Avec NIS2, la sécurité devient quelque chose qu'il faut prouver.

NIS2 est la deuxième directive sur la sécurité des réseaux et des systèmes d'information, la directive (UE) 2022/2555. Elle établit un socle commun de cybersécurité dans toute l'Union européenne et remplace la directive NIS de 2016 par un champ d'application élargi, des exigences plus strictes et une véritable responsabilité de la direction générale.

L'intention est simple : renforcer le niveau de cyber-résilience des organisations dont dépend la société. Là où les anciennes règles ne visaient qu'un ensemble restreint d'opérateurs, NIS2 englobe des secteurs entiers et impose à chaque organisation un standard documenté de gestion des risques, de notification des incidents et de sécurité de la chaîne d'approvisionnement.

NIS2 concerne généralement les organisations moyennes et grandes de secteurs désignés, avec des exceptions pour certains petits prestataires critiques. Un fournisseur peut aussi devoir répondre aux exigences d'un client soumis à NIS2. Les obligations exactes dépendent du droit national applicable à l'organisation.

La directive répartit les organisations entre entités essentielles (secteurs tels que l'énergie, les transports, la banque, la santé, l'eau, les infrastructures numériques et l'administration publique) et entités importantes (dont les services postaux, la gestion des déchets, la chimie, l'agroalimentaire, l'industrie manufacturière et les fournisseurs de services numériques). Les deux doivent satisfaire aux mêmes obligations de sécurité ; la différence tient surtout à la rigueur de leur surveillance.

NIS2 repose sur les mesures de gestion des risques de l'article 21, des obligations strictes de notification des incidents et la responsabilité de la direction définie à l'article 20. Concrètement, cela se résume à cinq choses que vous devez faire, et être en mesure de prouver.

• Mesures de gestion des risquesAdoptez des mesures techniques et organisationnelles sur l'ensemble de vos réseaux et systèmes d'information : contrôle des accès, MFA, chiffrement, application des correctifs, sauvegardes et continuité d'activité.
• Notification des incidentsNotifiez les incidents importants selon un calendrier strict : une alerte précoce sous 24 heures, une notification plus complète sous 72 heures et un rapport final sous un mois.
• Sécurité de la chaîne d'approvisionnementÉvaluez et maîtrisez le cyber-risque porté par vos fournisseurs et prestataires, car un attaquant qui arrive par un fournisseur reste un incident que vous devez notifier.
• Responsabilité de la directionLa direction générale doit approuver et superviser les mesures de gestion des risques et peut être tenue personnellement responsable. La cybersécurité devient une responsabilité du conseil d'administration, et non plus une simple tâche informatique.
• Conformité continueMaintenez vos preuves à jour. Les autorités de contrôle peuvent vous solliciter à tout moment : posture, politiques et registres d'incidents doivent être disponibles à la demande, et non assemblés après coup.

NIS2 est entrée en vigueur en janvier 2023. Les États membres devaient la transposer en droit national au plus tard le 17 octobre 2024. La mise en œuvre et l'application varient selon les pays : vérifiez la loi et l'autorité compétente dans le vôtre.

Les sanctions sont significatives. Les entités essentielles s'exposent à des amendes pouvant atteindre 10 millions d'euros ou 2 % de leur chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu ; les entités importantes jusqu'à 7 millions d'euros ou 1,4 %. Au-delà des amendes, les autorités de contrôle peuvent engager la responsabilité personnelle des dirigeants, ce qui explique pourquoi NIS2 est passée d'un sujet informatique à un sujet de conseil d'administration. Pour les organisations du secteur financier, NIS2 coexiste avec DORA et ses propres exigences de résilience opérationnelle.