NIS2
NIS2 est une directive européenne adoptée en 2022. Son objectif : relever le niveau de sécurité numérique des organisations qui font fonctionner l'économie, après des années d'attaques informatiques visant aussi bien des hôpitaux que des collectivités ou des industriels.
En France, sa transposition passe par le projet de loi Résilience, dont l'examen à l'Assemblée nationale est attendu prochainement. Le changement d'échelle est considérable : l'ANSSI annonce des milliers d'entités concernées, réparties sur plus de dix-huit secteurs, des PME jusqu'aux grands groupes.
Beaucoup de dirigeants découvriront qu'ils sont concernés sans l'avoir anticipé. Première question à trancher : votre entreprise en fait-elle partie ?
Ce que la directive va changer
Ce qui change 01
La cybersécurité devient une affaire de direction
C'est la rupture la plus nette. La directive confie aux organes de direction l'approbation des mesures de sécurité et la surveillance de leur mise en œuvre, et prévoit qu'ils soient formés. Le sujet ne peut plus être délégué entièrement à l'informatique : il remonte au comité de direction, avec une responsabilité qui pèse désormais sur les dirigeants eux-mêmes.
Ce qui change 02
Des mesures à mettre en place, et surtout à prouver
La directive fixe une liste de mesures minimales : analyse des risques, gestion des incidents, continuité d'activité et sauvegardes, sécurité des fournisseurs, contrôle des accès, formation des équipes. Le point déterminant n'est pas de les avoir mises en place, mais de pouvoir le démontrer le jour où on vous le demande.
Ce qui change 03
Un incident devra être signalé sous 24 heures
En cas d'incident significatif, une première alerte doit partir vers l'ANSSI dans les 24 heures, une notification plus complète sous 72 heures, puis un rapport final sous un mois. Un tel calendrier ne s'improvise pas au moment de la crise : il suppose de savoir à l'avance qui détecte, qui décide et qui déclare.
Ce qui change 04
Des sanctions financières dissuasives
En cas de manquement, les amendes pourront atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Les autorités disposeront également de pouvoirs d'injonction et de contrôle.
Ce qui change 05
Vos clients vont vous demander des comptes
La directive oblige les entités concernées à sécuriser leur chaîne d'approvisionnement, donc à s'assurer du niveau de sécurité de leurs fournisseurs et prestataires. Concrètement, cela se traduira par des questionnaires à remplir, des clauses de sécurité ajoutées à vos contrats et des preuves à fournir. Une entreprise située hors du périmètre peut ainsi se voir imposer les mêmes exigences par ses donneurs d'ordre, et perdre un marché faute d'y répondre.
NIS2, nous la pratiquons déjà sur le terrain.
La Belgique applique la directive dans sa loi depuis 2024. Nos consultants y accompagnent des organisations depuis cette date, et en ont rapporté une méthode éprouvée, là où la plupart des acteurs français découvrent encore le sujet.
Nos équipes sont certifiées ISO 27001 Lead Implementer et ISO 27001 Lead Auditor : nous savons construire un système de management de la sécurité, et nous savons aussi l'auditer. Les deux compétences sont rarement réunies chez un même prestataire.
Proxiel relève enfin du même périmètre que ses clients : la gestion de services informatiques figure parmi les secteurs hautement critiques de la directive. Nous menons donc notre propre mise en conformité, avec les méthodes que nous déployons chez vous.
Une question sur votre situation ?
Nos équipes répondent volontiers, que vous soyez concerné par la directive ou simplement en train de le vérifier.
Nous écrire