Qu'est-ce que le NIS2 et quel est son impact sur votre organisation ?

La directive NIS2 est la législation européenne qui redéfinit les exigences en matière de cybersécurité pour plus de 160 000 organisations. Elle impose des mesures de gestion des risques renforcées, des obligations de signalement d’incidents et des sanctions plus strictes en cas de non-conformité.

Cet article couvre tout ce que vous devez savoir sur cette législation et ses implications pour votre entreprise :

1. Qu’est-ce que le NIS2 ?
2. Quelles sont les nouveautés ?
3. Quels sont les secteurs et les entreprises concernés ?
4. Quelles sont les exigences de conformité ?
5. Quelles sont les sanctions en place ?
6. Comment préparer votre organisation à NIS2 ?

1. Qu’est-ce que la directive NIS2 ?

La directive NIS2 (directive 2022/0383 relative à la sécurité des réseaux et de l’information) est la pierre angulaire de la législation européenne en matière de cybersécurité. Elle vise à renforcer la sécurité des réseaux et des systèmes d’information en Europe en imposant aux opérateurs d’infrastructures critiques et aux fournisseurs de services essentiels de mettre en oeuvre des mesures de sécurité et de signaler les incidents.

Mise à jour de la directive NIS1 de 2016, elle est entrée en vigueur en janvier 2023. Les Etats membres avaient jusqu’au 17 octobre 2024 pour la transposer dans leur législation nationale.

2. Quelles sont les nouveautés ?

Par rapport à la NIS1, la directive NIS2 apporte trois changements majeurs :

• Champ d’application élargi : beaucoup plus de secteurs et d’organisations sont concernés
• Mesures de sécurité renforcées : obligations plus strictes en matière de gestion des risques et de signalement des incidents
• Sanctions plus sévères : conséquences plus lourdes en cas de non-conformité

3. Quels sont les secteurs et les entreprises concernés ?

Le NIS2 s’applique à 18 secteurs, divisés en deux catégories.

Les 18 secteurs couverts par le NIS2

Secteurs hautement critiques

• L’énergie
• Les transports
• Le secteur bancaire
• Les infrastructures des marchés financiers
• La santé
• L’eau potable
• Les eaux usées
• L’infrastructure numérique
• La gestion des services TIC
• L’administration publique
• L’espace

Autres secteurs critiques

• Les services postaux et d’expédition
• La gestion des déchets
• La fabrication, production et distribution de produits chimiques
• La production, transformation et distribution des denrées alimentaires
• La fabrication (dispositifs médicaux, produits informatiques, équipements électriques, machines, véhicules automobiles, autres matériels de transport)
• Les fournisseurs numériques
• La recherche

Les 2 catégories d’entités dans le NIS2

Entités essentielles

• Organisations des secteurs “hautement critiques” avec plus de 250 employés ou un chiffre d’affaires supérieur à 50 millions d’euros
• Prestataires de services de confiance, registres de noms de domaine et prestataires DNS, quelle que soit leur taille
• Fournisseurs de réseaux ou de services de communications électroniques publics (50-250 employés ou chiffre d’affaires supérieur à 10 millions d’euros)
• Services gouvernementaux (niveau central)
• Toute organisation importante qui est le seul fournisseur du service dans le pays

Entités importantes

• Organisations des “autres secteurs critiques” avec plus de 50 employés ou un chiffre d’affaires annuel de plus de 10 millions d’euros
• Organisations des secteurs “hautement critiques” avec 50-250 employés ou un chiffre d’affaires de 10 à 50 millions d’euros

Les petites entreprises (moins de 50 employés et chiffre d’affaires inférieur à 10 millions d’euros) ne sont pas automatiquement exclues si leurs services jouent un rôle clé dans la société.

Les entités essentielles font l’objet d’un contrôle proactif de conformité, tandis que les entités importantes ne font l’objet d’une enquête qu’à la suite d’une plainte.

Organisations hors UE : ce qui change pour vous

Si votre organisation n’est pas basée dans l’UE mais fournit des services au sein de l’UE et entre dans l’une des catégories susmentionnées, vous êtes tenu de vous conformer au NIS2. Vous devez désigner un représentant dans un Etat membre de l’UE où vos services sont fournis.

Organisations hors du champ d’application : pourquoi vous êtes tout de même concerné

Si vous fournissez des services ou des produits à une entité qui entre dans le champ d’application du NIS2, ce client peut exiger que vous atteigniez un certain niveau de cybersécurité. Aligner vos mesures de sécurité sur la directive NIS2 facilite la collaboration avec d’autres entreprises et renforce la confiance de vos clients.

4. Quelles sont les exigences de conformité ?

1. Enregistrement

D’ici le 17 avril 2025, les Etats membres doivent identifier toutes les entités essentielles et importantes. L’enregistrement comprend au minimum :

• Nom, adresse et numéro d’enregistrement
• Secteur d’activité
• Coordonnées de l’organisation
• Etats membres dans lesquels l’organisation opère
• Adresses IP attribuées

2. Les quatre domaines d’obligations

3. Les 10 mesures de sécurité minimales

1. Analyse des risques et sécurité des systèmes d’information
2. Evaluation des mesures de sécurité
3. Politiques et procédures pour la cryptographie et le chiffrement
4. Plan de traitement des incidents de sécurité
5. Sécurité dans l’acquisition, le développement et la maintenance des réseaux
6. Formation à la cybersécurité et pratiques de cyberhygiène
7. Politiques d’accès pour les employés ayant accès à des données sensibles
8. Plan de continuité des activités pendant et après un incident
9. Authentification multifactorielle et cryptage des communications
10. Sécurité des chaînes d’approvisionnement et des relations fournisseurs

4. Nouvelles exigences en matière de rapports d’incidents

5. Quelles sont les sanctions en place ?

Sanctions financières et non monétaires

Les Etats membres peuvent prévoir que les amendes ne s’appliquent pas aux organismes publics. Toutefois, les autres sanctions s’appliquent.

Mesures de surveillance

6. Comment préparer votre organisation à NIS2 ?

Si vous entrez dans le champ d’application, voici les étapes à suivre :

1. Procéder à une évaluation des risques. Identifiez les risques potentiels, leur probabilité, leur impact et les mesures déjà en place.

2. Mettre à jour vos politiques de sécurité. Couvrez les 10 exigences de base du NIS2 en élaborant ou en actualisant vos politiques.

3. Mettre en oeuvre des mesures de sécurité. Renforcez la sécurité réseau, les contrôles d’accès, le cryptage et la chaîne d’approvisionnement. Un système numérique de gestion des visiteurs vous aide à contrôler l’accès, stocker les données des visiteurs en toute sécurité et simplifier les rapports d’incidents.

4. Elaborer des procédures pour détecter, surveiller, résoudre et signaler les incidents.

5. Former la direction et le personnel. Sensibilisez les collaborateurs exerçant des fonctions critiques aux risques et aux mesures de sécurité.

6. Préparer les audits et inspections. Conservez des dossiers complets sur vos politiques de sécurité, évaluations des risques et activités de mise en conformité.

Conclusion

La directive NIS2 représente une étape importante dans le renforcement des normes de cybersécurité en Europe. Se conformer au NIS2 n’est pas seulement une obligation légale, mais aussi une opportunité de renforcer votre cybersécurité et d’instaurer la confiance avec vos clients et partenaires.

Un système de gestion numérique des visiteurs joue un rôle clé dans cette conformité : il améliore le contrôle d’accès, protège les données personnelles des visiteurs, tient des registres précis et facilite la gestion des incidents.

Découvrez l’impact de Vizito sur la sécurité de votre organisation. Commencez par un essai gratuit de 14 jours et constatez par vous-même comment il renforce votre conformité.