NIS2 : Comprendre la nouvelle réglementation européenne de cybersécurité  

La directive NIS 2 représente un tournant majeur dans la cybersécurité européenne. Adoptée en 2022 et en cours de transposition en France, elle concerne près de 50 000 organisations à travers l'Europe. Loin de se cantonner uniquement aux sujets informatiques et techniques, elle implique dorénavant autant les dirigeants, DSI, RSSI, Gestionnaires des achats et autres Responsables RH. Il est alors essentiel de comprendre ce que cette directive implique concrètement pour votre organisation.  

Malgré un retard certain de sa transposition dans le droit français, le texte est aujourd’hui entre les mains de l’Assemblée Nationale, après approbation du Sénat l’année passée. Alors oui, nous n’avons jamais été aussi proche de sa mise en application !  

Qu'est-ce que NIS2 ?  

NIS 2 est la deuxième version de la directive européenne sur la sécurité des réseaux et des systèmes d'information (Network and Information Security).

Son objectif ? Élever le niveau de protection contre les cybermenaces à l'échelle européenne.  

Contrairement à sa version précédente qui ne concernait qu'un nombre limité d'acteurs stratégiques, NIS 2 opère un véritable changement d'échelle. La directive part d'un constat simple : dans notre monde numérique et interconnecté, même une entreprise qui se pense à l’abri des menaces cyber peut, par sa position dans une chaîne de valeur, avoir un impact sur des services critiques. Le risque cyber est devenu systémique.  

Qui est concerné par NIS2 ?  

La première question à se poser est : « Mon organisation est-elle concernée ? » .

La réponse dépend de deux critères principaux :  

• Le secteur d'activité : énergie, transports, santé, finance, administration publique, numérique, alimentation, eau, mais aussi fabrication de produits chimiques, électroniques, véhicules, etc.  

• La taille de l'entreprise : généralement, les entreprises de plus de 50 salariés ou réalisant plus de 10 millions d'euros de chiffre d'affaires  

Pour savoir si vous êtes concerné :  

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) met à disposition un simulateur en ligne qui permet de vérifier rapidement son éligibilité :   

https://monespacenis2.cyber.gouv.fr/simulateur

🥷 Attention aux situations complexes : si votre organisation fait partie d'un groupe, compte plusieurs entités juridiques ou exerce plusieurs activités, l'analyse peut être plus délicate. Un principe clé s'applique : chaque entité juridique doit être évaluée indépendamment. Vous pourriez donc avoir des filiales concernées et d'autres non au sein d'un même groupe

Qu'est-ce qui change concrètement pour mon entreprise ?  

Si votre organisation est concernée par NIS 2, plusieurs changements majeurs vous attendent. La directive n'est pas une simple formalité administrative : elle impose des mesures concrètes qui vont impacter votre organisation à différents niveaux.  

1. Une responsabilité au plus haut niveau  

La directive est claire : le dirigeant est directement responsable de la mise en conformité. Ce n'est plus seulement une affaire de direction informatique ou de responsable sécurité. La direction générale doit s'impliquer, valider les mesures de sécurité et s'assurer de leur application effective.  

2. Des obligations de sécurité renforcées  

NIS 2 définit environ 20 objectifs clés de cybersécurité, qui couvrent l'ensemble de votre organisation :  

• Gouvernance : mise en place de politiques de sécurité claires et approuvées par la direction  

• Gestion des risques : identification et évaluation régulière des risques cyber pesant sur votre activité  

• Sécurité technique : protection des systèmes, chiffrement, contrôle des accès, surveillance des réseaux  

• Gestion des incidents : capacité à détecter, réagir et notifier les incidents de sécurité aux autorités  

• Formation : sensibilisation et formation régulière des collaborateurs aux risques cyber  

• Chaîne d'approvisionnement : sécurisation des relations avec vos fournisseurs et prestataires  

Continuité d'activité : plans de reprise et de maintien de l'activité en cas d'incident majeur  

🥷 Point important : NIS 2 ne vous impose pas de solutions techniques précises. La directive fixe des objectifs à atteindre, mais vous laisse le choix des moyens adaptés à votre contexte et à votre taille.  

3. Une obligation de notification des incidents  

En cas d'incident de sécurité significatif, vous devrez le signaler à l'ANSSI dans des délais stricts. Cette obligation de transparence vise à permettre une réponse coordonnée aux cyberattaques à l'échelle européenne.  

Les principaux chantiers à prévoir pour une mise en conformité à NIS2

Se mettre en conformité avec NIS 2 demande une approche structurée.

Voici les étapes clés :

 Étape 1 : Cartographier votre périmètre  

Avant toute chose, vous devez identifier précisément ce qui est concerné :  

• Quelles sont vos activités couvertes par NIS 2 ?  

• Quels systèmes informatiques permettent de réaliser ces activités ?  

• Quels sont vos actifs critiques (données, applications, infrastructures) ?  

Cette cartographie est essentielle : elle vous permettra de prioriser vos efforts et d'allouer vos ressources là où elles sont le plus nécessaires.  

Étape 2 : Réaliser un diagnostic de votre situation actuelle  

Une fois votre périmètre identifié, évaluez où vous en êtes par rapport aux exigences de NIS 2. Quelles mesures de sécurité sont déjà en place ? Quels sont les écarts à combler ? Cette phase de diagnostic vous donnera une vision claire du chemin à parcourir.  

Étape 3 : Définir votre plan d'action  

Sur la base du diagnostic, construisez une feuille de route réaliste qui tient compte de vos contraintes (budget, ressources humaines, calendrier). Priorisez les actions selon leur criticité et leur complexité.  

Étape 4 : Mettre en place une gouvernance adaptée  

NIS 2 ne doit pas être traité comme un projet isolé. Intégrez-le à votre gouvernance des risques existante. Identifiez un sponsor au niveau de la direction, mettez en place un pilotage transverse (informatique, sécurité, juridique, métiers) et assurez-vous que les responsabilités sont clairement définies.  

Par où commencer ? Les priorités à retenir  

Tous les SOC ne font pas la même chose une fois une alerte détectée. 

Face à l'ampleur du chantier, il est normal de se sentir un peu dépassé. Voici quatre conseils pour aborder sereinement votre mise en conformité :  

1. Anticipez dès maintenant  

La transposition française de NIS 2 est en cours, mais n'attendez pas la dernière minute. Plus vous commencez tôt, plus vous aurez de temps pour déployer les mesures nécessaires sans précipitation. Prenez le temps de comprendre ce qui est attendu dans votre contexte spécifique.  

2. Priorisez intelligemment  

Commencez par réaliser un auto-diagnostic honnête et collecter dès maintenent un maximum de preuves pour appuyer vos constats. Sur quels sujets êtes-vous déjà en conformité ou proche de l'être ? Où se situent vos principales faiblesses ? Cette analyse vous aidera à concentrer vos efforts là où ils auront le plus d'impact.  

3. Capitalisez sur l'existant  

Bonne nouvelle : si vous avez déjà mis en place des standards de sécurité (ISO 27001, NIST, etc.), vous n'avez pas à tout recommencer de zéro. De nombreuses exigences de NIS 2 recoupent ces référentiels existants.  

L'Agence européenne pour la cybersécurité (ENISA) a publié un guide technique très utile :  

https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance

Ce document vous aidera à faire le lien entre vos pratiques actuelles et les exigences de NIS 2, à éviter les doublons et à identifier les véritables écarts à combler.  

4. Faites-en un projet d'entreprise  

Le succès de votre mise en conformité dépendra largement de votre capacité à mobiliser l'ensemble de votre organisation. NIS 2 ne concerne pas seulement le service informatique : c'est un enjeu stratégique pour toute l'entreprise. Communiquez sur les enjeux, expliquez les bénéfices (au-delà de la simple conformité), et impliquez tous les métiers concernés.  

NIS2 : Plus qu’une obligation, une opportunité de renforcer sa résilience  

Au-delà de l'obligation réglementaire, NIS 2 doit être vue comme une opportunité de renforcer durablement la sécurité et la résilience de votre organisation. Dans un contexte où les cybermenaces ne cessent de croître, investir dans la cybersécurité n'est plus une option mais une nécessité.  

La mise en conformité peut sembler complexe, mais en l'abordant de manière méthodique, en capitalisant sur l'existant et en vous faisant accompagner si nécessaire, vous transformerez cette contrainte réglementaire en véritable levier de performance et de protection pour votre entreprise.  

AISI au côté de ses clients pour les soutenir dans leur démarche de mise en conformité  

Au-delà de l'obligation réglementaire, NIS 2 doit être vue comme une opportunité de renforcer durablement la sécurité et la résilience de votre organisation. Dans un contexte où les cybermenaces ne cessent de croître, investir dans la cybersécurité n'est plus une option mais une nécessité.  Le Département Sécurité de l’Information de AISI accompagne ses clients depuis de nombreuses années pour renforcer leurs pratiques en Gouvernance, Gestion des Risques et Conformaité (GRC). Face aux difficultés que peuvent rencontrer les PME/ETI et collectivités, la séniorité de nos équipes fait souvent la différence.  

Notre expertise au service de votre conformité  

Spécialisés dans l'accompagnement à la mise en conformité aux exigences obligatoires en sécurité de l'information, nous avons adopteé une approche qui se distingue par :  

• Une forte expertise : nos équipes sont des RSSI aux parcours solides, qui aiment partager leur vécu et leurs retours d’expérience. Bénéficier de la richesse de leurs compétences  

• Une approche pragmatique : nous adaptons nos recommandations à votre contexte, vos contraintes et vos ressources. Pas de solution rigide, mais un accompagnement adaptatif  

• Un transfert de compétences : au-delà de la conformité, nous renforçons l'autonomie de vos équipes pour qu'elles puissent maintenir et faire évoluer votre dispositif de sécurité  

Une approche globale : nous intégrons NIS 2 dans votre stratégie cyber globale et créons des synergies avec vos autres démarches de conformité (ISO 27001, DORA, etc.).  

🥷🏻 Vous souhaitez échanger sur votre projet NIS 2 ?  
Que vous soyez en phase de questionnement, de diagnostic ou déjà engagé dans votre démarche de conformité, nos experts sont à votre disposition pour échanger sur vos enjeux et vous présenter notre approche. Contactez-nous pour un premier échange sans engagement.