NIS2 : ce que les PME europeennes doivent savoir avant l echeance de transposition
La directive NIS2 (Network and Information Security 2), publiee au Journal officiel de l Union europeenne en decembre 2022, est entree en vigueur en octobre 2024 dans la majorite des Etats membres. Son impact est bien plus large que son predecesseur NIS1 : le nombre d entites concernees passe de quelques centaines a plusieurs dizaines de milliers en France.
Qui est dans le scope NIS2 ?
NIS2 distingue deux categories d entites :
- Entites essentielles (ex-OIV) : energie, transports, banque, infrastructures des marches financiers, sante, eau, infrastructures numeriques
- Entites importantes (nouvelle categorie) : services postaux, gestion des dechets, produits chimiques, alimentation, fabrication industrielle, fournisseurs numeriques
Le seuil d assujettissement : organisations de plus de 50 employes OU plus de 10 millions d euros de chiffre d affaires dans un secteur concerne.
Les 10 mesures obligatoires
L article 21 de NIS2 impose la mise en oeuvre de mesures de gestion des risques couvrant :
- Politiques d analyse des risques et securite des systemes
- Gestion des incidents de securite
- Continuite d activite et gestion de crise
- Securite de la chaine d approvisionnement
- Securite de l acquisition, du developpement et de la maintenance des reseaux
- Politiques et procedures d evaluation de l efficacite des mesures
- Pratiques de base de cyberâhygiene et formation
- Politiques de cryptographie et de chiffrement
- Securite des ressources humaines et controle des acces
- Authentification multi-facteurs
Sanctions NIS2
Les amendes maximales pour les entites essentielles s elevent a 10 millions d euros ou 2% du chiffre d affaires mondial. Pour les entites importantes : 7 millions ou 1,4%. La responsabilite personnelle des dirigeants est explicitement engagee.
Par ou commencer ?
La premiere etape est une evaluation de la posture de securite actuelle (gap analysis) par rapport aux exigences NIS2. Notre module Security Engine dans Compliance.X automatise cette evaluation et genere un plan de mise en conformite priorise.