Après cette lecture, vous saurez déterminer si NIS2 vous concerne et quelles obligations en découlent.
Définition
Elle remplace la première directive NIS et s'applique par des lois nationales, attendues pour le 17 octobre 2024. Comme chaque État membre écrit la sienne, les détails varient d'un pays à l'autre.
Les annexes I et II listent les secteurs, parmi lesquels l'énergie, les transports, la santé, les infrastructures numériques, l'alimentation et la fabrication de certains produits. Les entités sont classées essentielles ou importantes, une distinction qui joue surtout sur la supervision et les amendes maximales.
Pourquoi c'est important
L'article 20 porte le sujet au conseil d'administration. L'organe de direction doit approuver les mesures, en superviser l'application et suivre une formation, et sa responsabilité peut être engagée en cas de manquement.
L'article 34 fixe le plafond des amendes à au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes.
Comment ça fonctionne
Commencez par le champ : votre secteur, votre taille et votre loi nationale. En général, la directive couvre les moyennes et grandes entreprises, tandis que certaines entités y entrent quelle que soit leur taille. Enregistrez-vous auprès de l'autorité nationale quand la loi l'exige.
Appliquez ensuite les mesures de l'article 21, qui suivent une approche tous risques et doivent être proportionnées au risque.
Enfin, organisez les notifications de l'article 23 : une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final dans un délai d'un mois.
Un cas concret
Un fabricant alimentaire de 300 salariés trouve la production et la distribution de denrées alimentaires à l'annexe II et en conclut qu'il est une entité importante. Son conseil approuve les mesures et suit la formation.
Son processus d'incident gagne deux éléments : une personne nommée qui décide si un incident est important, et les coordonnées du CSIRT national.
Bonnes pratiques
- Lisez la loi nationale en plus de la directive, car les délais et l'enregistrement diffèrent.
- Répétez l'alerte des 24 heures. Ce délai est plus court qu'il n'y paraît quand les premières heures servent à comprendre ce qui s'est passé.
- Si vous appliquez déjà l'ISO/IEC 27001, appuyez-vous dessus et vérifiez ce qui manque.
Erreurs fréquentes
- Croire que rester hors de la première directive NIS signifie rester hors de NIS2. Le champ s'est considérablement élargi.
- Laisser le sujet à l'informatique, alors que la responsabilité repose sur la direction.
- L'ignorer parce qu'on est soi-même hors champ. Les clients concernés répercuteront leurs exigences par contrat.
- Attendre un incident pour savoir qui le notifie.
Questions
- NIS2 s'applique-t-elle aux petites entreprises ?
- En général non, mais l'article 2 fait entrer certaines entités quelle que soit leur taille, comme certains fournisseurs d'infrastructures numériques ou le seul fournisseur d'un service critique.
- Quelle différence entre entités essentielles et importantes ?
- Les entités essentielles font l'objet d'une supervision proactive et d'amendes maximales plus élevées. Les entités importantes sont surtout contrôlées après coup. Les mesures sont les mêmes.
- L'ISO 27001 suffit-elle pour NIS2 ?
- Elle couvre une grande partie de l'article 21. Les délais de notification des incidents, l'enregistrement et les règles nationales demandent toutefois une attention à part.
- Existe-t-il un certificat NIS2 officiel ?
- La directive ne crée aucun certificat général. Les États membres peuvent imposer certains schémas européens de certification.
- Qu'est-ce qu'un incident important au sens de NIS2 ?
- Selon l'article 23, un incident qui a causé ou peut causer une perturbation opérationnelle grave ou une perte financière, ou des dommages considérables à d'autres.