La cybersécurité est devenue un enjeu majeur pour les entreprises et les institutions européennes. Avec la multiplication des cyberattaques, des rançongiciels et des violations de données, l’Union européenne a renforcé son cadre réglementaire à travers la directive NIS2.
Mais concrètement, avec NIS2, qui est concerné ? La directive vise un nombre beaucoup plus important d’organisations que la première version de NIS. Elle s’applique aux entités publiques et privées actives dans des secteurs considérés comme essentiels ou importants pour le fonctionnement de la société et de l’économie.
Les entreprises concernées doivent désormais prendre des mesures adaptées pour mieux protéger leurs réseaux, leurs systèmes d’information, leurs données et la continuité de leurs activités.
La directive NIS2, c’est quoi ?
La directive NIS2, pour « Network and Information Systems Directive 2 », est une législation européenne destinée à renforcer le niveau global de cybersécurité dans l’Union européenne. Elle remplace et élargit la première directive NIS adoptée en 2016.
Son objectif est de réduire les différences de niveau de cybersécurité entre les États membres et de mieux protéger les organisations qui fournissent des services indispensables. Elle impose notamment des obligations en matière de gestion des risques, de continuité des activités, de sécurité de la chaîne d’approvisionnement et de notification des incidents.
NIS2 ne concerne donc pas uniquement les grandes infrastructures critiques. Son périmètre comprend des milliers d’organisations et environ 600 types d’entités appartenant à 18 secteurs différents, selon les informations publiées par l’ANSSI sur MonEspaceNIS2.
Les secteurs impactés :
Les secteurs, particulièrement concernés par la directive NIS2, en raison de leur rôle stratégique pour le bon fonctionnement de la société et de l'économie sont les suivants :
- Énergie (production, distribution, stockage)
- Transport (aérien, ferroviaire, maritime, routier)
- Santé (hôpitaux, services de santé, pharmacies)
- Eau (gestion de l’eau potable et des eaux usées)
- Finances (banques, assurances, bourses)
- Infrastructures numériques (fournisseurs de cloud, de services en ligne)
- Industrie (production, transport de biens essentiels)
Dans le cas général, NIS2 s’applique aux entreprises moyennes et grandes appartenant aux secteurs repris dans les annexes I et II de la directive. Une entreprise moyenne emploie au moins 50 personnes et présente un chiffre d’affaires annuel ou un total de bilan supérieur à 10 millions d’euros. Les grandes entreprises emploient au moins 250 personnes ou dépassent certains seuils financiers.
Le calcul peut toutefois devenir plus complexe lorsqu’une entreprise appartient à un groupe ou possède des entreprises partenaires ou liées. Il faut alors tenir compte des règles européennes relatives au calcul des effectifs et des données financières.
Certaines organisations peuvent également être concernées quelle que soit leur taille. C’est notamment le cas de certains fournisseurs de services numériques ou d’entités désignées en raison de leur caractère particulièrement critique. L’ANSSI présente les principaux seuils et cas particuliers dans sa FAQ consacrée au périmètre NIS2.
Entités essentielles et importantes : quelle différence ?
NIS2 distingue deux catégories d’organisations : les entités essentielles et les entités importantes. Cette classification dépend principalement du secteur, de la taille et du niveau de criticité de l’entité.
Les entités essentielles regroupent généralement les grandes organisations actives dans les secteurs hautement critiques. Elles font l’objet d’un régime de supervision plus exigeant, qui peut inclure des contrôles réguliers ou des audits.
Les entités importantes sont principalement les organisations qui ne répondent pas aux critères des entités essentielles, mais qui restent soumises aux obligations de la directive. Leur contrôle intervient davantage après la découverte d’un manquement ou d’un incident.
Cette distinction concerne surtout les modalités de supervision et les sanctions. Les deux catégories doivent mettre en place des mesures de gestion des risques de cybersécurité et notifier les incidents significatifs.
Les impacts de cette directive sur votre secteur :
1. Renforcement des mesures de sécurité :
Toutes les organisations opérant dans les secteurs critiques devront améliorer la sécurité de leurs systèmes d'information. Cela inclut des actions concrètes pour prévenir les cyberattaques, telles que des mises à jour régulières de logiciels, la protection contre les ransomwares, et la mise en place de systèmes de surveillance avancés.
2. Désignation d'un responsable de la cybersécurité :
NIS2 renforce la responsabilité des organes de direction. Ceux-ci doivent approuver les mesures de gestion des risques, superviser leur application et suivre une formation adaptée.
La cybersécurité ne peut donc plus être considérée comme une responsabilité exclusivement technique. Elle doit être intégrée à la gouvernance générale, à la gestion des risques et aux décisions stratégiques de l’organisation.
La désignation d’un responsable de la cybersécurité, comme un RSSI, peut faciliter cette gouvernance. Il faut cependant préciser que la directive impose surtout une responsabilité et une implication effectives de la direction, plutôt qu’un intitulé de poste identique dans chaque entreprise.
3. Gestion des risques et mise en conformité :
La directive oblige les entreprises à effectuer des évaluations de risques régulières, afin de garantir que les mesures de cybersécurité sont adaptées aux menaces actuelles. Les organisations devront également documenter et justifier les choix techniques en matière de sécurité.
4. Notification des incidents :
En cas d’incident majeur, comme une cyberattaque ou une violation de données, l’organisation doit transmettre une alerte précoce à l’autorité compétente dans les 24 heures suivant la prise de connaissance de l’incident.
Cette première alerte est suivie d’une notification plus détaillée dans les 72 heures. Un rapport final doit ensuite être remis, en principe dans un délai d’un mois. Il est donc plus précis de parler d’un processus de notification en plusieurs étapes que d’une simple déclaration complète sous 24 heures.
5. Plan de réponse aux incidents :
Les organisations doivent élaborer un plan de réponse aux incidents détaillant les procédures à suivre en cas de cyberattaque, incluant des plans de communication interne et externe, et des mesures pour récupérer les systèmes affectés.
Comment vérifier si votre entreprise est concernée par NIS2 ?
Pour déterminer avec NIS2 qui est concerné, il est conseillé de suivre plusieurs étapes :
- Identifier précisément les activités exercées par l’entité juridique.
- Vérifier si elles correspondent à un secteur ou à un type d’entité repris dans les annexes I ou II.
- Calculer les effectifs et les seuils financiers applicables.
- Tenir compte des éventuelles entreprises partenaires ou liées.
- Vérifier l’existence d’une exception ou d’une désignation fondée sur la criticité.
- Déterminer si l’organisation est une entité essentielle ou importante.
L’ANSSI met à disposition un simulateur permettant de vérifier si une entité est susceptible d’être concernée. Son résultat reste indicatif : une analyse juridique et organisationnelle complémentaire peut être nécessaire pour les structures complexes.
Que faire pour se conformer à NIS2 ?
1. Effectuer un audit de cybersécurité
Pour identifier les vulnérabilités et améliorer la protection de vos infrastructures, il est essentiel de réaliser un audit de cybersécurité complet. Cela permet de déterminer les actions prioritaires pour la conformité avec NIS2.
2. Former le personnel à la cybersécurité
La sensibilisation et la formation des équipes à la cybersécurité sont primordiales. Assurez-vous que vos collaborateurs connaissent les risques et les bonnes pratiques pour éviter les incidents.
3. Mettre en place des solutions de sécurité avancées
Investissez dans des outils et des technologies de sécurité robustes, notamment des systèmes de détection des intrusions, des solutions de cryptage, et des plateformes de gestion des incidents.
4. Revoir et mettre à jour les protocoles de réponses aux incidents
Assurez-vous que vos protocoles de réponses aux incidents sont à jour et qu'ils incluent des mesures spécifiques pour répondre rapidement et efficacement à toute menace.
5. Collaborer avec des experts
Envisagez de faire appel à ALL4IT, pour vous accompagner dans cette démarche de mise en conformité. Notre expertise pourra vous aider à mettre en œuvre les meilleures pratiques et garantir que vous respectez pleinement les exigences de NIS2.
Comment All4IT peut vous aider ?
ALL4IT accompagne les organisations dans l’évaluation et l’amélioration de leur niveau de cybersécurité. Nos équipes peuvent vous aider à examiner vos infrastructures, à identifier les vulnérabilités et à définir une feuille de route adaptée à vos risques et à vos obligations.
Cet accompagnement peut notamment porter sur l’audit de cybersécurité, la protection des infrastructures, la supervision des systèmes, la sauvegarde des données, la continuité d’activité et la préparation aux incidents.
Même lorsqu’une organisation n’est pas directement soumise à NIS2, l’application de ses principes constitue une démarche pertinente pour renforcer sa résilience numérique et rassurer ses clients, ses partenaires et ses collaborateurs.
Contactez-nous pour en discuter!