La directive NIS2 est la loi européenne de cybersécurité mise à jour, entrée en vigueur en janvier 2023 et transposée en droit national à partir d'octobre 2024. Elle impose aux entités « essentielles » et « importantes » de 18 secteurs de gérer le risque cyber, de sécuriser leur chaîne d'approvisionnement, de notifier les incidents importants sous 24 heures et de responsabiliser la direction générale, sous peine d'amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Elle remplace la directive NIS de 2016 et élargit à la fois les secteurs couverts et les obligations de chaque entité.
Comprendre la directive NIS2
La directive NIS2 est la législation européenne en matière de cybersécurité la plus importante depuis la directive NIS originale de 2016. Elle élargit le périmètre à davantage de secteurs, introduit des sanctions plus sévères (jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial) et impose la notification des incidents dans un délai de 24 heures. Pour les fabricants, les entreprises énergétiques et les fournisseurs d'infrastructures numériques qui n'étaient pas couverts auparavant, c'est un nouveau terrain avec des échéances contraignantes.
Quelles sont les exigences ?
Mesures de sécurité
En vertu de NIS2, les organisations doivent mettre en œuvre des mesures de cybersécurité spécifiques, proportionnées à leur niveau de risque. Ces mesures doivent s'aligner sur les bonnes pratiques et inclure :
- L'analyse des risques et les politiques de sécurité des systèmes d'information.
- La gestion des incidents (prévention, détection, réponse et rétablissement).
- La continuité d'activité et la gestion de crise.
- La sécurité de la chaîne d'approvisionnement.
- La sécurité dans l'acquisition, le développement et la maintenance des réseaux et des systèmes d'information.
- Les politiques et procédures permettant d'évaluer l'efficacité des mesures de gestion des risques de cybersécurité.
Notification des incidents
La notification des incidents est un volet central de NIS2, conçu pour garantir une prise de conscience et une réponse rapides aux cybermenaces. Les organisations doivent :
- Signaler les incidents ayant un impact significatif sur la fourniture de leurs services.
- Notifier les autorités compétentes ou les CSIRT (Computer Security Incident Response Teams) dans les 24 heures suivant la détection d'un incident.
- Fournir des rapports d'incident détaillés dans un délai de 72 heures.
Gouvernance et responsabilité
La directive met fortement l'accent sur la gouvernance et exige des entités qu'elles :
- Définissent clairement les responsabilités en matière de gestion des risques de cybersécurité.
- Assurent la responsabilité de la direction générale dans la supervision de la conformité à NIS2.
- Mettent en place des programmes réguliers de formation et de sensibilisation pour les employés.
Périmètre de NIS2
Élargissement des secteurs couverts
NIS2 étend le périmètre des secteurs couverts, en y intégrant des industries supplémentaires jugées essentielles à l'économie et à la société. Celles-ci comprennent :
- L'énergie
- Les transports
- Les infrastructures bancaires et des marchés financiers
- La santé
- L'approvisionnement et la distribution en eau potable
- Les infrastructures numériques
- L'administration publique
Entités essentielles et entités importantes
Les entités sont classées comme essentielles ou importantes en fonction de leur impact sociétal et économique. Cette classification détermine l'étendue de leurs obligations au titre de NIS2, les entités essentielles étant soumises à des exigences plus strictes.
Qui doit se conformer ?
Obligations existantes et nouvelles
NIS2 s'applique :
- Aux entités existantes précédemment couvertes par la directive NIS originale.
- Aux nouvelles entités relevant des secteurs élargis et à celles identifiées comme ayant une importance critique.
Seuils d'inclusion
La directive fixe des seuils d'inclusion spécifiques, fondés sur des critères tels que :
- La taille et le chiffre d'affaires.
- La position sur le marché.
- La criticité des services fournis.
Comment se préparer à la conformité NIS2
Réaliser une analyse des écarts
Effectuez une analyse des écarts détaillée pour comparer les pratiques de cybersécurité actuelles aux exigences de NIS2. Cette analyse mettra en évidence les domaines nécessitant des améliorations ou des mesures supplémentaires.
Mettre en œuvre un cadre de cybersécurité
Adoptez un cadre de cybersécurité, tel que NIST SP 800-171 ou ISO/IEC 27001, pour structurer la gestion de la sécurité de l'information. Cela facilite l'alignement sur les exigences de NIS2.
Renforcer les plans de réponse aux incidents
Élaborez et affinez les plans de réponse aux incidents afin de garantir une détection et une atténuation rapides des incidents de cybersécurité. Testez régulièrement ces plans par des simulations et des exercices.
Renforcer la sécurité de la chaîne d'approvisionnement
Compte tenu de l'accent mis sur la sécurité de la chaîne d'approvisionnement, évaluez et renforcez la posture de cybersécurité de votre chaîne d'approvisionnement. Cela implique de réaliser des évaluations des risques et de veiller à ce que les contrats fournisseurs incluent des obligations en matière de cybersécurité.
Contrôler l'accès aux systèmes OT et industriels
Pour les opérateurs de l'énergie, de l'eau, de l'industrie et des autres secteurs industriels concernés par NIS2, les exigences de contrôle d'accès et de responsabilité portent directement sur les technologies opérationnelles, et c'est souvent l'écart le plus difficile à combler. Les automates (PLC), IHM et systèmes SCADA anciens ne savent ni authentifier un utilisateur ni enregistrer une session, et la voie d'accès la plus à risque reste l'accès distant des prestataires. Trout place une passerelle d'accès sans agent devant ces systèmes, de sorte que chaque session, y compris la maintenance par un tiers, soit liée à l'identité, au moindre privilège et enregistrée, sans modifier les équipements. Voir la conformité NIS2 pour l'OT et l'accès distant sécurisé pour l'OT et les prestataires.
Formation et sensibilisation
Organisez régulièrement des sessions de formation pour les employés afin de renforcer leur connaissance des cybermenaces et leur compréhension de l'importance du respect des exigences de NIS2.
Conclusion
L'échéance de 2026 est fixée. Si vous n'avez pas encore commencé votre analyse des écarts, c'est la première étape à franchir. Identifiez dans quelle catégorie d'entité vous vous situez (essentielle ou importante), cartographiez vos contrôles actuels par rapport aux exigences de l'article 21 et établissez un calendrier de remédiation. Concentrez-vous en priorité sur la préparation à la notification des incidents (le délai de notification de 24 heures prend la plupart des organisations de court) et sur les obligations relatives à la sécurité de la chaîne d'approvisionnement. Les organisations qui commencent maintenant seront conformes ; celles qui attendent seront dans l'urgence.
Pour davantage de ressources sur NIS2, des options de déploiement souverain et des guides de conformité, consultez le hub NIS2 Compliance for On-Premise OT. Voir aussi notre état des lieux de la souveraineté numérique européenne appliquée à la couche réseau et cybersécurité.