La directive européenne NIS 2 est une réglementation qui vise à harmoniser et à élever le niveau de cybersécurité au sein de l’Union européenne. Conçue pour corriger les disparités de la première mouture de 2016, elle élargit son périmètre à de nouveaux secteurs stratégiques et répond à deux constats majeurs : le manque de cohérence globale entre les États membres et la nécessité de renforcer notre capacité collective de réaction face aux crises d’envergure.
L’objectif principal de NIS 2 est d’instaurer un socle de sécurité minimal et robuste pour l’ensemble des activités critiques de l’Union européenne. Pour y parvenir, la directive impose de nouvelles obligations majeures et structurelles aux organisations concernées.
Tour d’horizon de ces exigences incontournables.
Une nouvelle catégorisation des entreprises
La directive NIS 2 classe désormais les entreprises concernées sous deux statuts :
- Les entités importantes
- Les entités essentielles
Cette classification permet de définir des exigences de sécurité qui sont proportionnelles à la criticité de l’activité de l’entreprise.
La responsabilité personnelle des dirigeants
C’est une nouveauté très marquante de la directive. En cas d’incident cyber, la responsabilité n’incombe plus uniquement au responsable de la sécurité informatique (RSSI) ; elle est directement assignée :
- Aux chefs d’entreprise
- Aux mandataires sociaux
L’objectif est d’impliquer directement la direction dans les stratégies de cybersécurité, ce qui implique également une obligation de les former à ces enjeux.
La sécurisation de l’ensemble de la chaîne d’approvisionnement
L’obligation de protection déborde du cadre strict de l’entreprise pour englober son écosystème. Sont désormais impactés :
- Les fournisseurs de services numériques
- Les prestataires
- Les sous-traitants
La directive cherche ainsi à combler les vulnérabilités de la chaîne d’approvisionnement, souvent ciblée par les attaquants pour atteindre de plus grandes structures.
L’application de mesures techniques, d’audits et de gestion de crise
Les entreprises soumises à NIS 2 doivent adopter une approche basée sur la gestion des risques. Cela inclut la mise en place de mesures techniques de protection, la réalisation d’audits réguliers, la formation du personnel, ainsi que l’élaboration de réponses structurées (socle documentaire et gestion de crise) en cas d’attaque.
L’ANSSI travaille sur un référentiel d’une vingtaine d’objectifs de sécurité pour traduire ces obligations, qui incluent au minimum :
- L’analyse des risques : mise en place de politiques d’analyse des risques et de sécurité des systèmes d’information.
- La résilience opérationnelle : gestion des incidents et continuité des activités (sauvegardes, reprise d’activité et gestion des crises).
- La sécurité des tiers : sécurité de la chaîne d’approvisionnement via la gestion des risques liés aux relations avec les fournisseurs et prestataires de services directs.
- La sensibilisation : pratiques de base en matière de cyberhygiène et formation du personnel à la cybersécurité.
- Le contrôle des ressources : politiques de contrôle d’accès, de sécurité des ressources humaines et de gestion des actifs.
- Les accès et échanges sécurisés : utilisation de solutions d’authentification à plusieurs facteurs (MFA) et de communications sécurisées.
- La protection des données : utilisation de la cryptographie et du chiffrement le cas échéant.
- L’amélioration continue : procédures pour évaluer régulièrement l’efficacité de l’ensemble de ces mesures.
La coopération et la communication en cas d’incident
La directive oblige à une meilleure communication et coordination entre les différents pays européens. Elle s’appuie notamment sur l’organisation du réseau CyCLONe, qui relie les différentes agences nationales pour associer les réactions techniques et politiques et prendre des décisions rapides lors de crises majeures.
Les processus de notification imposent les règles suivantes :
- L’obligation de signalement : les entités doivent obligatoirement signaler à l’ANSSI leurs incidents de sécurité ayant un impact important.
- Le respect des délais : cette déclaration initiale doit être réalisée sans retard injustifié, et au plus tard dans les 24 heures après avoir eu connaissance de l’incident.
- Le suivi de l’incident : l’entité doit ensuite fournir des rapports concernant l’évolution de la situation.
- L’incompatibilité de la délégation : même si une entreprise se fait accompagner par un prestataire (comme un CSIRT régional) pour résoudre la crise, la notification officielle à l’autorité nationale reste une obligation incontournable.
| Qu’est -ce que le réseau CyCLONe ? C’est le réseau qui associe entre elles toutes les agences de cybersécurité de chaque État national, notamment : – L’ANSSI dans l’hexagone. – L’ensemble de ses homologues européens. |
La soumission à des contrôles et des sanctions
Pour faire appliquer ces règles, la directive accorde des pouvoirs de contrôle et de sanction considérablement renforcés aux autorités nationales. L’autorité dépasse désormais le simple cadre du conseil : elle peut réaliser des contrôles, émettre des ordres de mise en conformité, imposer des exigences de sécurité et aller jusqu’à sanctionner les entités qui ne respecteraient pas les règles.
En cas de manquement, des sanctions financières proportionnées pourront être imposées :
- Pour les entités essentielles (EE) : jusqu’à 2 % du chiffre d’affaires mondial.
- Pour les entités importantes (EI) : jusqu’à 1,4 % du chiffre d’affaires mondial.
| Une perspective à retenir S’aligner sur NIS 2 nécessite un travail conséquent qui peut demander des projets de mise en conformité allant de 12 à 24 mois. Cependant, ces obligations ne doivent pas être vues uniquement comme de lourdes contraintes réglementaires. En maîtrisant leurs risques et en renforçant leurs infrastructures, les entreprises ont l’opportunité de : – Améliorer la confiance de leurs clients et partenaires. – Valoriser cette conformité comme une forme de certification qualitative. – Bâtir un véritable avantage concurrentiel sur le long terme. |
|---|
L’obligation d’enregistrement NIS2
L’étape d’enregistrement est l’une des toutes premières démarches qu’une organisation doit accomplir pour se mettre en conformité avec la directive NIS 2. Voici les points essentiels à retenir :
- Une démarche obligatoire après auto-évaluation : c’est à l’entité elle-même de déterminer si elle entre dans la catégorie des entités essentielles (EE) ou importantes (EI). Une fois cette évaluation réalisée et confirmée, elle est tenue de s’enregistrer.
- L’ANSSI comme guichet en France : l’enregistrement doit obligatoirement se faire auprès de l’autorité nationale compétente. Pour la France, il s’agit de l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
- La plateforme MonEspaceNIS2 : pour centraliser et faciliter ces démarches, l’ANSSI met à disposition un portail numérique dédié appelé MonEspaceNIS2. Cet espace en ligne a une double utilité : il aide d’abord les futures entités régulées à vérifier si elles relèvent bien de la réglementation, puis il leur permet de réaliser leur enregistrement en ligne.
- Le maintien de l’obligation pour les cas particuliers : il existe certaines entités du secteur numérique (infrastructures numériques, gestion des services TIC, fournisseurs numériques) dont les services transfrontaliers sont encadrés par un règlement d’exécution spécifique de la Commission européenne. Même si ces structures ne sont pas soumises aux mesures de sécurité techniques ou aux règles de notification d’incidents classiques de NIS 2, elles doivent impérativement s’enregistrer auprès de leur autorité nationale.
Qui est concerné par la directive NIS 2 ?
La directive NIS 2 s’applique à plusieurs milliers d’entités, regroupant principalement des moyennes et grandes entreprises, des collectivités territoriales ainsi que des administrations publiques. Ces acteurs sont répartis à travers 18 secteurs d’activité. La directive classe ces secteurs en deux niveaux de criticité :
Les secteurs hautement critiques (11 secteurs) :
- Administrations publiques
- Eaux potables
- Eaux non potables
- Énergies
- Espace
- Gestion des services Technologies de l’information et de la Communication (TIC) en interentreprises
- Infrastructures des marchés financiers
- Infrastructures numériques
- Santé
- Secteur bancaire
- Transport
Les autres secteurs critiques (7 secteurs) :
- Fabrication, production et distribution de produits chimiques
- Fournisseurs numériques
- Gestion des déchets
- Industries manufacturières
- Production, transformation et distribution de denrées alimentaires
- Recherche
- Services postaux et d’expédition
Conclusion
La directive NIS 2 préconise un véritable changement d’approche pour faire face à la menace cyber de manière globale et proactive. Les projets de mise en conformité sont souvent complexes, coûteux, et peuvent s’étaler sur 12 à 24 mois.
Dans ce contexte, les recommandations opérationnelles sont les suivantes :
- Anticiper la démarche : commencer le plus tôt possible permet de structurer le projet et de débloquer les budgets nécessaires sans précipitation.
- S’appuyer sur des experts en cas de cyberattaque : il est recommandé de solliciter des prestataires spécialisés ou un CSIRT (équipe de réponse aux incidents) régional ou sectoriel pour aider à la résolution de la crise, même si la déclaration officielle à l’autorité nationale reste incontournable.
