Comment préparer l'arrivée de NIS2 ?

NIS2, adoptée par le Parlement européen et le Conseil en décembre 2022, remplace et étend la directive NIS de 2016, avec un périmètre bien plus large : des secteurs jusqu'ici hors champ (santé, gestion des déchets, fabrication, services numériques) y entrent désormais dès qu'une entreprise dépasse certains seuils de taille. En France, l'ANSSI estime qu'environ 15 000 entités seront concernées, contre environ 500 sous l'ancien régime NIS1 — une multiplication par trente du périmètre. Le texte devait être transposé en droit national au plus tard le 17 octobre 2024 ; la France, comme plusieurs autres États membres, a manqué cette échéance, ce qui a conduit la Commission européenne à ouvrir une procédure d'infraction fin novembre 2024. Cela ne dispense en rien les organisations concernées de se préparer : le calendrier de transposition nationale ne change pas le niveau de risque cyber auquel elles sont exposées.

Le texte impose des obligations de gouvernance (implication de la direction dans la gestion des risques cyber, avec une responsabilité personnelle des dirigeants), de gestion des risques (mesures techniques et organisationnelles proportionnées), de gestion des incidents (notification sous 24 heures pour les incidents significatifs) et de continuité d'activité.

Entité essentielle ou importante : une distinction qui change tout

NIS2 distingue deux catégories d'organisations, avec des obligations similaires mais un régime de contrôle et de sanction différent. Les entités essentielles (EE) — grandes entreprises de secteurs hautement critiques comme l'énergie, la santé ou les transports — sont soumises à une supervision proactive de l'ANSSI. Les entités importantes (EI), qui couvrent un périmètre sectoriel plus large, font l'objet d'une supervision réactive, déclenchée après un incident ou un signalement.

Les dix domaines de mesures minimales

• Analyse des risques et politique de sécurité des systèmes d'information.
• Gestion des incidents (prévention, détection, réponse).
• Continuité d'activité et gestion de crise, y compris la gestion des sauvegardes.
• Sécurité de la chaîne d'approvisionnement, incluant les relations avec chaque fournisseur direct.
• Sécurité de l'acquisition, du développement et de la maintenance des systèmes, y compris la gestion des vulnérabilités.
• Politiques et procédures pour évaluer l'efficacité des mesures de gestion des risques.
• Pratiques de base en matière d'hygiène informatique et formation à la cybersécurité.
• Politiques et procédures relatives à l'usage de la cryptographie et, le cas échéant, du chiffrement.
• Sécurité des ressources humaines, politique de contrôle d'accès et gestion des actifs.
• Usage de solutions d'authentification à plusieurs facteurs ou continue, de communications sécurisées et de communications d'urgence sécurisées.

Les étapes pour évaluer sa préparation

1. Déterminer si l'organisation entre dans le périmètre NIS2, et si oui, en tant qu'entité essentielle ou importante.
2. Identifier l'autorité compétente et les obligations déclaratives associées (l'ANSSI en France).
3. Cartographier l'écart entre les pratiques actuelles et les dix domaines de mesures minimales.
4. Prioriser les actions correctives selon le risque et la faisabilité, en commençant par la gestion des incidents et l'authentification renforcée.
5. Formaliser la gouvernance : qui, au sein de la direction, porte la responsabilité de la conformité NIS2.
6. Documenter la démarche pour être en mesure de répondre à un contrôle, même en l'absence de doctrine de contrôle totalement stabilisée.

Pour évaluer sa préparation, une organisation doit d'abord déterminer si elle entre dans le périmètre, entité essentielle ou importante, une qualification que l'ANSSI, autorité compétente en France, précise à mesure que les textes d'application se stabilisent. L'articulation avec d'autres démarches existantes compte aussi : une entreprise déjà certifiée ISO 27001 ou ayant formalisé une PSSI dispose d'une base de travail solide, la plupart des dix domaines minimaux de NIS2 recoupant des contrôles déjà couverts par ces référentiels.

Erreurs fréquentes à éviter

• Attendre la transposition définitive en droit français pour commencer à agir, alors que le niveau de risque cyber, lui, n'attend pas.
• Sous-estimer le critère de taille : de nombreuses PME sous-traitantes d'une entité essentielle ou importante seront concernées indirectement via les exigences de sécurité de la chaîne d'approvisionnement.
• Traiter NIS2 comme un sujet purement technique alors que la responsabilité personnelle des dirigeants en fait avant tout un sujet de gouvernance.
• Repartir de zéro plutôt que de s'appuyer sur les démarches ISO 27001 ou PSSI déjà engagées.

Contrairement à ISO 27001, NIS2 est une obligation légale et non une certification volontaire. Le régime de sanctions, comme le périmètre exact des entités concernées, reste toutefois encore en cours de clarification dans plusieurs pays : mieux vaut mesurer dès maintenant l'écart avec ces exigences plutôt que d'attendre une doctrine de contrôle stabilisée pour s'y intéresser.