Directive NIS2
La directive européenne sur la sécurité des réseaux et de l’information (NIS) a été le premier texte législatif européen sur la cybersécurité à entrer en vigueur en 2016. Cependant, pour remédier aux limites identifiées dans le cadre actuel et pour répondre aux menaces croissantes en matière de cybersécurité dans l’UE à la suite de la numérisation et de la Covid-19, la Commission européenne a remplacé la directive NIS par la directive NIS2 qui introduit des mesures de surveillance plus strictes pour les autorités nationales, des exigences d’application plus strictes et vise à harmoniser les régimes de sanctions dans les États membres. La directive NIS2 est entrée en vigueur le 16 janvier 2023 et les États membres ont 21 mois, jusqu’au 17 octobre 2024, pour transposer la directive en droit national.
La directive NIS2 vise à renforcer les exigences de sécurité dans l’UE en étendant son champ d’application à davantage de secteurs et d’entités, en tenant compte de mesures telles que l’analyse des risques et les politiques de sécurité des systèmes d’information, la gestion des incidents et la sécurité de la chaîne d’approvisionnement, et en simplifiant les obligations de déclaration, entre autres. En cas de non-conformité, la NIS2 impose aux États membres de prévoir de lourdes sanctions : 10 millions d’euros ou 2 % du chiffre d’affaires mondial (le montant le plus élevé étant retenu) pour les entités essentielles et 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial (le montant le plus élevé étant retenu) pour les entités importantes. La NIS2 impose des obligations directes aux organes de direction pour la mise en œuvre et la supervision de la conformité de leur organisation à la législation. Le non-respect pourrait potentiellement conduire à l’imposition d’une interdiction temporaire d’exercer des responsabilités de gestion à la haute direction de l’entité, y compris aux cadres supérieurs.
Exigences de la directive NIS2
- Les États membres veillent à ce que les membres des organes de direction des entités essentielles et importantes soient tenus de suivre une formation et encouragent les entités essentielles et importantes à proposer régulièrement une formation similaire à leurs employés, afin qu’ils acquièrent des connaissances et des compétences suffisantes pour leur permettre d’identifier les risques et d’évaluer les pratiques de gestion des risques en matière de cybersécurité et leur impact sur les services fournis par l’entité.
- Les États membres veillent à ce que les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité des réseaux et des systèmes d’information sur la base :
a) des politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information ;
b) de la gestion des incidents ;
c) de la continuité des activités, comme la gestion des sauvegardes et la reprise après sinistre, et de la gestion des crises ;
d) de la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre
chaque entité et ses partenaires directs. fournisseurs ou prestataires de services ;
e) la sécurité dans l’acquisition, le développement et la maintenance des réseaux et des systèmes d’information, y
compris la gestion et la divulgation des vulnérabilités ;
f) les politiques et procédures d’évaluation de l’efficacité des mesures de gestion des risques en matière de cybersécurité;
g) les pratiques d’hygiène informatique de base et la formation à la cybersécurité ;
h) les politiques et procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement ;
i) la sécurité des ressources humaines, les politiques de contrôle d’accès et la gestion des actifs ;
j) l’utilisation de solutions d’authentification multifacteur ou d’authentification continue, de voix, de vidéo et de texte
sécurisés et des systèmes de communication d’urgence sécurisés au sein de l’entité, le cas échéant. - À compter du 18 octobre 2024, toutes les entités NIS2 sont tenues de notifier au CCB les incidents significatifs, c’est-à-dire tout incident ayant un impact significatif sur la fourniture de leurs services et qui :
> a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou une perte financière pour
l’entité concernée
> a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels
ou immatériels considérables.
Avez-vous besoin d'aide pour la mise en œuvre de NIS2 ?
Nous pouvons vous aider avec cela.