Qu'est-ce que NIS2 ?
NIS2 (Network and Information Security 2) est la directive européenne qui remplace la directive NIS d'origine adoptée en 2016. Elle relève le niveau d'exigence cyber dans toute l'Union européenne et devait être transposée en droit national par les États membres au plus tard en octobre 2024.
Là où la première directive NIS visait un nombre restreint d'opérateurs, NIS2 élargit considérablement le champ d'application, uniformise les obligations entre pays et introduit un régime de sanctions plus dissuasif.
Pourquoi c'est important pour votre organisation
NIS2 classe les organisations en entités « essentielles » ou « importantes », avec des obligations et des sanctions différenciées. Les manquements peuvent entraîner des amendes allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles.
Point souvent sous-estimé : la directive engage personnellement la responsabilité des organes de direction, qui doivent approuver les mesures de gestion des risques et suivre une formation. La cybersécurité devient explicitement un sujet de conseil d'administration.
Les obligations clés
- Gestion des risques : mettre en place des mesures techniques et organisationnelles proportionnées, incluant la sécurité de la chaîne d'approvisionnement.
- Notification des incidents : respecter les délais de 24 heures, 72 heures et un mois.
- Continuité d'activité : sauvegardes, gestion de crise et plans de reprise.
- Sécurité de la chaîne d'approvisionnement : évaluer et encadrer le risque lié aux fournisseurs et prestataires directs.
- Gouvernance et responsabilité : implication documentée de la direction et formation des dirigeants.
- Enregistrement : s'identifier auprès de l'autorité nationale compétente.
Où les organisations pèchent le plus souvent
Beaucoup pensent encore que NIS2 ne concerne que les grands opérateurs d'énergie ou de télécommunications. En pratique, le périmètre devient réel dès qu'un client envoie un questionnaire de sécurité ou qu'un contrat ajoute une clause de notification. Les écarts fréquents portent sur la sécurité de la chaîne d'approvisionnement, la capacité à respecter le délai de 24 heures et l'absence de preuve d'implication du conseil.