La nouvelle directive NIS2 sur la cybersécurité : par où commencer

Qu'est-ce que la directive NIS2 ?

En 2016, l'Union européenne a introduit la directive sur la sécurité des réseaux et des systèmes d'information (directive NIS). Cette première directive NIS (NIS1) impose des exigences strictes en matière de cybersécurité aux entreprises considérées comme essentielles, telles que les entreprises du secteur de l'eau, de l'énergie et des télécommunications. Après évaluation de la directive NIS1 par la Commission européenne, il a été constaté que son champ d'application était trop limité et qu'il y avait des incohérences entre les États membres, ce qui nuisait à son efficacité. C’est ainsi qu’est née la nouvelle directive NIS à savoir NIS2. L'introduction de NIS2 élargit le champ d'application.

Pourquoi la directive NIS2 est-elle importante ?

Nos secteurs les plus essentiels, tels que les transports, l'énergie, la santé et la finance, sont de plus en plus dépendants des technologies numériques pour mener à bien leurs activités principales, et sont donc de plus en plus vulnérables aux cybermenaces. Les incidents de cybersécurité s’aggravent, se complexifient et ont souvent de graves répercussions économiques et sociales. La directive NIS2 en tient compte et insiste sur la nécessité de prendre des mesures efficaces pour protéger les réseaux et les systèmes d'information. Ces mesures visent à réduire la vulnérabilité de votre organisation et à accroître sa résilience face aux cyberattaques.

Quelles sont les nouveautés de NIS2 ?

Quelques observations clés :

• Davantage d'organisations, y compris des PME dans certains secteurs, seront tenues de mettre en œuvre des mesures de sécurité ;

• Des exigences plus importantes sont imposées autour de* :

1. La gestion des risques

2. La gestion des incidents (prévention, détection et réponse) et rapports d'incidents

3. La continuité des activités et la gestion des crises

4. La sécurité de la chaîne d'approvisionnement (en insistant sur les relations avec les fournisseurs)

5. Davantage de transparence dans la divulgation et la gestion des vulnérabilités

6. La coopération entre les États membres ;

• NIS2 classe les organisations en fonction de leur importance et les divise en entités essentielles et importantes ;

• NIS2 n'exige plus des organisations qu'elles fassent l'objet d'un audit externe ou qu'elles obtiennent la certification ISO27001. Toutefois, les organisations devront - comme pour la législation RGPD - être en mesure de démontrer à tout moment aux autorités nationales qu'elles respectent la réglementation NIS2. Les autorités nationales auront également la compétence pour prendre des mesures et inciter les organisations à se mettre en conformité. Outre les mesures administratives, des amendes pourront également être imposées (voir ci-dessous).

*Dans une publication ultérieure, nous examinerons plus en détail les exigences dans les domaines énumérés.

La directive NIS2 s'applique-t-elle à mon organisation ?

Comme indiqué précédemment, la transposition de la directive NIS2 en droit belge n’a pas encore eu lieu et elle peut s’écarter de la directive européenne. Précisons par conséquent, les informations ci-dessous sont basées sur la directive NIS2 existante.

La directive NIS2 vise les secteurs déjà couverts par la première directive NIS ainsi que certains nouveaux secteurs. Il est important de noter que les organisations peuvent automatiquement être couvertes par la directive NIS2 si elles opèrent dans l'un des secteurs énumérés ci-dessous et sont caractérisées comme une entité "essentielle" ou "importante" selon les critères :

Entités essentielles

Les entités essentielles selon NIS2 sont de grandes organisations opérant dans un secteur énuméré à l'annexe I de la directive NIS2. Les grandes organisations sont celles qui ont (1) au moins 250 salariés ou (2) un chiffre d'affaires annuel d'au moins 50 millions d'euros ou (3) un total de bilan annuel d'au moins 43 millions d'euros.

Entités importantes

Les entités importantes selon NIS2 sont des organisations de taille moyenne opérant dans un secteur de l'annexe I et des organisations de taille moyenne et grande opérant dans un secteur de l'annexe II. Les organisations moyennes sont celles qui comptent (1) au moins 50 salariés ou (2) un chiffre d'affaires annuel (ou un total de bilan) d'au moins 10 millions d'euros.

Exceptions

Toutefois, il existe des exceptions. D’une part, certaines petites entreprises peuvent être considérées comme importantes même si elles ne remplissent pas certaines conditions de taille. D’autre part, certaines entités peuvent être explicitement exclues de NIS2 par les États membres.

NIS2 peut désigner certaines organisations comme essentielles ou importantes, avec les mêmes exigences en matière de gestion de la cybersécurité et de notification. La principale différence entre les deux est le niveau de contrôle de la conformité. Ainsi, les entités essentielles sont soumises à un régime de surveillance plus intense et à des sanctions plus strictes.

Des sanctions peuvent-elles être imposées ?

Les États membres doivent veiller efficacement à ce que les entités relevant du champ d'application NIS2 prennent les mesures nécessaires et signalent les incidents. À cette fin, ils peuvent, par exemple, effectuer des audits externes réguliers, des inspections ou demander certains documents. Les organisations qui ne se conforment pas aux exigences NIS2 peuvent faire l'objet de diverses sanctions, notamment des amendes ou des sanctions administratives d'un montant maximal de 10 millions d'euros pour les entités dites essentielles (2 % du chiffre d'affaires mondial) et de 7 millions d'euros pour les entités importantes (1,4 % du chiffre d'affaires mondial). Les membres du conseil d'administration peuvent être tenus personnellement responsables de la non-conformité (article 32, paragraphe 6).

Quelle aide peut vous fournir Vandelanotte ?

• Vous ne savez pas si et dans quelle mesure vous devez vous conformer au NIS2 ?

• Vous souhaitez en savoir plus sur les mesures concrètes qu’il vous reste à appliquer pour être conforme au NIS2 ?

• Vous avez des doutes sur l'approche à adopter ?

Nos experts vous conseillent et, si vous le souhaitez, vous aident à mettre en œuvre les mesures de sécurité nécessaires pour être conforme au NIS.

Vous souhaitez en savoir plus sur la conformité de votre organisation en matière de cybersécurité ? Contactez Gorik.vandenbergh@vdl.be ou cyber@vdl.be.