Qu'est-ce que NIS2 ? Directive européenne sur la cybersécurité expliquée

NIS2 exige que les organisations de l'UE dans 18 secteurs critiques mettent en œuvre 10 mesures de cybersécurité, signalent les incidents sous 24 heures et s'exposent à des sanctions de 10 M€.

Qu'est-ce que NIS2 ?

Qu'est-ce que NIS2 ? NIS2 (Directive (UE) 2022/2555) établit des exigences obligatoires en matière de cybersécurité dans toute l'UE, obligeant les États membres à renforcer leurs capacités et à mettre en œuvre des mesures de gestion des risques dans les secteurs critiques. La directive NIS2 élargit la couverture de la directive NIS initiale à 18 secteurs critiques, dont l'énergie, les transports, la banque, la santé, les infrastructures numériques, l'industrie manufacturière et l'administration publique.

Votre conseil d'administration vient de vous demander si vous êtes prêt pour NIS2. Vous avez vérifié le calendrier. La date limite de transposition du 17 octobre 2024 est déjà passée. Vous n'êtes pas seul : 23 États membres de l'UE ont fait l'objet de procédures d'infraction pour ne pas avoir respecté cette échéance.

Des attaques récentes démontrent pourquoi NIS2 est important pour l'UE. En mai 2021, le Health Service Executive d'Irlande a subi une attaque par ransomware Conti qui a entraîné l'annulation de 80 % des rendez-vous ambulatoires et coûté plus de 100 millions d'euros en récupération. L'attaque NotPetya de 2017 a perturbé les opérations mondiales de transport maritime de Maersk, détruisant 45 000 PC et 4 000 serveurs, tout en causant 300 millions de dollars de dommages. L'incident de ransomware de Colonial Pipeline en 2021 a perturbé l'approvisionnement en carburant sur la côte Est des États-Unis, entraînant le paiement d'une rançon de 4,4 millions de dollars. L'UE impose une gouvernance renforcée de la cybersécurité NIS2 sur les infrastructures critiques en réponse à de tels incidents.

Le BSI allemand a confirmé qu'environ 29 500 entités relèvent de NIS2, tandis que la France en a identifié plus de 10 000. Vous êtes concerné si votre organisation opère dans un secteur couvert et répond à ces seuils : 50 employés ou plus OU un chiffre d'affaires annuel supérieur à 10 millions d'euros. Les petites et micro-entreprises de moins de 50 employés ET de 10 millions d'euros ou moins de chiffre d'affaires annuel sont généralement exclues, sauf si elles sont désignées comme critiques au titre de la directive sur la résilience des entités critiques (CER).

NIS2 introduit un système de double classification qui détermine votre charge réglementaire. Les entités essentielles opèrent dans 11 secteurs hautement critiques, dont l'énergie, les transports, la banque, les infrastructures de marchés financiers, la santé, l'eau potable, les eaux usées, les infrastructures numériques, la gestion des services TIC (B2B), l'administration publique et l'espace. Les entités importantes opèrent dans 7 autres secteurs critiques, dont les services postaux et de messagerie, la gestion des déchets, la chimie, la production alimentaire, l'industrie manufacturière, les fournisseurs numériques et les organismes de recherche.

L'article 20 rend les organes de direction personnellement responsables de l'approbation des mesures de cybersécurité, de la supervision de leur mise en œuvre et de la formation. Vous ne pouvez pas déléguer la responsabilité vers le haut ni invoquer un manque de connaissances techniques comme défense. Ces exigences de responsabilité représentent un changement significatif par rapport à la directive initiale.

NIS2 vs. NIS1 : ce qui a changé

La directive NIS de 2016 couvrait environ 7 secteurs et laissait une grande marge de manœuvre aux États membres pour la mise en œuvre. Cette flexibilité a créé un paysage réglementaire fragmenté où des organisations identiques faisaient face à des exigences différentes selon leur pays d'exploitation. La réglementation NIS2 corrige ces lacunes par des changements structurels fondamentaux.

L'élargissement du champ d'application est le changement le plus visible. NIS2 couvre 18 secteurs contre une couverture limitée pour NIS1, intégrant l'industrie manufacturière, la production alimentaire, la gestion des déchets, les services postaux et l'administration publique dans les exigences obligatoires. La directive introduit également des seuils de taille clairs (50+ employés ou 10 M€+ de chiffre d'affaires) qui éliminent toute ambiguïté sur l'applicabilité.

L'application a été entièrement revue. NIS1 manquait de sanctions harmonisées, entraînant des conséquences incohérentes selon les États membres. NIS2 établit des seuils minimaux de sanctions (10 M€ ou 2 % du chiffre d'affaires pour les entités essentielles) et accorde aux autorités de contrôle le pouvoir explicite de suspendre les dirigeants en cas de non-conformité. La directive introduit également la responsabilité personnelle des organes de direction, disposition totalement absente de NIS1.

Les délais de notification des incidents ont été considérablement raccourcis. NIS1 exigeait une notification « sans retard injustifié » sans délai précis. NIS2 impose un avertissement précoce sous 24 heures, une notification détaillée sous 72 heures et un rapport final sous un mois avec des exigences de contenu définies. Ce résumé de la directive NIS2 met en évidence l'évolution vers une responsabilité accrue et une réponse plus rapide.

Qui doit se conformer à NIS2 ?

La conformité NIS2 est obligatoire pour les organisations opérant dans des secteurs couverts et répondant à des seuils de taille spécifiques. La directive s'applique aux organisations moyennes et grandes, définies comme des entités ayant 50 employés ou plus OU un chiffre d'affaires annuel supérieur à 10 millions d'euros. Les organisations atteignant l'un ou l'autre seuil dans un secteur couvert relèvent des exigences NIS2.

Les petites et micro-entreprises de moins de 50 employés ET de 10 millions d'euros ou moins de chiffre d'affaires annuel sont généralement exemptées. Cependant, certaines entités doivent se conformer obligatoirement, quelle que soit leur taille. Il s'agit notamment des fournisseurs de réseaux publics de communications électroniques, des prestataires de services de confiance, des registres de noms de domaine de premier niveau, des fournisseurs de services DNS et des entités désignées comme critiques au titre de la directive CER.

Les États membres conservent le pouvoir de désigner d'autres entités comme essentielles ou importantes sur la base d'évaluations de criticité. Votre autorité nationale compétente publie des listes officielles d'entités fournissant une détermination définitive du périmètre pour votre juridiction. Le BSI en Allemagne, l'ANSSI en France et les autorités équivalentes dans d'autres États membres tiennent des portails d'enregistrement où vous pouvez vérifier votre statut de classification.

Les organisations multi-juridictionnelles font face à une complexité supplémentaire. Si vous opérez dans plusieurs États membres de l'UE, vous devez vous conformer à NIS2 dans chaque juridiction où vous fournissez des services dans des secteurs couverts. La directive établit des mécanismes de coopération entre autorités nationales pour coordonner la supervision des entités transfrontalières.

Périmètre NIS2 et secteurs couverts

NIS2 organise les secteurs couverts en deux catégories qui déterminent l'intensité de la supervision et l'exposition aux sanctions. Les entités essentielles opèrent dans 11 secteurs hautement critiques, tandis que les entités importantes opèrent dans 7 autres secteurs critiques.

Les secteurs des entités essentielles comprennent :

• Énergie (électricité, pétrole, gaz, hydrogène, chauffage et refroidissement urbains)
• Transports (aérien, ferroviaire, maritime, routier)
• Banque
• Infrastructures de marchés financiers
• Santé (prestataires de soins, laboratoires de référence de l'UE, fabricants de dispositifs médicaux, produits pharmaceutiques)
• Approvisionnement et distribution d'eau potable
• Collecte, élimination et traitement des eaux usées
• Infrastructures numériques (points d'échange Internet, fournisseurs DNS, registres TLD, cloud computing, centres de données, CDN, services de confiance, communications électroniques publiques)
• Gestion des services TIC (fournisseurs de services managés B2B et fournisseurs de services de sécurité managés)
• Administration publique (entités gouvernementales centrales)
• Espace (opérateurs d'infrastructures au sol soutenant les services spatiaux)

Les secteurs des entités importantes comprennent :

• Services postaux et de messagerie
• Gestion des déchets
• Chimie (fabrication, production, distribution)
• Production, transformation et distribution alimentaires
• Industrie manufacturière (dispositifs médicaux, ordinateurs, électronique, machines, véhicules à moteur, équipements de transport)
• Fournisseurs numériques (places de marché en ligne, moteurs de recherche, plateformes de réseaux sociaux)
• Organismes de recherche

Cette approche sectorielle garantit que les exigences de cybersécurité NIS2 s'adaptent à l'impact sociétal potentiel tout en offrant une clarté réglementaire pour la détermination du périmètre.

Sanctions et application de NIS2

La directive NIS2 transforme la cybersécurité d'une fonction technique en une obligation de gouvernance au niveau du conseil d'administration avec des conséquences exécutoires. Les entités essentielles encourent des amendes administratives pouvant aller jusqu'à 10 millions d'euros ou au moins 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les entités importantes encourent des amendes maximales de 7 millions d'euros ou au moins 1,4 % du chiffre d'affaires, le montant le plus élevé étant retenu.

Les autorités nationales compétentes disposent de vastes pouvoirs d'application allant bien au-delà des sanctions financières. Selon l'article 29, les autorités de contrôle peuvent :

• Émettre des avertissements en cas de non-conformité
• Émettre des injonctions contraignantes imposant des mesures de cybersécurité spécifiques
• Émettre des instructions contraignantes sur la mise en œuvre des mesures de gestion des risques
• Imposer des audits de sécurité à réaliser par les entités à leurs frais
• Fixer des délais pour la mise en œuvre des actions correctives

Ces mécanismes d'application garantissent que les organisations prennent au sérieux les obligations NIS2 et mettent en œuvre les contrôles requis.

Obligations de notification des incidents selon NIS2

NIS2 établit des délais stricts de notification des incidents qui représentent un défi opérationnel majeur pour de nombreuses organisations. La directive impose un processus de notification en trois étapes pour les incidents significatifs affectant les entités couvertes.

La première étape exige un avertissement précoce dans les 24 heures suivant la prise de connaissance d'un incident significatif. Cette notification doit indiquer si l'incident est soupçonné d'être causé par des actes illicites ou malveillants et s'il pourrait avoir un impact transfrontalier. Le délai de 24 heures commence lorsque votre organisation prend connaissance de l'incident, et non à la fin de votre enquête.

La deuxième étape exige une notification détaillée sous 72 heures. Ce rapport doit inclure une première évaluation de l'impact, des indicateurs de compromission et toute mesure de réponse appliquée ou prévue. Vous devez mettre à jour cette notification à mesure que de nouvelles informations deviennent disponibles au cours de votre enquête en cours.

La troisième étape exige un rapport final dans le mois suivant la notification de l'incident. Ce document complet doit contenir une description détaillée de l'incident, y compris sa gravité et son impact, le type de menace ou la cause racine, les mesures de remédiation appliquées et en cours, ainsi que toute évaluation de l'impact transfrontalier.

Un incident est considéré comme significatif s'il a causé, ou est susceptible de causer, une perturbation opérationnelle grave des services ou une perte financière pour votre entité, OU s'il a affecté, ou est susceptible d'affecter, d'autres personnes physiques ou morales en causant des dommages matériels ou immatériels considérables. Ce double critère signifie que des incidents affectant les clients, même avec un impact interne limité, peuvent nécessiter une notification en raison des préjudices externes.

Gouvernance et supervision NIS2

La réglementation NIS2 fonctionne par une coordination au niveau de l'UE (ENISA), des autorités nationales compétentes (comme le BSI en Allemagne, l'ANSSI en France) et une mise en œuvre au niveau des entités. Les entités essentielles font l'objet d'une supervision continue conformément à l'article 32, incluant des inspections régulières sur site, des audits hors site, des audits de sécurité obligatoires et des tests d'intrusion. Les entités importantes font l'objet d'une supervision a posteriori conformément à l'article 33, déclenchée lorsque les autorités reçoivent des preuves de non-conformité.

Un incident est considéré comme significatif s'il a causé, ou est susceptible de causer, une perturbation opérationnelle grave des services ou une perte financière pour l'entité, OU s'il a affecté, ou est susceptible d'affecter, d'autres personnes physiques ou morales en causant des dommages matériels ou immatériels considérables.

NIS2 et réglementations européennes connexes

Cette réglementation NIS2 de l'UE ne fonctionne pas isolément. NIS2 croise plusieurs autres réglementations européennes, et comprendre ces relations permet d'éviter les lacunes de conformité et les efforts redondants.

• Le Digital Operational Resilience Act (DORA) s'applique spécifiquement aux entités du secteur financier, y compris les banques, compagnies d'assurance et sociétés d'investissement. DORA établit des exigences de gestion des risques TIC qui recoupent NIS2 mais incluent des dispositions sectorielles pour la gestion des risques tiers et les tests de résilience opérationnelle. Les entités financières soumises à DORA satisfont aux exigences de gestion des risques de NIS2 via la conformité DORA selon le principe de lex specialis, c'est-à-dire que la réglementation la plus spécifique prévaut.
• La directive sur la résilience des entités critiques (CER) traite de la sécurité physique des infrastructures critiques, complétant l'approche cybersécurité de NIS2. Les organisations désignées comme entités critiques au titre de CER sont soumises à la fois à des exigences de résilience physique et à des obligations de cybersécurité NIS2.
• Le Cyber Resilience Act (CRA) cible les produits comportant des éléments numériques, exigeant des fabricants qu'ils intègrent la sécurité tout au long du cycle de vie du produit. Alors que NIS2 régit les pratiques organisationnelles de cybersécurité, le CRA garantit que les produits achetés par les organisations respectent des normes de sécurité minimales.

Le RGPD continue de régir la protection des données personnelles séparément des exigences de cybersécurité de NIS2. Un même incident peut déclencher des obligations de notification au titre des deux réglementations, avec des délais, destinataires et exigences de contenu différents.

Principaux avantages de l'adoption de NIS2

Malgré la complexité réglementaire, NIS2 offre des avantages concrets aux organisations qui atteignent la conformité.

1. Exigences harmonisées dans 27 États membres. La directive établit des règles du jeu équitables dans le paysage de la cybersécurité NIS2. Les organisations opérant dans plusieurs États membres bénéficient d'exigences de base harmonisées plutôt que de naviguer entre 27 cadres de cybersécurité nationaux différents.
2. La responsabilité au niveau du conseil d'administration stimule l'investissement. La directive établit une responsabilité personnelle explicite des organes de direction en matière de  conformité cybersécurité. Lorsque votre PDG et les membres du conseil d'administration portent une responsabilité directe pour les décisions de cybersécurité via des formations documentées et des approbations formelles, vos discussions budgétaires s'orientent vers l'investissement proactif.
3. Résilience en cascade de la chaîne d'approvisionnement. Les exigences de sécurité de la chaîne d'approvisionnement créent une résilience en cascade dans les secteurs critiques. Lorsque vous devez évaluer les vulnérabilités propres à chaque fournisseur direct, vos prestataires sont incités à améliorer leur propre posture de cybersécurité. Cela génère des améliorations à l'échelle de l'écosystème au-delà des organisations individuelles.
4. Défense collective grâce au partage rapide d'informations. L'obligation de notification des incidents sous 24 heures instaure un partage rapide d'informations lors de menaces actives. Ce processus de notification en trois étapes garantit que les autorités compétentes et les CSIRT nationaux obtiennent rapidement une visibilité sur les menaces émergentes, permettant une analyse plus rapide des incidents et une coordination transfrontalière.

Défis de la mise en œuvre de NIS2

Ces avantages s'accompagnent de défis importants de mise en œuvre.

1. L'adhésion de la direction reste difficile. L'enquête de l'European Cyber Security Organisation a révélé que seulement 66 % des organisations signalent l'implication de la direction malgré les exigences obligatoires de responsabilité managériale. Plus de la moitié (53 %) rencontrent des difficultés à obtenir l'adhésion de la direction même après la date limite de transposition.
2. La complexité de la chaîne d'approvisionnement crée des risques en cascade. Les vulnérabilités de la chaîne d'approvisionnement représentent la barrière systémique la plus critique pour les organisations mettant en œuvre NIS2. Des recherches évaluées par des pairs publiées dans MDPI utilisant la méthodologie DEMATEL ont identifié des relations causales et montré que les organisations manquent souvent de contrôle sur les risques tiers, générant des défaillances en cascade dans d'autres domaines de conformité.
3. L'obligation de notification sous 24 heures exige des capacités en continu. Le délai d'alerte précoce de 24 heures crée des défis opérationnels pour les organisations sans SOC 24/7 ou capacités d'identification des menaces en temps réel. Respecter cette exigence nécessite des workflows préétablis et des capacités de réponse autonome.
4. La documentation surcharge des équipes déjà sollicitées. Les exigences documentaires créent une charge de préparation aux audits pour des équipes déjà sous pression. Vous devez maintenir des politiques de cybersécurité documentées, des évaluations de risques, des preuves de mise en œuvre des contrôles de sécurité et des preuves de conformité à la checklist NIS2 pour chacune des 10 mesures obligatoires de l'article 21.
5. Les contraintes de ressources imposent des arbitrages difficiles. Les contraintes financières aggravent les défis de mise en œuvre. Les organisations doivent financer simultanément de nouveaux contrôles de sécurité, des systèmes de documentation de conformité, des programmes de formation du personnel, des processus d'évaluation des fournisseurs et d'éventuels audits de sécurité tiers.

Checklist NIS2 et bonnes pratiques

Éviter ces écueils nécessite une approche structurée. Utilisez cette checklist NIS2 pour guider votre mise en œuvre :

1. Commencez par les recommandations de l'ENISA. Utilisez le Technical Implementation Guidance de l'ENISA comme base technique de référence. Ce document non contraignant de 170 pages fournit des mesures pratiques de mise en œuvre, des exemples de preuves et une cartographie avec ISO 27001, NIST et IEC 62443.
2. Obtenez rapidement le soutien de la direction. Obtenez le parrainage de la direction avant le début de la mise en œuvre technique. L'article 29, paragraphe 6 rend les membres des organes de direction personnellement responsables de la conformité NIS2. Documentez les approbations de la direction, la réalisation des formations et les activités de supervision comme preuves de conformité.
3. Appuyez-vous sur les cadres existants. Si vous détenez une certification ISO 27001, réalisez une analyse d'écart par rapport aux 10 mesures obligatoires. Le Technical Implementation Guidance de l'ENISA fournit une cartographie explicite montrant où les contrôles existants répondent aux exigences NIS2 et où des mesures supplémentaires sont nécessaires.
4. Mettez en place des capacités de réponse autonome. Déployez une visibilité centralisée et des capacités de réponse autonome permettant la notification des incidents sous 24 heures. Vous avez besoin d'une  gestion des journaux conforme aux exigences de conservation, d'une IA comportementale détectant les menaces émergentes, d'une automatisation de la réponse réduisant le temps moyen de remédiation et d'une couverture de surveillance 24/7.
5. Individualisez les évaluations des fournisseurs. Priorisez la sécurité de la chaîne d'approvisionnement avec des évaluations individualisées des fournisseurs, évaluant les vulnérabilités propres à chaque fournisseur direct et prestataire de services. Intégrez des clauses de sécurité dans tous les contrats fournisseurs précisant les obligations, droits d'audit, exigences de notification d'incident et procédures de vérification de conformité.
6. Centralisez la documentation et les workflows. Mettez en place des systèmes de documentation numérique avec collecte de preuves en temps réel, gestion des versions et chaînes de validation, ainsi que des KPI définis pour l'efficacité des contrôles de sécurité. Créez des workflows de notification d'incident préconfigurés s'activant automatiquement selon des critères de classification et des procédures d'escalade.

Les organisations qui suivent cette approche structurée se positionnent non seulement pour la conformité NIS2, mais aussi pour une amélioration globale de leur posture de sécurité. Les investissements requis pour la conformité apportent des bénéfices opérationnels allant bien au-delà des exigences réglementaires.

Calendrier de conformité et échéances NIS2

La réglementation NIS2 s'inscrit dans un calendrier défini par l'adoption de la directive et les exigences de transposition par les États membres. Comprendre ces échéances aide les organisations à hiérarchiser les activités de mise en œuvre et à allouer les ressources de manière appropriée.

La directive est entrée en vigueur le 16 janvier 2023, accordant aux États membres 21 mois pour transposer les exigences dans leur droit national. La date limite de transposition était le 17 octobre 2024. À cette date, toutes les entités couvertes sont devenues soumises aux exigences NIS2 selon leur transposition nationale respective.

Cependant, l'avancement de la transposition a varié considérablement selon les États membres. À la date limite d'octobre 2024, 23 États membres de l'UE faisaient l'objet de procédures d'infraction pour transposition incomplète. Cela a créé un paysage de conformité fragmenté où les organisations opérant à l'international faisaient face à des statuts de mise en œuvre différents selon la juridiction.

Les États membres doivent établir les listes des entités essentielles et importantes d'ici le 17 avril 2025. Cette échéance d'enregistrement impose aux organisations couvertes de fournir les informations nécessaires aux autorités nationales compétentes pour leur classification. Si vous ne vous êtes pas encore enregistré auprès de votre autorité nationale, priorisez cette action pour garantir une classification et une supervision appropriées.

La Commission européenne examinera le fonctionnement de NIS2 d'ici le 17 octobre 2027, puis tous les 36 mois. Ces examens pourront entraîner des modifications de la directive affectant les exigences de conformité. Les organisations doivent surveiller l'évolution réglementaire et maintenir la flexibilité de leurs programmes de conformité pour s'adapter à d'éventuels changements.

Pour les organisations encore en phase de construction de leur programme de conformité, le passage de la date limite de transposition implique une action immédiate. Priorisez les évaluations des risques, la mise en place des workflows de réponse aux incidents et l'évaluation de la sécurité de la chaîne d'approvisionnement. Documentez toutes les activités de conformité pour démontrer aux autorités de contrôle la bonne foi de vos efforts de mise en œuvre.

Résumé de la directive NIS2 et points clés

NIS2 de l'UE établit des exigences obligatoires pour 18 secteurs critiques, introduisant la responsabilité des organes de direction et des sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles. La directive impose la mise en œuvre de 10 mesures de gestion des risques spécifiques, un processus de notification des incidents en trois étapes débutant par un avertissement sous 24 heures, et des évaluations de la sécurité de la chaîne d'approvisionnement couvrant chaque fournisseur direct et prestataire de services.

La réussite de la mise en œuvre nécessite le parrainage du conseil d'administration dès le lancement du projet, une analyse d'écart structurée basée sur le cadre des 13 thématiques de l'ENISA, et des capacités de sécurité autonomes permettant de respecter des délais de notification exigeants malgré les contraintes de ressources. Les organisations doivent prioriser les évaluations de la chaîne d'approvisionnement et les workflows de réponse aux incidents, car ils représentent les principaux écarts de conformité pour les entités passant de la directive NIS initiale.

FAQ

Qu'est-ce que NIS2 et pourquoi a-t-elle été introduite ?

Comprendre ce qu'est NIS2 commence par sa désignation officielle : NIS2 (Directive (UE) 2022/2555) est la directive européenne actualisée en matière de cybersécurité qui établit des exigences de sécurité obligatoires pour les organisations opérant dans 18 secteurs critiques. L’UE a introduit NIS2 afin de remédier aux lacunes de la directive NIS de 2016, qui avait entraîné une mise en œuvre fragmentée entre les États membres et manquait de mécanismes d’application efficaces. 

Des attaques très médiatisées contre des infrastructures critiques, notamment l’incident de rançongiciel du HSE et l’impact de NotPetya sur le secteur maritime et la logistique, ont démontré la nécessité d’une gouvernance de la cybersécurité plus forte et harmonisée. NIS2 élargit la couverture sectorielle, introduit une responsabilité explicite de la direction, établit des seuils minimaux de sanctions et impose des délais précis de notification des incidents afin de renforcer la résilience collective à l’échelle de l’UE.

Quand NIS2 entre-t-elle en vigueur ?

La directive NIS2 de l’UE est entrée en vigueur le 16 janvier 2023, les États membres devant transposer la directive dans leur droit national d’ici le 17 octobre 2024. À compter de cette date limite de transposition, toutes les entités concernées sont soumises aux exigences de NIS2 selon les modalités de mise en œuvre nationales respectives. 

Les États membres doivent établir des listes d’entités essentielles et importantes d’ici le 17 avril 2025. Les organisations opérant dans les secteurs couverts devraient déjà mettre en œuvre des mesures de conformité, car le résumé de la directive NIS2 confirme que l’application est désormais active dans toute l’UE.

Comment les organisations peuvent-elles se préparer à la conformité NIS2 ?

Commencez par vérifier votre statut de classification auprès de votre autorité nationale compétente afin de confirmer si NIS2 s'applique à votre organisation. Utilisez le Guide technique de mise en œuvre de l'ENISA comme cadre de référence et la liste de contrôle NIS2 pour mettre en œuvre les 10 mesures obligatoires de gestion des risques. Réalisez une analyse des écarts par rapport aux exigences de l'article 21, en vous concentrant sur les workflows de réponse aux incidents, les évaluations de la sécurité de la chaîne d'approvisionnement et les systèmes de documentation. 

Obtenez rapidement le soutien de la direction, car l'article 20 établit la responsabilité personnelle des organes de gestion. Déployez des capacités de réponse autonome permettant la notification d'incident 24h/24 et mettez en place des workflows de signalement préconfigurés avant qu'un incident ne survienne.

Quelles organisations doivent se conformer à NIS2 ?

Les organisations opérant dans 18 secteurs couverts, notamment l'énergie, les transports, la banque, la santé, l'infrastructure numérique et la fabrication, doivent se conformer si elles atteignent les seuils de taille de 50 employés ou plus OU plus de 10 millions d'euros de chiffre d'affaires annuel. 

Les petites et micro-entreprises comptant moins de 50 employés ET 10 millions d'euros ou moins de chiffre d'affaires sont généralement exclues. Votre autorité nationale compétente publie des listes officielles d'entités qui déterminent de manière définitive le périmètre applicable à votre juridiction.

Comment les sanctions NIS2 se comparent-elles aux amendes RGPD ?

Les sanctions pour les entités essentielles selon NIS2 atteignent 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les entités importantes encourent 7 millions d’euros ou 1,4 % du chiffre d’affaires, selon le montant le plus élevé. Le niveau le plus élevé du RGPD atteint 20 millions d’euros ou 4 % du chiffre d’affaires.

Les sanctions NIS2 visent les manquements à la gestion des risques de cybersécurité selon  l’article 21 et les violations des obligations de notification d’incident selon  l’article 23, tandis que le RGPD concerne les violations de la protection des données.

Qu'est-ce qui constitue un incident significatif nécessitant une notification ?

Un incident est significatif s'il a causé ou est capable de causer une perturbation opérationnelle grave ou une perte financière importante pour votre entité, OU s'il a affecté ou est capable d'affecter d'autres personnes en causant des dommages matériels ou immatériels considérables. 

Vous devez évaluer à la fois l'impact interne sur vos opérations et les effets en aval sur les clients ou les tiers. Ce test à double volet signifie que les incidents affectant les clients, même avec un impact interne limité, peuvent toujours nécessiter une notification en raison des préjudices externes.

Puis-je utiliser une certification ISO 27001 existante pour satisfaire à NIS2 ?

La norme ISO 27001 constitue une base solide mais ne répond pas automatiquement à toutes les exigences de la NIS2. Les recommandations techniques de l’ENISA proposent une cartographie pratique entre les contrôles ISO 27001 et les 10 mesures obligatoires de la NIS2, indiquant les points de convergence des certifications et les éventuelles lacunes. 

Réalisez une analyse d’écart structurée en comparant votre mise en œuvre ISO 27001 à l’Article 21, en vous concentrant sur les délais de notification des incidents, la spécificité de la sécurité de la chaîne d’approvisionnement et les dispositions relatives à la responsabilité de la direction.

Que se passe-t-il si je manque le délai de notification précoce de 24 heures ?

Le non-respect des délais de notification constitue une violation des obligations de déclaration de l'article 23, vous exposant à des amendes administratives pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles. Les autorités nationales compétentes tiennent compte de la gravité de la violation, du caractère intentionnel ou négligent, du niveau de coopération et des infractions antérieures lors de la détermination des sanctions. 

Les autorités peuvent également émettre des injonctions de conformité contraignantes et imposer des audits de sécurité à vos frais.