L'ANSSI recommande aux organisations de démarrer dès maintenant les travaux de mise en conformité NIS 2.
Publiée le 27 décembre 2022, l’adaptation dans le droit national français de la directive NIS 2 est prévue pour le 17 octobre 2024.
En tant qu'expert en cybersécurité des infrastructures critiques et industrielles, Holiseum vous accompagne dans ces démarches essentielles dès aujourd'hui.
Pour en savoir plus sur nos accompagnements, RDV ici !

De la directive NIS 1 à NIS 2

La directive européenne NIS 1 (Network and Information System Security), adoptée en 2016, visait à renforcer la cybersécurité des opérateurs de services essentiels (OSE) et des Fournisseurs de services numériques (FSN). Depuis, les cybermenaces ont explosé, avec une augmentation de 30 % des attaques par ransomware entre 2022 et 2023 en France ^[1]. Pour répondre à cette escalade des menaces, la directive NIS 2 s'impose comme une mise à jour cruciale pour mieux protéger les organisations, y compris les administrations des États membres de l'Union européenne.

Mon organisation est-elle concernée par la directive NIS 2 ?

La directive NIS 2 étend son champ d’application à plus de 10 000 entités, dans 18 secteurs d’activité clés, contre 7 pour la NIS 1 ^[2].

• D’un côté, les entités essentielles (EE) réalisant des activités dans les secteurs hautement critiques.
• De l’autre, les entités importantes (EI) exerçant dans les autres secteurs considérés comme critiques ^[3]

Préparez-vous à la directive NIS 2 avec Holiseum

Quels sont les principaux changements apportés par la directive NIS 2 ?

• Partage d’informations (article 27). Les entités sont contraintes de fournir à l’ANSSI un certain nombre de renseignements : nom, secteur(s) d’activité, sous-secteur(s), adresse de l’établissement principal, plages d’IP, etc. Ils doivent être mis à jour régulièrement pour refléter les changements éventuels.
• Gestion des risques cyber (article 21). Les entités sont dans l’obligation de mettre en place des mesures « adéquates » pour gérer les risques- cyber, menaçant leurs réseaux et/ou systèmes d’information. Elles portent sur la gestion des incidents, les pratiques de base en matière d’hygiène cyber ou la sécurité de la chaîne d’approvisionnement.
• Déclaration des incidents (article 23). Les entités doivent signaler dans un délai de 24 heures à l’ANSSI tout incident de sécurité ayant un impact significatif sur leur activité de fourniture de services. Par exemple, la cyberattaque d’un hôpital suspendant les soins de radiologie. Elles sont chargées de fournir des rapports réguliers sur l’évolution de la situation, les mesures prises pour y remédier.

NIS 2 : quels sont les risques en cas de non-conformité à la nouvelle directive européenne ?

Responsabilité des organes de direction en matière de cybersécurité sous la directive NIS 2

• Négligence : manquement à l’obligation de diligence dans la prise de décision ou la supervision des mesures de cybersécurité.‍
• Faute intentionnelle : violation délibérée des obligations de la directive NIS 2.