NIS 2 est la directive européenne qui renforce les exigences de cybersécurité.
En France, elle est transposée par la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, sous le pilotage de l'ANSSI. Le périmètre est sans commune mesure avec le précédent : de l'ordre de 15 000 entités concernées, contre quelques centaines auparavant.
Qui est concerné ?
Deux critères principaux :
- Le secteur d'activité. Dix-huit secteurs sont visés : énergie, transports, santé, eau, infrastructures numériques, gestion des services informatiques, administrations publiques, fabrication, agroalimentaire, services postaux, gestion des déchets, etc.
- La taille. En règle générale, les entreprises de plus de 50 salariés ou dépassant 10 M€ de chiffre d'affaires dans ces secteurs. Les collectivités et établissements de santé sont également concernés.
Selon leur criticité, les organisations sont classées en entités essentielles ou entités importantes, avec des exigences et des sanctions graduées.
Même hors périmètre, vous pouvez être touché
Si vous êtes fournisseur ou sous-traitant d'une entité concernée, vos clients seront tenus de maîtriser leur chaîne d'approvisionnement. Ils vous demanderont des garanties de sécurité.
Ce que la directive attend
- Une gestion des risques structurée : politique de sécurité, sauvegardes, contrôle des accès, chiffrement, gestion des vulnérabilités.
- Un dispositif de signalement des incidents significatifs : alerte précoce sous 24 heures, notification détaillée sous 72 heures, rapport final sous un mois.
- Une implication de la direction, qui est responsable de la validation et du suivi des mesures.
- Des sanctions pouvant aller jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles.
Comment se préparer sans attendre
L'ANSSI encourage les organisations à anticiper et a publié un référentiel de mesures (Référentiel Cyber France) pour guider la mise en conformité. Une démarche raisonnable :
- Déterminer si vous êtes dans le périmètre.
- Réaliser un état des lieux (audit) par rapport aux exigences.
- Prioriser les écarts et planifier les actions.
- Documenter, former, tester.
IAF vous accompagne dans cette démarche, de l'audit à la mise en œuvre, y compris via un RSSI externalisé si vous n'avez pas ce profil en interne.