NIS2 : qui est concerné, et ce qu'il faut vraiment faire avant l'échéance

La directive européenne NIS2 (de l'anglais « Network and Information Security 2 », soit sécurité des réseaux et de l'information) impose des règles de cybersécurité à bien plus d'organisations que la première version du texte. Une directive est un texte européen que chaque pays doit ensuite transposer dans sa propre loi. Avant de plonger dans les obligations, trois questions suffisent à savoir si vous êtes concerné.

Trois questions pour savoir si vous êtes concerné

1. Votre secteur d'activité est-il couvert ? Le texte en liste dix-huit : énergie, transport, santé, eau, numérique, espace, gestion des déchets, industrie chimique, agroalimentaire, fabrication de dispositifs médicaux, administration publique, et d'autres. C'est bien plus large que les seuls opérateurs d'infrastructures critiques d'hier.
2. Avez-vous plus de 50 salariés ou plus de 10 millions d'euros de chiffre d'affaires ? C'est le seuil général pour la catégorie des « entités importantes ». En dessous, vous n'êtes pas automatiquement hors du champ si votre activité est jugée critique par ailleurs.
3. Travaillez-vous pour une organisation elle-même soumise à NIS2 ? C'est le point le plus souvent oublié. Une PME (petite ou moyenne entreprise) qui n'atteint pas les seuils peut se voir imposer des exigences de sécurité par contrat, par un client qui, lui, est concerné.

Si vous répondez oui à l'une des trois, mieux vaut vous en occuper maintenant que d'attendre une mise en demeure (un courrier officiel qui vous somme de vous mettre en règle) ou une clause de contrat qui tombe sans prévenir.

Ce que NIS2 change par rapport à avant

Deux changements comptent plus que les autres.

La responsabilité remonte à la direction. Les dirigeants doivent approuver les mesures de gestion des risques cyber et en suivre la mise en œuvre. Dans certains cas, leur responsabilité personnelle peut être engagée en cas de manquement grave. On ne peut plus tout confier à son prestataire informatique sans garder un regard dessus.

Les obligations sont proportionnées. La directive distingue les « entités essentielles » et les « entités importantes », avec des niveaux de contrôle et de sanction différents. Une PME concernée n'a pas les mêmes exigences qu'un opérateur d'infrastructure critique. Ce principe de proportion est écrit dans le texte lui-même.

Par où commencer

Inutile d'attendre d'avoir lu tout le texte. Trois actions permettent d'avancer.

1. Clarifier votre statut réel, au besoin avec un avis extérieur, plutôt que de vous fier à une lecture rapide des seuils. La question du sous-traitant complique souvent les choses.
2. Faire l'état des lieux de vos mesures de sécurité. La plupart des organisations font déjà une partie de ce que NIS2 attend : sauvegardes, gestion des accès, journalisation (la conservation de la trace de qui s'est connecté, et quand). Il manque souvent de l'avoir écrit et relié à une organisation claire.
3. Désigner qui porte le sujet au niveau de la direction. Pas forcément un nouveau poste. Un responsable clairement identifié suffit, en accord avec l'exigence de suivi par les dirigeants.

L'erreur à éviter

Le piège le plus coûteux est de traiter NIS2 comme un dossier de mise en conformité que l'on boucle une fois pour toutes. La directive attend une gestion des risques qui continue dans le temps, pas un dossier qu'on constitue puis qu'on range. Une feuille de route réaliste vaut mieux qu'un plan exhaustif qui ne survit pas au premier trimestre faute de suivi.