NIS2
NIS2 (Network and Information Security 2, directive UE 2022/2555) est la révision de la directive NIS de 2016. Elle élargit considérablement le nombre d’organisations soumises à des obligations de cybersécurité, avec des sanctions désormais comparables à celles du RGPD.
Qui est concerné
Section intitulée « Qui est concerné »Contrairement à NIS1 (centrée sur quelques opérateurs critiques), NIS2 couvre deux catégories, réparties en 18 secteurs (énergie, transport, santé, eau, numérique, espace, administration publique, gestion des déchets, industrie…) :
- Entités essentielles : grandes entreprises (≥250 salariés ou ≥50M€ de CA) des secteurs les plus critiques.
- Entités importantes : moyennes entreprises (≥50 salariés ou ≥10M€ de CA) et certains secteurs additionnels.
Un changement notable par rapport à NIS1 : les sous-traitants et fournisseurs des entités régulées sont indirectement concernés, puisque la sécurité de la chaîne d’approvisionnement fait partie des obligations.
Les obligations principales
Section intitulée « Les obligations principales »- Gestion des risques : analyse de risques et mesures “appropriées et proportionnées” couvrant la sécurité des systèmes, la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, la sécurité de l’acquisition/développement/maintenance des systèmes, le chiffrement, le contrôle d’accès.
- Notification d’incidents en plusieurs temps : alerte précoce sous 24h, notification détaillée sous 72h, rapport final sous 1 mois.
- Responsabilité de la direction : les organes de direction doivent approuver les mesures de gestion des risques et suivre une formation — ils peuvent être tenus personnellement responsables en cas de manquement grave.
- Enregistrement auprès de l’autorité nationale compétente pour les entités concernées.
Sanctions
Section intitulée « Sanctions »Jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires mondial annuel pour les entités essentielles (7M€ / 1,4% pour les entités importantes) — avec, comme le RGPD, un mécanisme de contrôle et d’audit par les autorités nationales, pas une simple déclaration sur l’honneur.
Transposition en droit français
Section intitulée « Transposition en droit français »NIS2 est une directive, donc transposée en droit national (contrairement à un règlement comme le RGPD, directement applicable). En France, elle s’appuie sur l’ANSSI comme autorité compétente, dans la continuité de son rôle déjà établi pour les Opérateurs d’Importance Vitale (OIV) et Opérateurs de Services Essentiels (OSE) sous NIS1.