Nouveaux efforts de l’UE pour renforcer la cybersécurité avec la directive NIS2

Dans un monde de plus en plus numérisé, les cyberattaques représentent une menace constante et en expansion. Pour faire face à ce défi, l’Union européenne (UE) a franchi une étape décisive avec la Directive sur la sécurité des réseaux et des systèmes d’information 2 (NIS2), qui met à jour et élargit la législation de 2016. Cette nouvelle réglementation, actuellement en cours de transposition en Espagne par la Loi de coordination et de gouvernance de la cybersécurité, promet de transformer la culture d’entreprise en matière de cybersécurité et d’impacter plus de 33 000 entreprises dans des secteurs essentiels et critiques.

Un cadre juridique unifié pour la cybersécurité dans l’UE

La NIS2 établit un cadre juridique unifié pour les États membres de l’UE, visant à protéger les systèmes de réseaux et d’information ainsi que leurs utilisateurs contre les menaces cybernétiques. Contrairement aux normes volontaires comme le NIST CSF 2.0, la NIS2 impose des obligations légales spécifiques aux secteurs essentiels et aux services numériques, en mettant l’accent sur la sécurité et la résilience dans un contexte transfrontalier.

Jacinto Cavestany, PDG d’Evolutio, une entreprise spécialisée dans les services cloud et la cybersécurité, souligne l’urgence de cette règlementation : « Les cybercriminels augmentent la sophistication de leurs attaques, mettant en péril non seulement les informations, mais aussi la continuité des affaires. La NIS2 arrive pour renforcer les défenses des entreprises et garantir une réponse coordonnée face à ces menaces. »

Les cinq piliers de la NIS2 qui transformeront les organisations

Evolutio a identifié cinq aspects clés de la NIS2 qui marqueront un tournant dans la stratégie de cybersécurité des entreprises :

1. Identification des entités essentielles et importantes
   La NIS2 se concentre sur des secteurs critiques tels que l’énergie, le transport, la banque, la santé, l’eau, les infrastructures numériques et l’administration publique. D’autres secteurs comme la gestion des déchets, la production alimentaire et la sécurité privée y sont également inclus. En Espagne, plus de 33 000 entreprises de plus de 50 employés seront concernées. D’ici le 17 avril 2025, les États membres doivent dresser une liste de ces entités, qui sera révisée tous les deux ans.

2. Planification avec des mesures adéquates et proportionnées
   Les organisations devront appliquer des mesures de gestion des risques adaptées à leur taille, à leur impact potentiel et à la gravité des incidents. Cela inclut des politiques de sécurité, des analyses de menaces, des procédures de détection et de réponse, ainsi que des plans de continuité et de formation continue pour les employés.

3. Gestion des risques dans la chaîne d’approvisionnement
   Les cyberattaques ciblant la chaîne d’approvisionnement ont considérablement augmenté, exploitant les vulnérabilités des infrastructures technologiques. La NIS2 oblige les entités essentielles à garantir la sécurité de leurs fournisseurs par des contrats et des évaluations de qualité.

4. Responsabilité des dirigeants
   La NIS2 renforce la responsabilité des cadres dirigeants, qui doivent approuver et superviser les mesures de cybersécurité, acquérir des connaissances en gestion des risques et assurer la formation continue des employés.

5. Notification obligatoire des incidents significatifs
   Les entreprises devront signaler tout incident, menace cybernétique ou « quasi-incident » aux autorités compétentes dans des délais spécifiques. Le non-respect de ces obligations pourrait entraîner des sanctions plus strictes qu’auparavant.

Impact sur l’investissement et l’avenir de la cybersécurité

La mise en œuvre de la NIS2 stimule déjà les investissements en cybersécurité dans l’UE. Selon l’Agence de l’Union européenne pour la cybersécurité (Enisa), la sécurité de l’information a représenté 9 % des investissements en technologie de l’information en 2023, atteignant 1,4 million d’euros.

« La NIS2 représente un progrès significatif dans l’ambition de l’UE de renforcer la cybersécurité. Chez Evolutio, nous intégrons la sécurité dans les stratégies technologiques de nos clients dès le départ, les aidant à prévenir les menaces et à respecter la réglementation », conclut Cavestany.

Dans un contexte où les cyberattaques deviennent de plus en plus fréquentes et sophistiquées, la NIS2 se profile comme un instrument clé pour protéger les entreprises essentielles et garantir la résilience de l’économie numérique européenne. Les organisations qui adopteront une approche proactive et stratégique non seulement se conformeront à la loi, mais seront également mieux préparées à relever les défis futurs.

Evolutio est une entreprise espagnole avec plus de 30 ans d’expérience dans les services cloud et la cybersécurité. Basée à Madrid, sa mission est de favoriser l’innovation et la transformation numérique de ses clients, tant dans le secteur privé que public, en garantissant la sécurité et la conformité réglementaire dans un monde de plus en plus interconnecté.