NIS2 : qui est concerné et par où commencer ?
La directive européenne NIS2 étend fortement le nombre d'organisations soumises à des obligations de cybersécurité. Voici les repères pour savoir si vous êtes concerné et comment vous préparer, sans vous substituer à l'analyse d'un professionnel.
Équipe éditoriale Kayzen Security4 min de lecture
Ce que prévoit la directive
Adoptée le 14 décembre 2022, la directive NIS2 remplace la directive NIS de 2016. Elle impose aux entités concernées de prendre des mesures de gestion des risques de cybersécurité (article 21), de signaler les incidents importants (article 23) et engage la responsabilité des organes de direction, qui doivent approuver ces mesures et se former (article 20).
En France, la transposition passe par une loi et des textes d'application. Leur état d'avancement et les dates d'entrée en vigueur doivent être vérifiés sur le site de l'ANSSI au moment où vous lisez ce guide.
Suis-je concerné ? Les trois critères
- Le secteur : la directive liste 11 secteurs « hautement critiques » (annexe I : énergie, transports, banque, santé, eau, infrastructures numériques, administration publique, espace…) et 7 « autres secteurs critiques » (annexe II : services postaux, gestion des déchets, chimie, alimentation, fabrication de certains produits, fournisseurs numériques, recherche). Pour le secteur financier, le règlement DORA (UE) 2022/2554 s'applique en priorité pour la gestion des risques et la notification des incidents.
- La taille : en règle générale, les entreprises moyennes (au moins 50 salariés, ou un chiffre d'affaires et un total de bilan dépassant 10 millions d'euros) et grandes de ces secteurs ; les effectifs et montants des entreprises liées ou partenaires peuvent devoir être additionnés.
- Les exceptions de taille : certaines entités sont visées quelle que soit leur taille, notamment les fournisseurs de réseaux ou de services de communications électroniques publics, les prestataires de services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS, ainsi que, selon la désignation nationale, une entité seule à fournir un service essentiel dans le pays.
- Les collectivités et administrations peuvent être visées selon la transposition nationale.
Entités essentielles et entités importantes
Les deux catégories doivent appliquer les mêmes types de mesures, mais la supervision diffère : contrôles possibles a priori pour les entités essentielles, a posteriori pour les entités importantes. La directive fixe aussi des plafonds de sanctions administratives plus élevés pour les entités essentielles. Les montants applicables en France dépendent de la loi de transposition.
Les mesures de l'article 21, en résumé
- Analyse des risques et politiques de sécurité.
- Gestion des incidents.
- Continuité d'activité, sauvegardes et gestion de crise.
- Sécurité de la chaîne d'approvisionnement.
- Sécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris la gestion des vulnérabilités.
- Évaluation de l'efficacité des mesures.
- Cyberhygiène de base et formation.
- Cryptographie et chiffrement.
- Sécurité des ressources humaines, contrôle d'accès et gestion des actifs.
- Authentification multifacteur et communications sécurisées.
Signaler les incidents importants
La directive prévoit une alerte précoce dans les 24 heures après la prise de connaissance d'un incident important, une notification d'incident dans les 72 heures, puis un rapport final au plus tard un mois après cette notification. Ces signalements sont adressés au CSIRT ou à l'autorité compétente. Cela suppose de savoir détecter un incident, de le qualifier et de connaître le bon interlocuteur à l'avance.
Par où commencer
- Vérifier votre situation à l'aide du service en ligne de l'ANSSI et faire confirmer l'analyse par un professionnel.
- Faire l'inventaire de vos systèmes, de vos données et de vos prestataires.
- Mettre en place les mesures d'hygiène de base : mises à jour, double authentification, sauvegardes hors ligne, comptes administrateurs maîtrisés.
- Écrire une procédure de gestion et de signalement des incidents.
- Impliquer la direction, qui doit approuver les mesures et se former.
Ce guide résume la directive (UE) 2022/2555 à titre d'information. Il ne constitue pas un avis juridique : votre assujettissement et vos obligations sont à valider par un professionnel, sur la base du texte de transposition en vigueur et des informations de l'ANSSI. Un outil comme Kayzen peut contribuer aux mesures de l'article 21, il ne rend pas une organisation conforme.
Sources officielles
- ANSSI (nouvel onglet) — Espace NIS 2 : test d'éligibilité et informations sur la transposition
- EUR-Lex (nouvel onglet) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
- ANSSI (nouvel onglet) — Agence nationale de la sécurité des systèmes d'information — guides et publications
Les ressources citées sont publiées par leurs auteurs, dans leur langue d'origine. Kayzen n'est affilié à aucun de ces organismes.
Ce guide est informatif et général. Il ne remplace ni un conseil juridique ni l'intervention d'un professionnel de la sécurité informatique.