La directive européenne NIS2 fait passer la cybersécurité du rang de sujet technique à celui de responsabilité de direction. Elle concerne des milliers d’entreprises de taille moyenne qui n’avaient jamais été visées par une réglementation cyber, y compris dans l’agroalimentaire et l’industrie. Voici l’essentiel pour savoir où vous en êtes.
NIS2 en deux mots
La directive (UE) 2022/2555, dite NIS2, remplace la première directive NIS de 2016. Elle élargit fortement le nombre de secteurs et d’entreprises concernés, renforce les exigences de sécurité et engage directement la responsabilité des organes de direction.
En France, sa transposition est pilotée par l’ANSSI, qui met à disposition le service MonEspaceNIS2 pour vérifier si votre entité est concernée et suivre le calendrier applicable. C’est la référence à consulter pour connaître l’état exact des textes en vigueur.
Qui est concerné ?
Deux critères se combinent : votre secteur d’activité et votre taille.
- Les secteurs « hautement critiques » : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable et eaux usées, infrastructures numériques, gestion des services informatiques, administration publique, espace.
- Les autres secteurs « critiques » : services postaux, gestion des déchets, chimie, production, transformation et distribution des denrées alimentaires, fabrication (dispositifs médicaux, électronique, machines, véhicules…), fournisseurs numériques, recherche.
- En règle générale, les entreprises de taille moyenne et plus : à partir de 50 salariés, ou au-delà de 10 millions d’euros de chiffre d’affaires annuel et de total de bilan. Certaines entités sont visées quelle que soit leur taille.
Pas directement concerné ? Vous le serez peut-être par vos clients
NIS2 impose aux entités concernées de maîtriser la sécurité de leur chaîne d’approvisionnement. Concrètement, une PME qui fournit une coopérative, un industriel ou une collectivité concernés verra arriver des questionnaires de sécurité et des clauses contractuelles. Mieux vaut s’y préparer avant qu’ils ne conditionnent un contrat.
Ce que NIS2 exige
- Une gouvernance : la direction approuve les mesures de cybersécurité, en supervise la mise en œuvre et se forme.
- Une gestion des risques : analyse des risques, politiques de sécurité, sécurité des systèmes et des réseaux.
- Des mesures concrètes : double authentification, sauvegardes et continuité d’activité, gestion des vulnérabilités, chiffrement, contrôle des accès, sécurité des fournisseurs.
- La gestion des incidents : détection, réponse, et notification des incidents importants à l’autorité dans des délais courts (une alerte précoce sous 24 heures, une notification sous 72 heures, puis un rapport final).
- La sensibilisation et la formation des salariés.
Un plan d’action en cinq étapes
- Vérifier votre statut sur MonEspaceNIS2 (ANSSI) et, si besoin, vous enregistrer.
- Faire un état des lieux : inventaire, comptes et accès, sauvegardes, postes, réseau, prestataires.
- Corriger les priorités : double authentification partout, sauvegardes hors ligne testées, mises à jour, protection des postes.
- Formaliser : politique de sécurité, procédure de gestion d’incident, plan de continuité, responsabilités.
- Former la direction et entraîner les salariés, puis mesurer les progrès dans la durée.
Par où commencer ?
La plupart des PME n’ont ni RSSI ni DSI à temps plein : c’est précisément le rôle d’un accompagnement extérieur. Nous vérifions avec vous si NIS2 vous concerne, établissons une feuille de route réaliste et vous aidons à la mettre en œuvre, avec des tests d’intrusion menés avec des partenaires spécialisés lorsque c’est utile.