Voici un aperçu des pouvoirs de supervision accordés aux autorités nationales compétentes en vertu de la directive NIS2.

Directive NIS2 : Supervision par les autorités nationales

La directive NIS2 confère aux autorités nationales compétentes une série de pouvoirs de supervision afin de garantir que les entités essentielles et importantes respectent les exigences en matière de gestion des risques cybernétiques et de signalement des incidents. Ces pouvoirs sont conçus pour faciliter une activité de surveillance efficace et promouvoir un niveau homogène de cybersécurité dans toute l’UE. Pour les organisations qui entrent dans le périmètre de la directive, comprendre ces mécanismes est la première étape pour structurer un parcours de mise en conformité NIS2 adéquat.

[Callforaction-NIS2]

Principaux pouvoirs de supervision selon la directive NIS2

• Mesures de supervision préventive pour les entités essentielles : La directive prévoit un régime de supervision plus rigoureux pour les entités essentielles, imposant aux autorités compétentes de surveiller activement leur conformité aux exigences de cybersécurité.
  • Audits réguliers et ciblés : Les autorités compétentes peuvent effectuer des audits réguliers pour évaluer le niveau général de cybersécurité des entités essentielles. Elles peuvent réaliser des audits ciblés sur des domaines spécifiques suscitant des préoccupations.
  • Inspections sur place et à distance : Pour vérifier la conformité et recueillir des preuves, les autorités compétentes peuvent mener des inspections sur place dans les locaux de l’entité et effectuer des inspections à distance en demandant de la documentation ou l’accès aux systèmes.
• Mesures de supervision a posteriori pour les entités importantes : Pour les entités importantes, la directive adopte une approche plus réactive. Elle se concentre sur des mesures de supervision a posteriori déclenchées par des preuves ou des indices de non-conformité.
  • Enquêtes : Si une entité importante pourrait ne pas respecter la directive NIS2, les autorités peuvent lancer des enquêtes pour vérifier la non-conformité.
  • Audits de sécurité ciblés : Les autorités peuvent exiger des audits menés par des experts indépendants pour évaluer les mesures de sécurité et identifier les vulnérabilités.
  • Scans de sécurité : Les autorités peuvent effectuer des scans sur les systèmes de l’entité, en utilisant des critères d’évaluation objectifs et transparents, en collaboration avec l’entité pour réduire l’impact opérationnel.

Pouvoirs de demande d’informations et d’accès

• Demandes d’informations : Les autorités compétentes peuvent demander aux entités essentielles et importantes de fournir les informations nécessaires pour évaluer leurs pratiques, notamment :
  • Les politiques de cybersécurité documentées.
  • Les preuves de conformité aux obligations de signalement des incidents.
  • Les résultats des audits de sécurité effectués par des auditeurs qualifiés.
• Accès aux données, documents et systèmes : Pour mener leurs activités de supervision, les autorités compétentes ont le pouvoir de demander l’accès aux données, documents et autres informations pertinentes pour leur évaluation. Cela inclut :
  • Les journaux (logs) de sécurité et les rapports d’incidents.
  • Les évaluations des vulnérabilités et les résultats des tests d’intrusion.
  • Les preuves des programmes de formation en cybersécurité.

Différenciation des régimes de supervision selon la directive NIS2

• Entités essentielles : La directive établit un régime de supervision plus large et proactif pour les entités essentielles.
• Entités importantes : Le régime de supervision pour les entités importantes est plus ciblé et réactif, se basant principalement sur des mesures a posteriori déclenchées par des preuves ou des indications de non-conformité.

Collaboration et partage d’informations

• Coopération avec les autorités de protection des données : Si un incident de sécurité concerne des données personnelles, les autorités compétentes doivent collaborer avec celles chargées de la protection des données pour une réponse coordonnée.
• Partage d’informations : La directive favorise l’échange de données entre les autorités nationales et transfrontalières sur les incidents, les menaces et les meilleures pratiques de cybersécurité.

En général, la directive NIS2 confère aux autorités nationales compétentes un ensemble complet de pouvoirs de supervision pour veiller à la mise en œuvre des exigences de cybersécurité par les entités essentielles et importantes. Pour approfondir le cadre réglementaire de référence, le document officiel de la directive NIS2 est disponible. Grâce à ces pouvoirs, les autorités compétentes peuvent contribuer à un niveau plus élevé de cybersécurité dans toute l’UE.

Questions fréquentes sur les pouvoirs de supervision NIS2

• Quelle est la différence pratique entre la supervision des entités essentielles et celle des entités importantes ?
• Pour les entités essentielles, le régime est proactif : les autorités effectuent des audits et des inspections réguliers même en l’absence de signes de non-conformité. Pour les entités importantes, l’approche est réactive : les contrôles se déclenchent principalement lorsque des preuves ou des indices de violation des exigences NIS2 apparaissent.
• Que peut demander une autorité compétente lors d’une inspection NIS2 ?
• Les autorités peuvent demander des politiques de sécurité documentées, des journaux système, des rapports d’incidents, des résultats d’audits et de tests d’intrusion, ainsi que des preuves des programmes de formation du personnel. Elles peuvent également mener des inspections physiques sur place ou accéder aux systèmes à distance.
• Comment une organisation peut-elle se préparer aux audits prévus par la NIS2 ?
• Il est utile de maintenir une documentation à jour sur les mesures de sécurité adoptées, de conserver les journaux d’incidents et les résultats des évaluations de vulnérabilité, et de vérifier que les politiques internes sont alignées sur les exigences de la directive. Une analyse de son propre niveau de conformité, menée avant qu’une inspection n’ait lieu, réduit considérablement le risque de sanctions.

[Callforaction-NIS2-Footer]