NIS : Network and Information Security
Sécurité
NIS : Network and Information Security. « Sécurité des réseaux et des systèmes d'information », par analogie avec le code de la construction qui impose des normes incendie aux bâtiments recevant du public.
Le texte : Première directive européenne consacrée à la cybersécurité, adoptée en 2016 ; elle imposait aux États membres une stratégie nationale, une autorité compétente et des équipes de réponse aux incidents.
Opérateurs concernés : Elle visait les opérateurs de services essentiels (énergie, transports, santé, banque, eau, infrastructures numériques) et certains fournisseurs de services numériques, tenus de gérer leurs risques et de notifier les incidents significatifs.
Transposition : Directive oblige, chaque pays l'a traduite dans son droit ; en France, l'ANSSI en est l'autorité. Vingt-sept transpositions d'un même texte produisent vingt-sept textes, preuve que l'Europe sait aussi faire de la diversité.
Remplacement : Jugée trop étroite et appliquée de façon trop inégale, elle est remplacée par NIS2, au périmètre bien plus large.
Ce qui arrive si on s'en passe
Sans cadre de ce type, la sécurité des services essentiels dépend du seul bon vouloir de chaque opérateur, et les incidents graves peuvent rester inconnus des autorités comme des autres acteurs exposés à la même menace. Aucune exigence minimale de gestion des risques ne s'impose, aucun contrôle ne vérifie l'application des mesures, et une attaque réussie contre un fournisseur d'énergie ou un hôpital ne déclenche pas d'alerte coordonnée. Les obligations de notification et de mesures proportionnées permettent au contraire de mutualiser l'information sur les attaques et de vérifier que les organisations critiques appliquent un socle commun.
Explication de la marmotte
Certaines entreprises rendent des services dont tout le monde dépend : l'électricité, l'eau, les hôpitaux, les trains. Si des pirates les bloquent, c'est toute la société qui en souffre. Les pays européens ont donc adopté une règle commune qui oblige ces entreprises à se protéger sérieusement contre les attaques informatiques et à prévenir les autorités quand un incident grave se produit. Chaque pays a ensuite adapté cette règle à sa propre loi. Elle a depuis été remplacée par une version plus large, qui concerne beaucoup plus d'organisations.
Où ce terme est utilisé
- CCN-CERT Espagne : rôle, guides CCN-STIC et ENS (2 occurrences)
- AI Act : articuler les obligations de sécurité avec NIS 2, le CRA et le RGPD (1 occurrence)
- AI Act : calendrier d'application 2025-2030 et ce qui s'applique déjà (1 occurrence)
- AI Act : champ d'application, qui est concerné et qui en sort (article 2) (1 occurrence)
- AI Act : sanctions, plafonds d'amende et critères de calcul (articles 99 à 101) (1 occurrence)
- Ce qu’un auditeur vérifie dans les preuves de conformité (1 occurrence)
- CERT-EU réponse aux incidents des institutions européennes (1 occurrence)
- Délais de notification d’incident NIS2 RGPD DORA (1 occurrence)
- Exigences CRA pour produits connectés sécurisés (1 occurrence)
- Guide d'hygiène informatique ANSSI en 42 mesures, mode d'emploi (1 occurrence)