La Directive NIS2 : Un impératif de cybersécurité pour les PME européennes
La directive NIS2 (Network and Information System Security 2), entrée en vigueur le 16 janvier 2023 et transposable en droit national d'ici octobre 2024, constitue une évolution majeure du cadre réglementaire européen en matière de cybersécurité. Elle vise à renforcer la résilience et les capacités de réaction des entités face aux menaces numériques croissantes. Étendue à un plus grand nombre de secteurs et d'entreprises par rapport à sa devancière (NIS1), NIS2 impacte directement de nombreuses PME, notamment celles opérant dans des domaines critiques ou essentiels.
Champ d'application élargi
La directive NIS2 s'applique aux entités considérées comme « essentielles » ou « importantes ». Cette catégorisation dépend notamment de leur taille (plus de 50 employés et/ou un chiffre d'affaires supérieur à 10 millions d'euros) et de leur secteur d'activité. Parmi les secteurs concernés figurent l'énergie, les transports, la santé, la banque, les infrastructures numériques (fournisseurs de DNS, services cloud), l'administration publique, mais aussi de nouveaux secteurs comme la gestion des déchets, l'agroalimentaire, l'édition numérique et les services postaux et de messagerie. Une PME, même de taille modeste, peut se retrouver assujettie à NIS2 si elle évolue dans l'un de ces domaines.
Obligations clés pour les entreprises
Les entreprises soumises à NIS2 doivent mettre en œuvre un ensemble de mesures techniques et organisationnelles pour gérer les risques de cybersécurité. Cela inclut, entre autres :
- L'analyse des risques et la politique de sécurité des systèmes d'information : Évaluer et documenter les risques, puis définir des stratégies pour y faire face.
- La gestion des incidents : Disposer de procédures pour détecter, analyser et répondre aux cyberattaques.
- La continuité des activités et la gestion de crise : Établir des plans pour assurer la reprise des opérations après un incident majeur.
- La sécurité de la chaîne d'approvisionnement : S'assurer que les sous-traitants et fournisseurs respectent des niveaux de sécurité adéquats.
- La formation et la sensibilisation : Informer et former le personnel aux bonnes pratiques de cybersécurité.
- Le signalement des incidents : Les entités essentielles et importantes devront notifier les incidents significatifs aux autorités compétentes (l'ANSSI en France) dans des délais très courts (24 heures pour une alerte précoce, 72 heures pour une notification d'incident).
Sanctions et gouvernance
Le non-respect des obligations NIS2 peut entraîner des sanctions importantes. Pour les entités essentielles, les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel total. Pour les entités importantes, elles peuvent s'élever à 7 millions d'euros ou 1,4 % du chiffre d'affaires. La directive impose également aux dirigeants d'entreprise une responsabilité directe dans la mise en œuvre de ces mesures, soulignant la dimension stratégique de la cybersécurité au niveau de la gouvernance.