersécurité pour les organisations opérant dans des secteurs critiques tels que l’énergie, les transports, la santé et les infrastructures numériques. 

Elle a remplacé la directive NIS d’origine en octobre 2024, en élargissant le champ des entités couvertes, en introduisant des délais obligatoires de déclaration des incidents et en créant une responsabilité personnelle pour la direction générale. Les organisations doivent mettre en œuvre des mesures définies de gestion des risques en vertu de l’article 21 et signaler les incidents significatifs dans les 24 heures suivant le moment où elles en ont connaissance.

Quand les exigences NIS2 s’appliquent-elles ?

Les exigences de NIS2 sont devenues applicables le 17 octobre 2024, lorsque la date limite de transposition de la directive a expiré pour tous les États membres de l’UE. Même lorsque la législation nationale de transposition est encore en cours de finalisation, le socle de la directive est établi et les autorités de régulation s’attendent à ce que les entités concernées alignent leurs programmes de sécurité en conséquence. 

Les organisations concernées devraient déjà mettre en œuvre les mesures de gestion des risques de l’article 21, développer les capacités de signalement prévues à l’article 23 et documenter les décisions de gouvernance au titre de l’article 20.

Quelles sont les principales exigences de NIS2 ?

NIS2 impose trois catégories d’obligations aux entités concernées :

1. Des mesures proportionnées de gestion des risques de cybersécurité couvrant l’analyse des risques, la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, le contrôle d’accès, le chiffrement et l’évaluation continue de l’efficacité (Article 21). 
2. Un signalement des incidents par étapes : une alerte précoce dans les 24 heures, une notification d’incident dans les 72 heures et un rapport final dans un délai d’un mois (Article 23).
3. Les organes de direction sont tenus d’approuver et de superviser les mesures de cybersécurité, et de suivre une formation à leur sujet, avec une responsabilité personnelle en cas de défaillance de supervision (Article 20).

NIS2 s’applique-t-elle aux organisations situées en dehors de l’UE ?

Oui, si vous fournissez des services dans l’UE, vous pouvez relever du champ d’application même si votre siège est situé ailleurs. Ce qui importe, c’est de savoir si vous exercez vos activités ou fournissez des services couverts dans un État membre et si vous remplissez les critères de secteur et de taille, y compris certains rôles de fournisseur. 

En cas de doute, documentez vos hypothèses de cadrage et confirmez les attentes auprès de l’autorité nationale compétente du pays où vous fournissez le service.

En quoi NIS2 diffère-t-elle du RGPD en matière de signalement des incidents ?

NIS2 utilise un cadre par étapes axé sur la perturbation opérationnelle et l’impact sur les services. GDPR exige une notification des violations de données à caractère personnel à votre autorité de protection des données dans un délai distinct. 

Si un incident implique à la fois une perturbation des services et une exposition de données à caractère personnel, vous devez coordonner les deux volets de déclaration, veiller à la cohérence des faits et préserver les preuves afin de pouvoir justifier votre classification de l’incident au titre de chaque régime.

Que se passe-t-il si mon État membre n’a pas encore transposé NIS2 ?

Vous ne devez pas attendre. La base de référence de la directive est déjà connue, et les régulateurs s’attendent à ce que les entités concernées se préparent pendant que le droit national et les orientations sont finalisés. Suivez les projets de loi dans votre État membre, alignez vos contrôles sur le texte de la directive et tenez un journal des modifications indiquant ce que vous avez mis en œuvre et pourquoi. 

Cette documentation vous permet de démontrer une gouvernance de bonne foi si les exigences évoluent légèrement pendant la transposition.

Les petites entreprises peuvent-elles être soumises aux exigences NIS2 ?

En général, les petites organisations se situent en dessous des seuils de taille par défaut. Toutefois, les autorités nationales peuvent inclure des entités plus petites si elles sont les seuls fournisseurs d’un service essentiel ou si leur perturbation entraînerait un impact transfrontalier significatif. 

Les organisations situées en dessous des seuils qui fournissent des entités entrant dans le champ d’application peuvent également subir une pression indirecte en matière de conformité par le biais d’obligations contractuelles et d’évaluations des fournisseurs.

Comment NIS2 interagit-elle avec le règlement DORA pour les entités financières ?

DORA s'applique en tant que législation sectorielle spécifique à de nombreuses entités financières et comprend ses propres exigences en matière de classification et de déclaration des incidents. 

Si vous relevez des deux régimes, mettez en place un workflow intégré unique qui associe les déclencheurs de déclaration, les délais et les champs de données de chaque cadre. En pratique, vous travaillez généralement selon le calendrier le plus strict et adaptez le contenu de chaque soumission à l'autorité destinataire.

Quelle est la différence entre les exigences NIS2 et NIS1 ?

NIS2 étend considérablement la directive NIS d’origine en matière de portée, d’application, de gouvernance et de reporting. NIS1 couvrait sept secteurs ; NIS2 en couvre dix-huit. NIS1 permettait aux États membres de définir leurs propres délais de signalement ; NIS2 harmonise un processus en trois étapes dans l’ensemble de l’UE. 

NIS2 introduit également la responsabilité personnelle de la direction au titre de l’article 20, des évaluations obligatoires de la sécurité de la chaîne d’approvisionnement, ainsi que des plafonds minimaux de sanctions à l’échelle de l’UE pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial. NIS1 ne comportait aucune de ces dispositions.