La Directive NIS2, qui est entrée en vigueur en janvier 2023, est un ensemble de lois et de règlements en cybersécuritéLes solutions de cybersécurité sont essentielles à l’ère di… conçu pour unifier et renforcer le niveau de sécurité dans tous les pays membres de l’Union européenne. Les États membres ont jusqu’au 17 octobre 2024 pour transposer et adapter cette directive dans leur législation nationale, ce qui implique que les entreprises et les secteurs concernés doivent mettre à jour leurs systèmes et protocoles dans un délai limité.
Objectifs et Portée de la NIS2
La NIS2 est une mise à jour de la précédente directive NIS et vise à harmoniser les mesures de sécurité dans des secteurs essentiels et importants, en particulier ceux considérés comme critiques. Parmi ces secteurs figurent l’énergie, les transports, la banque, la santé, l’eau potable, les infrastructures numériques et l’administration publique, entre autres. De plus, la directive met un accent particulier sur la sécurité de la chaîne d’approvisionnement et sur les fournisseurs de services provenant de l’extérieur de l’UE.
Classification des Entités
La directive distingue entre entités essentielles et entités importantes:
- Entités Essentielles: Elles appartiennent à des secteurs de haute criticité et ont des obligations plus strictes en matière de cybersécurité. Elles incluent les entreprises d’énergie, de transport, de santé, d’eau potable, d’infrastructures numériques et les administrations publiques centrales et régionales.
- Entités Importantes: Elles font partie de secteurs critiques mais ne sont pas considérées comme essentielles. Elles incluent les services postaux et de messagerie, la gestion des déchets, l’industrie chimique, l’alimentation et les fournisseurs numériques tels que les moteurs de recherche et les réseaux sociaux.
Obligations de Cybersécurité
Les organisations classées comme essentielles ou importantes doivent mettre en place des mesures de cybersécurité appropriées pour gérer et minimiser les risques dans leurs réseaux et systèmes d’information. Parmi les mesures clés figurent :
- Contrôle des accès : Mise en œuvre de politiques d’accès strictes et d’authentification multifacteur.
- Protection contre les logiciels malveillants : Utilisation d’outils et de protocoles pour prévenir et détecter les malwares et ransomwares.
- Gestion des incidents : Établissement de procédures pour la notification et la réponse aux incidents de sécurité.
Notification Obligatoire des Incidents
Une des obligations les plus notables de la NIS2 est la notification obligatoire des incidents de cybersécurité. Les organisations doivent informer les autorités compétentes ou leur Équipe de Réponse à Incidents de Sécurité Informatique (CSIRT) en trois phases :
- Notification Initiale : Dans les 24 heures suivant la détection de l’incident.
- Notification Intermédiaire : À 72 heures, en fournissant des mises à jour sur l’état et les conséquences possibles.
- Notification Finale : Dans un délai maximum d’un mois, avec un rapport détaillé sur la gravité, l’impact et les mesures prises.
Le non-respect de ces obligations peut entraîner des sanctions économiques significatives, pouvant atteindre jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel global pour les entités essentielles, et jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel global pour les entités importantes.
Soutien du Centre Cryptologique National
Pour faciliter la conformité avec la directive, le Centre Cryptologique National (CCN) a mis en place un service de consultation par courriel [email protected]. De plus, le CCN offre des ressources et des guides, comme le CCN-STIC 892, qui détaillent les mesures nécessaires pour s’adapter à la NIS2 en suivant le Schéma National de Sécurité (ENS).
La Directive NIS2 représente un pas significatif vers l’amélioration de la cybersécurité dans l’Union européenne. Les organisations doivent prendre des mesures proactives pour se conformer aux nouvelles exigences, en renforçant leurs systèmes et protocoles de sécurité. La coopération et la conformité seront essentielles pour protéger les infrastructures critiques et assurer la résilience dans le paysage numérique européen.
