NIS2 et les entreprises françaises – ce qui vous est réellement demandé

La directive NIS2 (UE 2022/2555) remplace la première directive NIS et élargit le cercle des organisations soumises à des exigences claires en matière de cybersécurité. En bref : davantage d’entreprises sont concernées, les exigences sont plus concrètes et la responsabilité remonte au niveau de la direction.

Voici ce que le cadre signifie en pratique – et par quoi il vaut la peine de commencer.

Êtes-vous concerné ?

Deux questions décident : dans quel secteur vous opérez et quelle est votre taille.

Les secteurs se répartissent en pratique en deux groupes. Le premier comprend notamment l’énergie, les transports, le secteur bancaire et les marchés financiers, la santé, l’eau potable, les eaux usées, les infrastructures numériques, la gestion des services TIC et l’espace. Le second comprend notamment les services postaux et de courrier, la gestion des déchets, les produits chimiques, l’alimentation, la fabrication, les fournisseurs de services numériques et la recherche.

Concernant la taille, le cadre vise principalement les entreprises moyennes et grandes – mais il existe des exceptions importantes. Certaines entités sont concernées quelle que soit leur taille, par exemple les prestataires qualifiés de services de confiance, les fournisseurs de services de communications électroniques accessibles au public et les fournisseurs de services DNS centraux. Une petite entreprise peut aussi être concernée si elle est le seul fournisseur d’un service critique pour la société.

Conclusion : réalisez une évaluation documentée du secteur, de la taille et des règles particulières éventuelles. En cas de doute, partez du principe que vous pouvez être concerné et vérifiez-le – c’est moins cher qu’une découverte lors d’un contrôle.

Les exigences sur le fond

NIS2 n’est pas une liste de produits. Ce sont des exigences portant sur un système de management de la sécurité de l’information, avec les domaines de base suivants :

• Analyse des risques et politique de sécurité, documentée et réellement appliquée.
• Gestion des incidents avec des rôles définis, des circuits d’escalade et des exercices.
• Continuité d’activité – sauvegardes, restauration et plan de maintien des fonctions critiques.
• Chaîne d’approvisionnement – vous êtes responsable de la sécurité des fournisseurs que vous utilisez, pas seulement de la vôtre.
• Gestion des vulnérabilités et mises à jour, y compris une routine de traitement des vulnérabilités connues.
• Authentification multifacteur et protection des communications lorsque c’est pertinent.
• Formation de la direction et des collaborateurs.
• Chiffrement lorsque c’est approprié.

La notification est le délai le plus serré

La notification des incidents est la partie la plus souvent sous-estimée, car l’horloge joue contre vous. Pour un incident important, NIS2 exige une notification en plusieurs étapes : alerte précoce sous 24 heures, notification d’incident sous 72 heures et rapport final sous un mois.

En pratique, cela signifie que la routine ne peut pas être improvisée pendant l’incident. Il vous faut :

1. Une définition de l’incident important, issue de l’activité et non de l’informatique.
2. Une personne désignée capable d’envoyer l’alerte précoce – même à trois heures du matin.
3. Un modèle et un canal vers l’autorité compétente, prêts avant d’être nécessaires.
4. Des journaux permettant de décrire ce qui s’est passé sous 72 heures.

La responsabilité de la direction

L’un des changements majeurs est que la direction ne peut pas déléguer sa responsabilité. Elle doit approuver les mesures de gestion des risques, en surveiller la mise en œuvre et suivre une formation en cybersécurité. En cas de manquement grave, les sanctions peuvent viser l’organisation – et dans certains cas les dirigeants eux-mêmes.

En pratique, NIS2 est donc une question de direction, pas d’informatique. Un bon premier pas consiste à inscrire le risque cyber à l’ordre du jour permanent : quel est notre système le plus critique, que se passe-t-il s’il est à l’arrêt pendant 72 heures, et qui en est responsable ?

Par quoi commencer

1. Évaluation du périmètre. Secteur, taille et règles particulières – documentés.
2. Analyse des écarts par rapport aux exigences ci-dessus. Où existe-t-il une politique, et où n’y a-t-il qu’une intention ?
3. La routine de gestion des incidents d’abord. C’est le délai le plus serré et le moins coûteux à mettre en place.
4. Liste des fournisseurs. Quels tiers ont accès à vos systèmes critiques, et quelles exigences de sécurité leur imposez-vous par contrat ?
5. Validation par la direction. Décisions, responsabilité et formation – documentées.

Travaillez dans cet ordre. Les exigences du cadre correspondent en réalité au même travail que celui qui réduit vraiment le risque – la différence est qu’il doit désormais être documenté, avoir un responsable et être démontrable.