NIS 2

En pratique pour une organisation

La directive s’applique aux entités publiques ou privées d’un type listé aux annexes I et II qui sont au moins des entreprises moyennes et qui fournissent leurs services dans l’Union ; certains services, comme les fournisseurs de DNS ou les prestataires de services de confiance, entrent dans le champ quelle que soit leur taille (article 2). Elle distingue les entités essentielles, qui comprennent les entités de l’annexe I dépassant les plafonds des moyennes entreprises, et les entités importantes, qui regroupent les autres entités concernées (article 3).

Les obligations tiennent en trois blocs. La gouvernance d’abord : les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre, peuvent être tenus responsables de leur violation et doivent suivre une formation (article 20). Les mesures ensuite, fondées sur une approche « tous risques » qui couvre au moins l’analyse des risques, la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, la cyberhygiène, la cryptographie et le contrôle d’accès (article 21). La notification enfin : une alerte précoce dans les 24 heures après avoir eu connaissance d’un incident important, une notification d’incident dans les 72 heures, puis un rapport final au plus tard un mois après cette notification (article 23).

Pour les violations de ces deux derniers articles, les États membres prévoient des amendes dont le plafond atteint au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle, et au moins 7 millions d’euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu (article 34). En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité : l’ANSSI indique sur sa page consacrée à NIS 2 que cette transposition est en cours, ce qui invite à suivre le dossier avant de fixer un calendrier de conformité.

Exemple

Exemple générique : une entreprise de transport classée entité essentielle découvre un lundi matin qu’un rançongiciel a interrompu son exploitation. Elle dispose de 24 heures pour adresser une alerte précoce à son CSIRT ou à son autorité compétente, en indiquant si elle soupçonne un acte malveillant, puis de 72 heures pour une notification qui livre une première évaluation de la gravité et de l’impact ainsi que les indicateurs de compromission disponibles. Un rapport final, avec la cause probable et les mesures prises, suit au plus tard un mois après cette notification.

À ne pas confondre avec

• DORA : ce règlement vise le secteur financier ; pour les entités financières qui relèvent aussi de NIS 2, il est considéré comme un acte juridique sectoriel au sens de l’article 4 de la directive.
• Le RGPD : il protège les données personnelles et prévoit sa propre notification à l’autorité de contrôle dans les 72 heures, alors que NIS 2 vise la sécurité des réseaux et des systèmes d’information ; un même incident peut relever des deux textes.
• La directive NIS 1 : la directive (UE) 2016/1148, que NIS 2 abroge.