La directive NIS2 vise à renforcer la posture de cybersécurité de l’Union européenne en remédiant aux limites de la législation précédente et en s’adaptant à l’évolution du paysage des menaces. Elle élargit le champ d’application des réglementations sur la cybersécurité, impose des exigences de sécurité et de signalement plus strictes, et renforce les mécanismes de supervision et d’application.

Voici quelques-uns des éléments clés de la directive NIS2 :

1. Élargissement du champ d’application

La directive étend la gamme de secteurs et d’entités soumis aux obligations de cybersécurité. Elle introduit un seuil basé sur la taille, exigeant que toutes les entreprises de taille moyenne et grande dans les secteurs sélectionnés respectent les dispositions de la directive. Cela représente un changement significatif par rapport à la précédente directive NIS, qui se concentrait sur des secteurs critiques spécifiques et laissait aux États membres le soin d’identifier les entités « essentielles ».

• La directive NIS2 identifie deux catégories principales de secteurs : les « secteurs hautement critiques » et les « autres secteurs critiques », énumérés dans les annexes I et II de la directive. L’inclusion de nouveaux secteurs, tels que l’espace, la gestion des déchets et l’alimentation, reflète l’interconnexion croissante et la numérisation des services essentiels, ainsi que le potentiel accru pour les cyberattaques de perturber des fonctions sociales critiques.
• Les États membres conservent une certaine discrétion pour identifier les entités plus petites présentant des profils à haut risque qui devraient relever du champ d’application de la directive NIS2, permettant une mise en œuvre adaptée aux contextes nationaux et aux évaluations des risques spécifiques au secteur.

[Callforaction-NIS2]

2. Approche de gestion des risques

La directive promeut un cadre basé sur la gestion des risques plutôt qu’une approche purement axée sur la conformité. Les entités relevant du champ d’application de la directive doivent mettre en œuvre des mesures traitant divers aspects de la cybersécurité, notamment :

• Gestion des incidents
• Sécurité de la chaîne d’approvisionnement
• Gestion et divulgation des vulnérabilités
• Utilisation de la cryptographie et du chiffrement

Pour comprendre comment ces exigences se traduisent en contrôles techniques concrets, il est utile de consulter également les normes de cybersécurité mentionnées par la directive NIS2.

3. Exigences standardisées de sécurité et de signalement

Pour garantir une plus grande cohérence dans la mise en œuvre et réduire la charge pesant sur les entreprises opérant dans plusieurs États membres de l’UE, la directive établit des dispositions plus précises concernant les exigences de sécurité et le signalement des incidents.

• Mesures minimales de cybersécurité : La directive définit une liste de dix éléments clés que toutes les entités couvertes doivent intégrer dans leurs politiques de gestion des risques de cybersécurité. Cela inclut des mesures telles que l’analyse des risques, la planification de la réponse aux incidents, la continuité des activités et la sécurité de la chaîne d’approvisionnement.
• Signalement des incidents : Des orientations plus claires sont fournies sur les processus de signalement des incidents, leur contenu et les délais. La directive exige que les entités envoient une alerte préliminaire au CSIRT ou à l’autorité compétente dans les 24 heures suivant la prise de connaissance d’un incident significatif, suivie d’une notification plus détaillée dans les 72 heures et d’un rapport final dans un délai d’un mois.

4. Supervision et application renforcées

La directive introduit des mesures de supervision plus rigoureuses pour les autorités nationales et établit des exigences d’application plus strictes. Pour les organisations souhaitant évaluer leur niveau de conformité et se préparer aux obligations, le parcours d’adaptation à la NIS2 offre un soutien structuré, de l’analyse des écarts (gap analysis) jusqu’à la mise en œuvre des contrôles requis.

• Mesures de supervision : Les autorités compétentes disposent d’une gamme plus large d’outils pour superviser les entités essentielles et importantes, notamment des audits réguliers et ciblés, des contrôles sur site et à distance, des demandes d’informations et l’accès à la documentation pertinente.
• Sanctions harmonisées : Pour remédier à la réticence antérieure de certains États membres à imposer des sanctions en cas de non-conformité, la directive harmonise le régime de sanctions dans toute l’UE. Elle établit une liste minimale de sanctions administratives, incluant des instructions contraignantes, des audits de sécurité obligatoires et des amendes. La directive différencie les entités essentielles des entités importantes concernant le niveau des amendes administratives en cas d’infraction.
• Responsabilité : La responsabilité en matière de mesures de cybersécurité est renforcée par l’introduction de dispositions sur la responsabilité des individus occupant des postes de haute direction au sein des entités essentielles et importantes.

5. Coopération et partage d’informations améliorés

La directive vise à améliorer la coopération et le partage d’informations entre les États membres, les autorités compétentes et les entités.

• Groupe de coopération : Le rôle du groupe de coopération existant, composé des autorités nationales de cybersécurité, est renforcé pour façonner les décisions politiques stratégiques et coordonner les réponses aux défis de cybersécurité au niveau de l’UE.
• Réseau CSIRT : La directive améliore la coopération opérationnelle au sein du réseau CSIRT existant, en encourageant l’échange rapide et efficace d’informations et de meilleures pratiques entre les CSIRT nationaux pour renforcer les capacités de réponse aux incidents.
• EU-CyCLONe : La directive institue un réseau européen de liaison pour les crises cyber (EU-CyCLONe), chargé de soutenir la gestion coordonnée des incidents et des crises de cybersécurité à grande échelle, garantissant une réponse rapide et unifiée au niveau de l’UE.

6. Divulgation coordonnée des vulnérabilités et base de données UE

Un cadre pour la divulgation coordonnée des vulnérabilités est introduit, visant à créer une approche plus structurée et sécurisée de la gestion des nouvelles vulnérabilités découvertes dans les produits et services TIC. Ce cadre encourage le signalement responsable des vulnérabilités aux fournisseurs et favorise la collaboration entre les chercheurs en sécurité, les fournisseurs et les autorités pour atténuer efficacement les risques.

La directive prévoit également la création d’une base de données des vulnérabilités de l’UE, maintenue par l’ENISA, qui servira de répertoire central pour les vulnérabilités publiquement connues dans les produits et services TIC. Cette base de données sera une ressource précieuse pour les entités afin de rester informées des menaces potentielles, d’appliquer les mises à jour de sécurité nécessaires et d’améliorer leur posture globale de cybersécurité.

En résumé, la directive NIS2 introduit des changements significatifs conçus pour renforcer le cadre de cybersécurité de l’UE. En élargissant son champ d’application, en renforçant les exigences de sécurité et de signalement et en améliorant les mécanismes de supervision et d’application, la directive vise à créer un environnement plus résilient sur le plan cyber pour les services essentiels et les infrastructures critiques dans toute l’Union européenne. Le texte officiel de la directive NIS2 reste la référence réglementaire primaire pour ceux qui doivent vérifier les détails des dispositions.

[Callforaction-NIS2-Footer]