La directive NIS 2 (directive sur la sécurité des réseaux et des systèmes d'information) constitue une étape importante pour renforcer la cybersécurité au sein de l'Union européenne (UE). Nous souhaitons vous présenter les répercussions considérables de la directive NIS 2 sur les entreprises et les organismes publics dans toute l'UE.
Contexte et objectifs de la directive NIS-2
La directive NIS initiale a été adoptée en 2016 et constituait le premier cadre juridique européen en matière de cybersécurité. Elle obligeait les États membres à mettre en place des stratégies nationales de cybersécurité et fixait des exigences à l'intention des opérateurs de services essentiels et des fournisseurs de services numériques.
La directive NIS 2, publiée au Journal officiel L 333 de l'Union européenne le 27 décembre 2022, actualise et élargit considérablement le cadre existant. Son objectif principal est de répondre à la complexité et à l'interconnexion croissantes des systèmes numériques, ainsi qu’à la multiplication des cybermenaces. Elle vise ainsi à améliorer la résilience des infrastructures critiques et à garantir un niveau élevé et commun de sécurité au sein de l’UE.
Voici les principales nouveautés de la directive NIS-2
- Champ d'application élargi
La directive NIS 2 couvre un éventail plus large de secteurs et d'entreprises. Outre les domaines déjà visés par la directive NIS (par exemple, l'énergie, les transports, la santé, le secteur financier), d'autres secteurs sont désormais inclus, tels que l'administration publique, l'aérospatiale, l'approvisionnement alimentaire et les infrastructures numériques. - Des exigences de sécurité plus strictes
Les exigences en matière de sécurité des systèmes d'information et des réseaux ont été considérablement renforcées. Les entreprises sont désormais tenues de mettre en place des mesures plus complètes pour se protéger contre les cyberattaques et d'en vérifier régulièrement l'efficacité. - étendu Obligations de déclaration
La directive renforce les obligations de déclaration en cas d'incidents de sécurité. Les entreprises sont tenues de signaler les incidents majeurs aux autorités compétentes dans un délai de 24 heures et de fournir des informations plus détaillées dans un délai de 72 heures. - Responsabilité civile et sanctions
La directive NIS 2 instaure des règles de responsabilité et des sanctions plus strictes. Les entreprises qui ne respectent pas leurs obligations s'exposent à de lourdes amendes et à d'autres conséquences juridiques. - Amélioration de la coopération et de la coordination
La directive encourage une coopération plus étroite entre les États membres de l'UE, notamment par la création d'un Centre européen de cybersécurité. Ce centre a pour mission d'améliorer la coordination et l'échange d'informations entre les autorités nationales et de soutenir la réponse commune aux cybermenaces transfrontalières.
Les défis de la mise en œuvre de la directive NIS-2
La mise en œuvre de la directive NIS 2 pose des défis considérables aux États membres et aux entreprises. Parmi ceux-ci, on peut citer :
- Adaptations juridiques : Chaque pays de l'UE doit adapter ses lois et réglementations nationales aux nouvelles exigences. Cela nécessite une étroite collaboration entre les législateurs nationaux et les institutions européennes.
- l'investissement en ressources : Le respect des nouvelles exigences de sécurité nécessite des investissements considérables en matière de technologies, de personnel et de formation. Les petites et moyennes entreprises (PME), en particulier, pourraient avoir des difficultés à mobiliser les ressources nécessaires.
- Le changement culturel : Il est essentiel de mettre en place une culture de la sécurité solide au sein des entreprises. Cela nécessite un changement de mentalité à tous les niveaux de l'organisation et l'instauration de la cybersécurité comme priorité fondamentale de l'entreprise.
État d'avancement de la transposition juridique de la directive NIS-2 dans les pays de l'UE
Au plus tard à compter du 18 octobre 2024, les dispositions de l'UE devront être transposées dans la législation nationale des États membres.
Trois des 27 États membres de l'UE ont déjà procédé à l'adaptation de leur législation et publié les dispositions correspondantes dans leur Journal officiel respectif : la Belgique, la Croatie et la Hongrie.
Des projets ont déjà été présentés en Allemagne, en Finlande, en Italie, en Lettonie, au Luxembourg, aux Pays-Bas, en Autriche, en Pologne, en Slovaquie, en Slovénie, en République tchèque et à Chypre.
Dans les douze autres États membres de l'UE, le calendrier de mise en œuvre n'est pas encore connu. Il faut s'attendre à ce que, dans l'un ou l'autre de ces pays, le délai ne puisse être respecté.
Conseil de lecture : L'importance de la gouvernance pour les entreprises
Ces entreprises et institutions sont concernées par NIS-2
En principe, cette mesure concerne les entreprises comptant au moins 50 salariés et réalisant un chiffre d'affaires annuel d'au moins 10 millions d'euros.
Par ailleurs, la directive NIS 2 s'adresse aux entités et entreprises „ essentielles “ et „ importantes “.
Les infrastructures essentielles („ essential “) comprennent les installations jouant un rôle essentiel pour la collectivité. Leur défaillance aurait des conséquences graves. La directive NIS-2 cite concrètement onze secteurs :
- Énergie (électricité, chauffage urbain, pétrole, gaz naturel, hydrogène)
- Transports (transport aérien, transport ferroviaire, transport maritime, transport routier)
- Secteur bancaire
- Marchés financiers
- Santé (y compris les prestataires de soins de santé, la recherche médicale, l'industrie pharmaceutique, les dispositifs médicaux)
- Eau potable (approvisionnement en eau)
- Eaux usées (évacuation des eaux usées)
- Administrations publiques
- Infrastructure numérique (nœuds Internet, Cloud Fournisseurs d'accès, centres de données, communication électronique)
- Gestion des services TIC (B2B) (Fournisseurs de services gérés, Fournisseurs de services de sécurité gérés)
- Espace
Les sept secteurs suivants font partie des établissements „ importants “ :
- Services postaux et de courrier
- Déchets
- Alimentation
- Produits chimiques
- Services numériques (moteurs de recherche, places de marché en ligne, Cloud-Services, réseaux sociaux Réseaux),
- Industrie (notamment la construction mécanique, la construction automobile et les équipements informatiques)
- Recherche
Si la taille de l'entreprise et son secteur d'activité correspondent aux critères définis, la directive NIS 2 s'applique. Si une entreprise exerce une activité critique et qu'une défaillance de cette activité risque d'avoir des répercussions sur l'ordre public, elle peut également relever de la directive NIS 2, même si elle n'atteint pas le seuil de taille requis.
La directive NIS2 ne s'applique toutefois pas aux entités exerçant des activités dans des domaines tels que la défense, la sécurité nationale, la sécurité publique et la répression. Sont également exclus le système judiciaire, les parlements et les banques centrales.
Conclusion : à partir de l'automne 2024, les entreprises et les organismes publics devront mettre en œuvre rapidement ces nouvelles exigences et se prémunir de manière proactive contre les cyberrisques. C'est la seule façon de garantir un niveau élevé de sécurité et de confiance dans l'infrastructure numérique de l'UE.
German 
English 
Italian 
French