La directive
La directive NIS 2 (en français : sécurité des réseaux et des systèmes d’Information) vise à renforcer le niveau de cybersécurité des tissus économique et administratif des pays membres de l’UE.
L’enjeu est de mieux protéger les réseaux et les systèmes d’information servant à fournir des services essentiels dans les secteurs clés de nos sociétés. Alors que la première directive NIS visait à protéger les acteurs économiques majeurs de l’UE, cette nouvelle directive élargit le champ des entités et secteurs concernés et introduit des exigences plus adaptées, notamment au regard du renforcement de la menace cyber. Elle prévoit un socle de mesures juridiques, techniques et organisationnelles que les futures entités régulées devront mettre en œuvre, en fonction du risque existant, afin d’élever leur niveau général de cybersécurité et d’accroître leur résilience opérationnelle.
L’ANSSI, en tant qu’autorité nationale en matière de cybersécurité et de cyberdéfense, pilote la transposition en droit national de la directive et assure sa mise en œuvre.
Les entités essentielles (EE) et entités importantes (EI)
Pour garantir une proportionnalité de traitement, la directive NIS 2 distingue deux catégories d’entités régulées :
EE
Entités essentielles
EI
Entités importantes
Cette catégorisation s’établit selon leur degré de criticité, leur taille et leur chiffre d’affaires (pour les entreprises).
La règlementation s’appuiera sur ces deux typologies d’entités (EE ou EI) pour définir des objectifs adaptés et proportionnés aux enjeux de chacune de ces catégories.
Les mécaniques d’identification des entités concernées par la directive NIS 2 seront précisées au travers du processus de transposition de la directive en droit national. L’ANSSI communiquera dès que possible les éléments correspondants.
Plusieurs milliers d’entités concernées sur 18 secteurs d’activité
Collectivités territoriales
Administrations publiques
Moyennes entreprises
Grandes entreprises
Les secteurs concernés
Secteurs hautement critiques
Administrations publiques
Eaux potable
Eaux usées
Énergies
Espace
Gestion des services Technologies de l’Information et de la Communication (interentreprises)
Infrastructures des marchés financiers
Infrastructures numériques
Santé
Secteur bancaire
Transports
Autres secteurs critiques
Fabrication, production et distribution de produits chimiques
Fournisseurs numériques
Gestion des déchets
Industrie manufacturière
Production, transformation et distribution de denrées alimentaires
Recherche
Services postaux et d’expédition
Quelles obligations pour les entités ?
Le partage d’informations
Les entités seront tenues de fournir un certain nombre d’informations à l’autorité nationale désignée et de les mettre à jour.
La gestion des risques cyber
La mise en place de mesures adaptées : les entités devront mettre en place des mesures juridiques, techniques et organisationnelles pour gérer les risques qui menacent la sécurité de leurs réseaux et de leurs systèmes d’information.
La déclaration d’incidents
Les entités devront signaler à l’autorité nationale désignée leurs incidents de sécurité ayant un impact important et fournir des rapports concernant l’évolution de la situation.
Conformément à la directive NIS 2, des actions de supervision seront assurées pour vérifier le respect par les entités de leurs obligations. En cas de non-respect de ces dernières, les entités s’exposeront à des sanctions.
La directive prévoit la capacité d’imposer, entre autres, des sanctions financières aux entités régulées. Ces sanctions, qui doivent être proportionnées au(x) manquement(s), pourront aller jusqu’à un pourcentage du chiffre d’affaires mondial des entités (2% pour les EE et 1,4% pour les EI).
L’ANSSI vous accompagne dans cette démarche
Animée par une volonté forte de co-construire le dispositif national avec l’ensemble des acteurs régulés, des consultations avec les fédérations professionnelles, les associations d’élus locaux et les ministères concernés par NIS 2 sont en cours depuis l’automne 2023 afin d’échanger avec les représentants des futures entités régulées. Ces consultations se poursuivront tout au long des travaux de transposition.
En parallèle, l’ANSSI développe de nouveaux outils, avec notamment la création du service numérique « MonEspaceNIS2 » dont la vocation est d’accompagner les entités régulées dans leur mise en conformité à la directive. Ce service s’étoffera au fil du temps pour proposer des services pertinents pour les entités. L’ANSSI souhaite capitaliser sur ses actions historiques de conseil, de sensibilisation et d’assistance opérationnelle.
