Directive NIS2
Directive sur la sécurité des réseaux et des systèmes d'information
Vue d'ensemble
La NIS2 remplace et étend considérablement la directive NIS originale, établissant un niveau commun élevé de cybersécurité à travers l'UE. Elle s'applique à un éventail beaucoup plus large de secteurs et d'entités, introduit des mesures de supervision plus strictes et harmonise les sanctions entre les États membres.[1]
En tant que directive, la NIS2 devait être transposée en droit national avant le 17 octobre 2024. La mise en œuvre varie selon les États membres.
Champ d'application : Entités essentielles vs importantes
Entités essentielles (surveillance renforcée)[2]
| Secteur | Exemples |
|---|---|
| Énergie | Électricité, pétrole, gaz, hydrogène, chauffage urbain |
| Transport | Air, rail, eau, route |
| Banque | Institutions de crédit |
| Marchés financiers | Places de marché, contreparties centrales |
| Santé | Fournisseurs de soins, laboratoires, pharma, dispositifs médicaux |
| Eau potable | Fournisseurs d'eau |
| Eaux usées | Traitement des eaux usées |
| Infrastructure numérique | IXP, DNS, registres TLD, cloud, centres de données, CDN, TSP |
| Gestion des services TIC | Fournisseurs de services gérés, fournisseurs de services de sécurité gérés |
| Administration publique | Entités gouvernementales centrales |
| Espace | Opérateurs d'infrastructures terrestres |
Entités importantes (surveillance allégée)
| Secteur | Exemples |
|---|---|
| Services postaux | Services postaux et de messagerie |
| Gestion des déchets | Collecte et traitement des déchets |
| Produits chimiques | Fabrication et distribution |
| Alimentation | Production et distribution |
| Fabrication | Dispositifs médicaux, électronique, machines, véhicules |
| Fournisseurs numériques | Places de marché en ligne, moteurs de recherche, réseaux sociaux |
| Recherche | Organismes de recherche |
Seuils de taille
La NIS2 s'applique généralement aux entités de taille moyenne et grande :
- Moyenne : 50+ employés OU chiffre d'affaires/bilan ≥ 10 M€
- Grande : 250+ employés OU chiffre d'affaires ≥ 50 M€ OU bilan ≥ 43 M€
Certaines entités s'appliquent indépendamment de la taille (DNS, registres TLD, fournisseurs cloud, centres de données, etc.).
Exigences clés
Mesures de gestion des risques (Article 21)[3]
Les entités doivent mettre en œuvre des mesures techniques, opérationnelles et organisationnelles appropriées :
- Politiques : Analyse des risques et politiques de sécurité des systèmes d'information
- Gestion des incidents : Procédures de détection, réponse et récupération
- Continuité d'activité : Sauvegarde, reprise après sinistre, gestion de crise
- Sécurité de la chaîne d'approvisionnement : Exigences de sécurité pour les fournisseurs
- Sécurité réseau : Sécurité lors de l'acquisition, du développement et de la maintenance
- Évaluation de l'efficacité : Politiques pour évaluer l'efficacité des mesures de sécurité
- Hygiène cyber de base : Programmes de formation et de sensibilisation
- Cryptographie : Politiques sur les contrôles cryptographiques et le chiffrement
- Ressources humaines : Sécurité du personnel et contrôles d'accès
- Authentification multifactorielle : MFA et systèmes de communication sécurisés
Notification des incidents (Article 23)[4]
| Délai | Exigence |
|---|---|
| 24 heures | Alerte précoce au CSIRT/autorité compétente |
| 72 heures | Notification de l'incident avec évaluation initiale |
| 1 mois | Rapport final avec cause racine et mesures d'atténuation |
Les incidents significatifs doivent être signalés s'ils causent ou peuvent causer une perturbation opérationnelle grave ou une perte financière, ou affecter d'autres personnes physiques ou morales.
Responsabilité de la direction
Les organes de direction doivent :
- Approuver les mesures de gestion des risques en cybersécurité
- Superviser la mise en œuvre des mesures de sécurité
- Être personnellement responsables en cas de non-conformité
- Suivre une formation en cybersécurité
Sanctions
- Entités essentielles : Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial
- Entités importantes : Jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial[5]
Les États membres peuvent imposer des sanctions supplémentaires, y compris des interdictions temporaires de gestion.
Obligations des développeurs et fournisseurs de services TIC
Si vous fournissez des services ou produits TIC :
- Fournisseurs de services gérés : Directement concernés en tant qu'entités essentielles
- Fournisseurs cloud : Directement concernés en tant qu'entités essentielles
- Développeurs de logiciels : Obligations dans la chaîne d'approvisionnement des entités clientes
- Fournisseurs de sécurité : Peuvent être désignés comme entités importantes