4 Qu’est-ce que NIS2 ? Synthèse pour les dirigeants NIS2 est la directive européenne actualisée sur la cybersécurité. Elle établit un socle juridique commun en matière de sécurité et de résilience dans les États membres de l’UE. La directive remplace le cadre NIS d’origine et reflète à quel point les systèmes numériques, les données et les réseaux soutiennent désormais l’économie et les services publics. Contrairement aux normes volontaires, NIS2 crée des obligations juridiques contraignantes. Les organisations qui fournissent des services essentiels ou largement utilisés doivent en respecter les exigences au travers des lois nationales de chaque État membre. Dans les grandes lignes, la directive porte sur la gouvernance, la gestion et la déclaration du risque cyber dans un environnement numérique de plus en plus interconnecté. Point de calendrier clé : les États membres de l’UE devaient transposer NIS2 dans leur droit national au plus tard le 17 octobre 2024. En pratique, de nombreuses organisations sont déjà soumises à des exigences nationales alignées sur NIS2, ou le seront à mesure que leur application se renforce dans leur juridiction. Pourquoi l’UE a adopté une directive actualisée sur la cybersécurité Le cadre NIS d’origine constituait un point de départ, mais ses lacunes sont apparues avec le temps. Les cybermenaces ont gagné en ampleur et en impact. Les ransomwares ont perturbé des hôpitaux, des systèmes de transport et des services publics. Les attaques sur la chaîne d’approvisionnement ont montré qu’une seule faiblesse pouvait se propager à de nombreuses organisations et à plusieurs pays. L’application variait aussi fortement d’un État membre à l’autre. Ces incohérences créaient une insécurité juridique et des niveaux de protection inégaux. La directive actualisée répond à ces problèmes en élargissant son champ d’application, en clarifiant les attentes et en renforçant la supervision. L’accent passe de la protection d’un nombre limité d’opérateurs à la gestion du risque cyber systémique dans des environnements connectés. Qui est concerné par NIS2 ? NIS2 élargit considérablement l’éventail des organisations concernées. Elle classe les entités comme essentielles ou importantes en fonction de leur secteur et de leur taille, et s’applique généralement aux moyennes et grandes organisations. Les entités essentielles comprennent des secteurs comme l’énergie, les transports, la santé, la banque et les infrastructures des marchés financiers, l’administration publique et les infrastructures numériques. Les entités importantes comprennent l’industrie manufacturière, la production alimentaire, la gestion des déchets et de nombreux fournisseurs de services numériques et gérés. Certaines organisations plus petites peuvent aussi entrer dans le champ d’application si elles fournissent des services critiques pour la société ou l’économie. NIS2 étant mise en œuvre par le droit national, les organisations doivent évaluer son applicabilité à la fois au regard des orientations européennes et des règles de leur État membre. Obligations et attentes essentielles La directive définit des attentes de base en matière de gestion du risque cyber et de résilience opérationnelle. Les organisations doivent traiter : l’évaluation et l’atténuation des risques la gestion et la déclaration des incidents la continuité d’activité et la gestion de crise la sécurité de la chaîne d’approvisionnement L’accent est mis sur les résultats plutôt que sur des technologies imposées. Les organisations choisissent comment satisfaire aux exigences, mais la gouvernance joue un rôle central. Les organes de direction approuvent les mesures de cybersécurité et en supervisent la mise en œuvre. La cybersécurité est traitée comme un risque métier, et pas seulement comme une question technique. NIS2 introduit aussi des obligations claires de déclaration des incidents. Les organisations doivent notifier les autorités des incidents importants dans des délais définis et fournir des mises à jour à mesure que les investigations avancent. Les sanctions créent une exposition financière réelle. Pour certaines infractions, les autorités nationales peuvent imposer des amendes administratives pouvant atteindre : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total (le montant le plus élevé étant retenu) pour les entités essentielles 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial total (le montant le plus élevé étant retenu) pour les entités importantes Gouvernance et responsabilité NIS2 attribue une responsabilité explicite à la direction. Les dirigeants doivent comprendre le risque cyber, approuver les mesures de sécurité et veiller à leur bonne exécution. Les dirigeants ne gèrent pas les contrôles techniques, mais ils sont responsables des résultats. Cette approche intègre la cybersécurité à la gestion des risques de l’entreprise et à la supervision par le conseil d’administration. Pour les entités essentielles, les autorités de supervision disposent aussi de moyens d’application renforcés. Selon la transposition nationale, cela peut inclure des mesures visant les personnes exerçant des responsabilités de direction si une organisation ne se conforme pas aux mesures d’exécution. NIS2 et ISO 27001 : quelles différences ? NIS2 et ISO 27001 répondent à des objectifs différents. ISO 27001 est une norme internationale volontaire pour les systèmes de management de la sécurité de l’information. Les organisations l’adoptent pour démontrer une approche structurée et auditable de la sécurité. NIS2 est une obligation légale. Elle définit des attentes minimales obligatoires en matière de gouvernance, de gestion des risques, de déclaration des incidents et de résilience. Une certification ISO 27001 peut faciliter la mise en œuvre, mais elle ne garantit pas la conformité. Les normes aident les organisations à structurer leurs programmes, tandis que la directive définit l’obligation. NIS2 et la réglementation américaine en matière de cybersécurité Les États-Unis n’ont pas d’équivalent unique à NIS2. La réglementation américaine en matière de cybersécurité suit un modèle fragmenté et sectoriel. Des règles différentes s’appliquent aux services financiers, à la santé, aux infrastructures critiques et aux systèmes publics, aux niveaux fédéral et des États. De nombreuses organisations américaines s’appuient sur des cadres volontaires comme le NIST Cybersecurity Framework. Ces cadres soutiennent la gestion des risques mais n’ont généralement pas force de loi. À l’inverse, NIS2 applique un cadre juridique centralisé et intersectoriel dans toute l’UE. S’appuyer sur des référentiels pour soutenir la conformité NIS2 n’impose pas de référentiel de cybersécurité particulier. Elle définit des résultats attendus. De nombreuses organisations utilisent des référentiels comme ISO 27001 ou le NIST CSF pour organiser leurs contrôles, évaluer leurs écarts et prendre des décisions fondées sur les risques. Les référentiels soutiennent les efforts de conformité, mais ne remplacent pas les obligations légales. Pourquoi NIS2 compte au-delà de la conformité NIS2 n’est pas qu’un exercice de conformité. Elle met l’accent sur la résilience, la reprise et la continuité. La directive part du principe que des incidents se produiront et exige des organisations qu’elles se préparent aux perturbations et rétablissent efficacement leurs services. De nombreuses organisations utilisent NIS2 comme catalyseur pour faire mûrir leurs pratiques de cybersécurité. En alignant leurs investissements de sécurité sur le risque opérationnel et la continuité d’activité, elles en tirent une valeur qui va au-delà du simple respect de la réglementation. Un socle commun pour gérer le risque cyber dans l’UE NIS2 établit un socle minimal de cybersécurité pour un large éventail de secteurs, mais ce n’est pas une stratégie de sécurité complète. Elle définit ce que les organisations doivent atteindre, et non exactement comment elles doivent y parvenir. Pour les équipes conformité, risques et direction, la directive apporte de la clarté. Elle aligne la cybersécurité sur la gouvernance, la responsabilité et la résilience opérationnelle, et fixe des attentes cohérentes dans toute l’UE. Les organisations qui abordent NIS2 comme une fondation plutôt que comme une liste de contrôle sont mieux placées pour s’adapter à l’évolution des menaces, à la vigilance des régulateurs et aux changements de leur activité. NIS2 établit un socle réglementaire minimal pour un large éventail de secteurs. Elle ne prescrit pas une stratégie de cybersécurité complète, mais définit clairement les attentes en matière de gouvernance, de responsabilité et de gestion des risques. Il revient aux organisations de déterminer comment remplir ces obligations dans leur propre contexte opérationnel et réglementaire.
