NIS2 : Directive sur la sécurité des réseaux et des systèmes d'information, deuxième version
Sécurité
NIS2 : Directive sur la sécurité des réseaux et des systèmes d'information, deuxième version. « Le texte européen qui fait passer la cybersécurité de quelques opérateurs vitaux à des milliers d'organisations ordinaires », par analogie avec les normes incendie, longtemps réservées aux grands immeubles et désormais exigées dans tout bâtiment qui reçoit du public, y compris ceux qui pensaient ne recevoir personne.
Texte et champ : Directive (UE) 2022/2555, qui remplace la première directive NIS. Elle distingue des entités essentielles et des entités importantes, selon leur secteur (énergie, transports, santé, eau, numérique, administration, fabrication, services postaux, entre autres) et leur taille. Étant une directive, elle s'applique à travers la loi de transposition de chaque État membre, dont il faut vérifier le texte en vigueur.
Mesures exigées : Une gestion des risques couvrant au minimum l'analyse de risque, la gestion des incidents, la continuité et les sauvegardes, la sécurité de la chaîne d'approvisionnement, le développement et la maintenance, l'hygiène informatique, la cryptographie, le contrôle d'accès et l'authentification multifacteur.
Notification d'incident : Pour un incident important : alerte précoce sous 24 heures, notification sous 72 heures, rapport final dans le mois qui suit. En France, l'interlocuteur est l'ANSSI.
Responsabilité des dirigeants : Les organes de direction approuvent les mesures, en supervisent la mise en œuvre et doivent se former. Les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, et 7 millions d'euros ou 1,4 % pour une entité importante. De quoi faire de la cybersécurité un sujet qu'on ne délègue plus tout à fait.
Ce qui arrive si on s'en passe
Sans démarche NIS2, une organisation entrée dans le champ de la directive ne sait pas qu'elle y est, et donc qu'elle doit se déclarer, appliquer des mesures minimales et notifier ses incidents dans des délais courts. Le premier incident important révèle alors l'absence de procédure : personne ne sait qualifier la gravité, l'alerte des 24 heures est manquée, et la direction découvre sa propre responsabilité en même temps que l'attaque. Les fournisseurs, jamais évalués, restent une porte d'entrée que l'organisation ne surveille pas, par une forme de confiance que rien n'a jamais justifiée.
Explication de la marmotte
Beaucoup de services dont tout le monde dépend reposent sur l'informatique : hôpitaux, distribution d'eau, transports, mairies, fabricants. Une directive européenne oblige désormais des milliers de ces organisations, et plus seulement quelques très grandes, à se protéger sérieusement contre les attaques informatiques. Elles doivent évaluer leurs risques, prendre des mesures de base comme les sauvegardes ou la double authentification, surveiller leurs fournisseurs, et prévenir l'autorité nationale dans les 24 heures quand une attaque grave les touche. Leurs dirigeants en sont personnellement responsables.
Où ce terme est utilisé
- AI Act : articuler les obligations de sécurité avec NIS 2, le CRA et le RGPD (39 occurrences)
- NIS2 pour les petites structures (15 occurrences)
- Délais de notification d’incident NIS2 RGPD DORA (6 occurrences)
- NIS2 entités essentielles, obligations, périmètre et sanctions (6 occurrences)
- AI Act : surveillance après commercialisation et signalement des incidents graves d'une IA à haut risque (articles 72 et 73) (5 occurrences)
- ENISA (4 occurrences)
- Guide d'hygiène informatique ANSSI en 42 mesures, mode d'emploi (4 occurrences)
- Normes (4 occurrences)
- Partager le renseignement sur la menace avec ISAC, MISP et STIX (4 occurrences)
- Exigences CRA pour produits connectés sécurisés (3 occurrences)