NIS2 est la deuxième directive de l'Union européenne sur la sécurité des réseaux et des systèmes d'information. Elle a remplacé la directive NIS d'origine, élargi l'éventail des secteurs couverts et confié aux régulateurs nationaux la responsabilité de la faire appliquer. Les États membres devaient la transposer en droit national avant le 17 octobre 2024 ; plusieurs ont manqué cette échéance, ce qui explique que le tableau reste inégal selon le pays où vous opérez.
La question à laquelle la plupart des entreprises ont vraiment besoin de répondre est plus étroite que la directive : est-ce que cela s'applique à nous, et si oui, qu'est-ce que cela exige.
Le test en deux parties
Le champ d'application se décide par le secteur et par la taille, et il faut satisfaire aux deux.
Le secteur. La directive liste les secteurs dans deux annexes. L'annexe I couvre ce qu'elle appelle les secteurs hautement critiques : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique et espace. L'annexe II couvre les autres secteurs critiques : services postaux et de courrier, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution alimentaires, fabrication de certains produits dont les dispositifs médicaux, les ordinateurs, l'électronique, les machines et les véhicules, les fournisseurs numériques tels que les places de marché en ligne, les moteurs de recherche et les plateformes sociales, et les organismes de recherche.
Cette liste est plus large que ce à quoi les gens s'attendent. « Infrastructures numériques » et « gestion des services TIC » englobent les fournisseurs cloud, les centres de données, les réseaux de diffusion de contenu, les prestataires de services managés et les prestataires de services de sécurité managés. Un éditeur SaaS B2B qui ne se décrirait jamais comme une infrastructure critique peut très bien être un gestionnaire de services TIC au sens de la directive.
La taille. La règle générale est le seuil des entreprises moyennes : 50 salariés ou plus, ou un chiffre d'affaires annuel et un total de bilan supérieurs à 10 millions d'euros. Au-dessus, les entités des secteurs de l'annexe I sont essentielles ; celles des secteurs de l'annexe II sont importantes. La distinction joue sur la supervision plutôt que sur les obligations : les entités essentielles font l'objet d'une supervision proactive, les entités importantes sont supervisées a posteriori.
La taille n'est pas une échappatoire. La directive nomme des cas où une entité est concernée quel que soit son effectif, dont les fournisseurs uniques d'un service critique dans un État membre, les fournisseurs de réseaux publics de communications électroniques, les prestataires de services de confiance et les registres de noms de domaine de premier niveau. Les États membres peuvent aussi désigner des entités individuellement.
La partie qui rattrape les entreprises hors champ
NIS2 oblige les entités à gérer les risques de leur chaîne d'approvisionnement. Votre client, s'il est concerné, doit évaluer la sécurité de ses fournisseurs, et cette obligation vous retombe dessus sous forme d'exigence contractuelle, que la directive nomme votre secteur ou non.
En pratique, cela arrive sous forme de questionnaire, de clauses lors d'un renouvellement ou de demande de preuves de vos pratiques de sécurité. Les entreprises qui ont conclu qu'elles étaient hors champ se retrouvent fréquemment à répondre à des questions aux allures de NIS2 de la part de clients qui, eux, sont concernés. Savoir bien y répondre est un avantage commercial avant d'être une affaire de conformité.
Ce qu'elle exige
L'article 21 fixe les mesures minimales, et la liste ne surprend personne ayant travaillé avec un référentiel établi : analyse des risques et politiques de sécurité des systèmes d'information, gestion des incidents, continuité d'activité et gestion de crise, sécurité de la chaîne d'approvisionnement, sécurité dans l'acquisition et le développement, politiques d'évaluation de l'efficacité des mesures, hygiène cyber de base et formation, cryptographie, sécurité des ressources humaines et contrôle d'accès, et authentification multifacteur.
Deux obligations méritent d'être isolées parce qu'elles portent des délais et des conséquences personnelles.
La notification des incidents. Un incident important exige une alerte précoce au CSIRT national ou à l'autorité compétente sous 24 heures, une notification sous 72 heures et un rapport final dans le mois. Vingt-quatre heures, c'est assez court pour devoir être répété. Si personne ne sait qui prend la décision à 2 h du matin un dimanche, le délai est déjà manqué.
La responsabilité de la direction. Les organes de direction doivent approuver les mesures de gestion des risques et en superviser la mise en œuvre, et peuvent être tenus responsables des manquements. Leurs membres doivent suivre une formation. C'est la disposition qui fait passer NIS2 d'un sujet d'équipe sécurité à un sujet de conseil d'administration.
Déterminer où vous en êtes
Commencez par écrire lesquelles de vos activités correspondent à un secteur de l'annexe I ou II, et vérifiez votre effectif et vos chiffres financiers face au seuil. Si la réponse est limite, considérez-vous comme concerné ; le coût de se préparer et de se tromper est bien inférieur à l'inverse.
Si vous êtes concerné, enregistrez-vous auprès de l'autorité compétente de votre État membre ; les exigences et délais d'enregistrement varient selon le pays, conséquence pratique d'une transposition inégale.
Si vous n'êtes pas concerné, déterminez lesquels de vos clients le sont, car leurs obligations de chaîne d'approvisionnement vous atteindront.
Les certifications existantes aident mais ne tranchent pas. Un certificat ISO 27001 couvre une grande part de l'article 21, et mettre vos mesures existantes en correspondance avec l'article est un premier exercice raisonnable. Il ne couvre ni les délais de notification ni les dispositions sur la responsabilité de la direction, et la conformité NIS2 n'est pas quelque chose qu'un certificat démontre à lui seul.