Directive NIS 2

• Énergie *
• Eau potable *
• Banque *
• Infrastructures des marchés bancaires et financiers *
• Santé *
• Transport *
• Infrastructure numérique *
• Fournisseurs numériques *

Les secteurs marqués d’un astérisque (*) étaient déjà couverts par la directive NIS 1.

• Administration publique
• Services postaux et d'expédition
• Gestion des services TIC
• Fabrication
• Fabrication, production et distribution de produits chimiques
• Production, transformation et distribution des denrées alimentaires
• Recherche
• Gestion des déchets
• Gestion des eaux usées
• Espace

Sanctions pénales à l’encontre des membres de direction des entités essentielles.

L’autorité nationale compétente est habilitée, en cas d’infraction, à : 

• Suspendre temporairement la certification ou l'autorisation d'une entité essentielle
• Requérir une interdiction temporaire de l’exercice de fonctions de direction au niveau du directeur général ou du représentant légal

De même, l'autorité compétente a le pouvoir discrétionnaire d'imposer des amendes considérables aux organisations qui ne respectent pas les lois de transposition nationales.

• Entités essentielles : au moins jusqu'à 10 millions d'euros ou 2 % de leur chiffre d'affaires annuel mondial
• Entités importantes : au moins jusqu'à 7 millions d'euros ou 1,4 % de leur chiffre d'affaires annuel mondial

Responsabilités de la direction

En vertu des dispositions de la norme NIS 2, les organes de direction des entités jugées essentielles ou importantes sont tenus d'approuver formellement les mesures de gestion des risques en matière de cybersécurité, de superviser rigoureusement leur mise en œuvre, et peuvent être tenus juridiquement responsables des infractions commises par leur organisation.

Dans ce contexte, tous les membres des organes de direction devront également suivre régulièrement une formation afin d'acquérir des connaissances et des compétences suffisantes pour identifier les risques, évaluer les pratiques de gestion des risques en cybersécurité et évaluer leur impact sur les services fournis par leur organisation.

Signalement des incidents

Selon la directive NIS 2, les entités essentielles et entités importantes sont tenues de signaler à l'autorité compétente (ANSSI), sans délai injustifié, tout incident ayant un impact significatif sur la prestation de leurs services.

Afin de respecter ces obligations de signalement, les organisations doivent fournir les types de rapports suivants :

• Alerte précoce : émise sans délai injustifié et au plus tard dans les 24 heures suivant la prise de conscience de l'incident, en précisant si l'événement est soupçonné d'être le résultat d'une activité illégale ou malveillante ou s'il pourrait avoir des répercussions transfrontalières
• Notification de l'incident : émise sans délai injustifié et au plus tard dans les 72 heures suivant la prise de conscience de l'incident, en mettant à jour les informations fournies dans l'alerte précoce et en donnant une évaluation préliminaire de la gravité et des effets de l'incident
• Rapport intermédiaire : émis sur demande de l’ANSSI, mettant en évidence les mises à jour pertinentes de la gestion des incidents et des crises
• Rapport final : doit être soumis au plus tard un mois après la notification de l'incident. Il doit contenir une description détaillée de l'incident, y compris sa cause profonde, les stratégies d'atténuation adoptées et tout impact transfrontalier

Cadre de surveillance

Comparé à NIS 1, la directive NIS 2 met en place un cadre de mise en application rigoureux visant à garantir un niveau de conformité plus élevé.

Tout d'abord, l’ANSSI pourra s'appuyer sur un cadre de mise en application et d'investigation robuste, dont les limites dépendent de la classification de votre organisation.

• Entités essentielles : soumises à un régime de surveillance complet ex ante et ex post, dans lequel l’ANSSI a la possibilité de mener des perquisitions aléatoires, de réaliser des audits de sécurité (ad-hoc) et de demander certaines informations et preuves de conformité
• Entités importantes : soumises à un régime de surveillance plus léger ex post, applicable en cas de preuve, indication ou information considérée par l’ANSSI comme suggérant des infractions potentielles à la directive

En vertu de la directive NIS 2, les entités essentielles et les entités importantes sont tenues d'adopter une approche proactive plutôt que réactive en matière de gestion des risques, en introduisant des politiques de sécurité de l'information solides, y compris pour les périmètres spécifiques tels que la cybersécurité OT (Operational Technology). Ces politiques visent à garantir une analyse systématique et approfondie des risques, une taxonomie homogène, une cartographie des risques prenant pleinement en compte les spécificités locales, ainsi qu’un processus de gestion des risques harmonisé.

En outre, ces politiques devraient être conçues sur la base d'une approche tous-risques, proportionnelle au risque, à la taille, au coût, à l'impact et à la gravité des incidents auxquels les organisations individuelles sont confrontées. En tenant compte de ce principe de proportionnalité, on s'attend à ce que les organisations mettent en œuvre des mesures de cybersécurité reconnues par l'industrie et à la pointe de la technologie, notamment dans les domaines suivants :

Prévention, détection et réponse aux incidents

En vertu de la NIS 2, les entités essentielles et importantes doivent disposer d'un cadre de gestion des incidents (Incident Management Framework) robuste, régulièrement testé et communiqué à toutes les parties concernées. De plus, la nouvelle directive du Parlement européen exige que les organisations mettent en place des procédures claires pour prévenir les attaques, enquêter sur les causes profondes et adopter des mesures d'atténuation.

Continuité des activités et gestion de crise

En vertu de la directive NIS 2, les entités essentielles et importantes doivent veiller à la continuité de leurs opérations en cas d'incident majeur (en matière de cybersécurité). Par conséquent, les organisations doivent mettre en place un cadre de résilience complet, englobant la continuité des activités, la reprise après sinistre et la gestion de crise, afin de minimiser les perturbations.

Maîtrise des risques liés aux tiers

À mesure que la sécurité de la chaîne d'approvisionnement numérique devient de plus en plus importante, NIS 2 exige des entités essentielles et importantes qu'elles s'engagent dans la gestion des risques liés aux tiers (Third Party Risk Management - TPRM). S'assurer du TPRM dans l'ensemble de leurs chaînes de valeur numérique représentera un défi de taille pour les organisations, et la mise en place d'un cadre de résilience de la chaîne d'approvisionnement complet pourrait être justifiée.

La directive NIS 2 renforce ainsi significativement les exigences en matière de gestion des risques et en matière de cybersécurité au niveau de l’union, avec une approche pro-active et des mesures fortes pour les entités essentielles et les entités importantes.

La directive européenne NIS met l'accent sur l'implication de la gouvernance en matière de cybersécurité. Elle impose une responsabilité accrue des organes de direction pour la validation et la supervision de la gestion risques cybersécurité. 

Les membres de la direction doivent suivre des formations régulières pour évaluer les risques et les pratiques associés, assurant ainsi un pilotage efficace de la cybersécurité au plus haut niveau.

L'une des exigences majeures est la mise en place de mesures techniques et organisationnelles de cybersécurité proportionnées aux risques identifiés. 

Cela couvre de nombreux aspects comme l'analyse des risques, la continuité d'activité, la gestion des sauvegardes, la sécurité réseaux systèmes, le développement sécurisé, la formation, le contrôle d'accès, etc. Un suivi régulier de l'efficacité de ces mesures est requis.

En cas d'incident significatif, la directive NIS 2 impose des obligations de reporting strict aux autorités compétentes et CSIRT. 

Une alerte dans les 24 heures, puis une notification détaillée sous 72 heures avec une évaluation d'impact. Des rapports complémentaires sont ensuite à fournir, permettant une coordination renforcée.

L'importance de la sécurité des chaînes d'approvisionnement est soulignée, en particulier avec les fournisseurs. 

Les entités essentielles et entités importantes devront évaluer les vulnérabilités, pratiques de cybersécurité et qualité des produits/services de leurs partenaires. 

Une gestion des risques rigoureuse de la chaîne d'approvisionnement informatique est indispensable.

Le champ d'application élargi de la directive NIS 2 par rapport à la NIS 1, associé à ces nouvelles exigences renforcées, vise à améliorer la résilience en matière de cybersécurité à l'échelle de l'Union européenne.