NIS2 - « Network and Information Security »

La directive sur les réseaux et les systèmes d'information (NIS2 - Network and Information Security 2 en anglais), parue au Journal Officiel de l’Union européenne le 27 décembre 2022 doit être transposée dans la législation nationale de chaque État membre de l'UE au plus tard le 17 octobre 2024. Elle vise à renforcer le niveau de cybersécurité au sein de l'Union européenne en introduisant de nouvelles exigences pour les organisations opérant dans divers secteurs. Succédant et remplaçant la directive NIS1 (Network and Information System Security 1), chaque État membre de l'UE devra établir des autorités locales de surveillance et d'exécution.

En prévision de son entrée en vigueur, les organisations concernées doivent évaluer le niveau de conformité avec la directive NIS2 et prendre les mesures correctives nécessaires pour remédier aux éventuels écarts. Le non-respect des exigences NIS2 peut entraîner des amendes administratives pouvant aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel global pour les secteurs importants, ainsi qu'une suspension potentielle de l'équipe dirigeante de l'organisation.

La directive NIS2 établit une orientation générale pour les exigences de gestion des risques liés à la cybersécurité, avec des détails plus spécifiques en cours d'élaboration. Cependant, les efforts substantiels pour satisfaire aux exigences de la directive NIS2 se concentreront principalement sur les domaines suivants :

• Évaluation des risques et politiques de sécurité.
• Traitement des incidents.
• Continuité des activités, reprise après sinistre et gestion de crise.
• Sécurité de la chaîne d'approvisionnement.
• Sécurité dans le développement et la maintenance des systèmes.
• Politiques et procédures d'évaluation de la sécurité.
• Cyber-hygiène, formation et sensibilisation (du conseil).
• Politiques et procédures en matière de cryptographie.
• Sécurité des ressources humaines, contrôle d'accès et gestion des actifs.
• Obligations en matière de rapports.

Une des nouvelles exigences concerne l'implication du conseil d'administration dans la supervision, l'approbation et le contrôle des mesures de gestion des risques liés à la cybersécurité. Le conseil d'administration doit recevoir une formation en cybersécurité et peut être tenu personnellement responsable si l'organisation ne respecte pas les exigences de la directive NIS2.

Une exigence majeure du NIS2 concerne la notification des incidents importants de cybersécurité. Les délais de notification sont contraignants, exigeant que les autorités de surveillance soient informées dans les 24 heures suivant la prise de connaissance d'un incident important. Un rapport d'incident doit être fourni dans les 72 heures, suivi d'un rapport final un mois plus tard. De plus, les clients doivent être informés et recevoir des conseils sur la protection contre les menaces liées à l'incident.