- NIS 2 (directive UE 2022/2555) remplace NIS 1 et s’applique à 18 secteurs, avec deux catégories : entités essentielles et entités importantes.
- En règle générale, sont concernées les organisations de 50 salariés ou plus, ou de plus de 10 M€ de chiffre d’affaires, dans les secteurs visés ; certaines le sont quelle que soit leur taille.
- Obligations : mesures de gestion des risques, notification des incidents importants (24 h, 72 h, un mois), responsabilité et formation des dirigeants.
- Sanctions jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles.
- Public
- Dirigeants, DSI, RSSI, juristes
- Niveau
- Décision
- Texte
- Directive (UE) 2022/2555
- En France
- Transposition et accompagnement par l’ANSSI
Pourquoi une nouvelle directive#
La première directive NIS, adoptée en 2016, visait un nombre limité d’opérateurs de services essentiels. Face à la multiplication des attaques, notamment par les chaînes d’approvisionnement, l’Union européenne a adopté NIS 2 pour élargir le périmètre, harmoniser les exigences entre États membres et renforcer les sanctions.
La directive a été publiée au Journal officiel de l’Union européenne le 27 décembre 2022, avec une date limite de transposition fixée au 17 octobre 2024. En France, sa transposition est portée par l’ANSSI, qui met à disposition un espace dédié pour aider chaque organisation à savoir si elle est concernée.
Qui est concerné#
| Catégorie | Secteurs (exemples) | Régime |
|---|---|---|
| Entités essentielles | Énergie, transports, banque, santé, eau, infrastructures numériques, gestion des services TIC, administration publique, espace | Contrôle a priori, sanctions les plus élevées |
| Entités importantes | Services postaux, gestion des déchets, chimie, agroalimentaire, fabrication (dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques, recherche | Contrôle a posteriori, sanctions moindres |
Le critère de taille général est de 50 salariés ou 10 M€ de chiffre d’affaires et de total de bilan. Certaines organisations sont concernées quelle que soit leur taille, par exemple les fournisseurs de services DNS ou certains prestataires critiques.
Ce que la directive exige#
L’article 21 impose des mesures de gestion des risques proportionnées, couvrant notamment :
- les politiques d’analyse des risques et de sécurité des systèmes d’information ;
- la gestion des incidents ;
- la continuité des activités : sauvegardes, reprise après sinistre, gestion de crise ;
- la sécurité de la chaîne d’approvisionnement et des relations avec les fournisseurs ;
- la sécurité dans l’acquisition, le développement et la maintenance des systèmes, y compris la gestion des vulnérabilités ;
- l’évaluation de l’efficacité des mesures ;
- l’hygiène informatique et la formation ;
- la cryptographie et le chiffrement ;
- la sécurité des ressources humaines, le contrôle d’accès et la gestion des actifs ;
- l’authentification multifacteur et les communications sécurisées.
La notification des incidents#
| Délai | Ce qu’il faut transmettre |
|---|---|
| 24 heures | Une alerte précoce dès la connaissance d’un incident important |
| 72 heures | Une notification avec une première évaluation : gravité, impact, indicateurs de compromission |
| Un mois | Un rapport final : description détaillée, cause, mesures prises |
Ces délais supposent d’être capable de détecter un incident, de qualifier sa gravité et de mobiliser rapidement les bonnes personnes : la préparation compte autant que la technique.
Dirigeants et sanctions#
NIS 2 place explicitement la cybersécurité au niveau de la direction : les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation. Leur responsabilité peut être engagée en cas de manquement.
| Catégorie | Amende maximale |
|---|---|
| Entités essentielles | 10 M€ ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu |
| Entités importantes | 7 M€ ou 1,4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu |
Comment se préparer#
- Vérifier son statut à l’aide des outils mis à disposition par l’ANSSI, et documenter la conclusion.
- Désigner un responsable et impliquer la direction.
- Faire un état des lieux au regard des mesures de l’article 21 : identités, sauvegardes, vulnérabilités, fournisseurs, continuité.
- Traiter en priorité les écarts majeurs : MFA, sauvegardes isolées et testées, gestion des correctifs, plan de réponse aux incidents.
- Organiser la détection et la notification : qui qualifie un incident, qui notifie, dans quels délais.
- Encadrer les fournisseurs : clauses de sécurité, accès, notification des incidents.
Nos missions courtes, comme l’AD / Entra Exposure Review ou la mise en place du PRA Infrastructure, fournissent des preuves concrètes sur deux des sujets les plus examinés : la sécurité des accès et la capacité de reprise.
Questions fréquentes#
Mon entreprise est-elle concernée par NIS 2 ?
Cela dépend de votre secteur, de votre taille et de votre activité. L’ANSSI met à disposition un outil en ligne pour le vérifier. En cas de doute, une analyse au cas par cas est nécessaire.
Quelle différence entre entité essentielle et importante ?
Le niveau de criticité du secteur et la taille. Les entités essentielles font l’objet de contrôles plus poussés et de sanctions plus élevées ; les obligations de sécurité sont proches.
NIS 2 s’applique-t-elle aux sous-traitants ?
Pas directement s’ils ne sont pas eux-mêmes dans le champ, mais leurs clients concernés doivent maîtriser la sécurité de leur chaîne d’approvisionnement et leur imposeront des exigences.
Quels sont les délais de notification ?
Une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois.