NIS2

NIS2 est une directive européenne sur la cybersécurité, qui vient remplacer et élargir une première directive de 2016 (NIS1). Elle doit être transposée dans le droit de chaque pays de l’Union européenne, dont la France.

Son objectif est simple : réduire le nombre et l’impact des cyberattaques en imposant un socle minimal de sécurité aux organisations dont l’activité est jugée importante pour l’économie ou les services essentiels.

Ce qui change avec NIS2 par rapport à NIS1 :

• Beaucoup plus d’entreprises sont concernées : NIS2 élargit la liste des secteurs (énergie, santé, transport, numérique, industrie, gestion des déchets, administrations, et bien d’autres) et abaisse les seuils de taille, ce qui fait entrer de nombreuses PME et collectivités dans le champ de la directive, directement ou indirectement (en tant que sous-traitant d’une entité concernée, par exemple).
• Des obligations plus précises : gestion des risques, sécurisation de la chaîne d’approvisionnement, plan de gestion des incidents, formation des dirigeants, notification rapide des incidents.
• Des sanctions renforcées en cas de manquement grave, avec une responsabilité qui peut remonter jusqu’à la direction.

Même quand une entreprise n’est pas directement soumise à NIS2, elle peut être concernée indirectement : ses grands clients ou donneurs d’ordre, eux, soumis à la directive, exigent de plus en plus de leurs prestataires et fournisseurs un niveau de sécurité minimal (pare-feu à jour, sauvegardes, authentification renforcée, etc.).