Directive NIS 2 : Ce qu'il faut savoir pour assurer sécurité et conformité
Les cyberattaques se développent chaque année et les risques se multiplient pour les entreprises et organisations. C’est dans ce contexte, où la cybersécurité est un enjeu primordial, qu’est adoptée la directive NIS initiale en 2016.
Elle sera ensuite renforcée en 2022 : directive européenne NIS 2. Cette révision a pour but combler les lacunes de la première version. Elle comprend des règles strictes de sécurité et de reporting que devront suivre les organisations concernées.
NIS signifie « Network and Information Security ».
Qu’est-ce que la directive NIS 2 ?
La directive NIS 2 vise alors à renforcer la cybersécurité des infrastructures essentielles dans l’Union européenne. Elle impose des règles plus strictes pour prévenir et gérer les risques critiques en termes de cybersécurité.
NIS 2 prévoit alors des règles et normes à respecter. Elle prévoit également, des sanctions plutôt sévères en cas de non-conformité.
18 secteurs d’activités sont concernés par la directive NIS 2 :
L’énergie, les transports, la santé, le secteur bancaire, les infrastructures de marchés financiers, les infrastructures numériques, la fourniture et la distribution d’eau potable, la gestion des eaux usées, l’administration publique, la gestion des services numériques TIC et l’espace.
Parmi les 18 secteurs concernés, 7 sont considérés comme critiques :
- Les services postaux et d’expédition
- La gestion des déchets
- La fabrication, la production et la distribution de produits chimiques
- La production, la transformation et la distribution de denrées alimentaires
- La fabrication
- Les fournisseurs numériques
- La recherche
Pour savoir si votre entité en fait partie, vous pouvez le vérifier avec ce simulateur.
QUELLES SONT LES OBJECTIFS DE LA DIRECTIVE NIS 2 ?
La directive NIS 2 comporte plusieurs objectifs, tous centrés autour de la cybersécurité des secteurs à risques.
La directive NIS 2 a pour objectif de réduire les vulnérabilités potentiellement présentes dans ces entités.
NIS 2 a également pour vocation d’harmoniser les règles entre les États membres de l’Union européenne.
Ces normes sont imposées afin d’obliger les entreprises et organisations à les adopter. Le reporting est renforcée pour augmenter la transparence sur les incidents de sécurité.
Ainsi, NIS 2 repose sur 5 piliers :
- Supervision et contrôle
- Notification des incidents
- Obligation d’information et de reporting
- Mesures techniques et organisationnelles
- Responsabilité des dirigeants.
NIS 2 : QUEL IMPACT POUR LES ENTREPRISES ET LES ORGANISATIONS ?
Les organisations doivent s’adapter aux normes de la directive. Elle impose des changements pouvant être significatifs. Elles doivent alors mettre en place des systèmes ou mécanisme de prévention des risques. Il faut alors être en capacité d’identifier les menaces potentielles. Une analyse régulière est indispensable pour anticiper les potentielles vulnérabilités.
Ensuite, il convient de mettre en place des systèmes de détection des incidents. C’est indispensable pour limiter les dommages et assurer la continuité de l’activité en cas d’anomalie.
Pour finir, les organisations doivent pouvoir signaler immédiatement les incidents aux autorités compétentes. Cela nécessite de définir des processus internes clairs pour documenter et communiquer sur les incidents.
Nis 2 : comment se mettre en conformité ?
Afin d’être en conformité avec NIS 2, les entreprises et autres structures devront s’organiser.
Pour cela, voici quelques étapes qui semblent essentiels :
Pour commencer la mise en conformité à la directive NIS 2, il convient de réaliser une analyse des vulnérabilités. Cette analyse doit s’effectuer sur les réseaux et systèmes actuels de l’organisation afin de mettre en avant les failles potentiels pouvant être exploités par des personnes malintentionnés.
Ensuite, on vous conseille de réaliser une cartographie des actifs et infrastructures critiques. Cela permet d’avoir une vue d’ensemble sur les ressources à protéger et permet d’évaluer leur niveau de risque.
C’est le moment de répondre concrètement aux normes établies par cette directive. Pour cela, il convient généralement de renforcer les politiques de sécurité. En effet, elles seront plus strictes, notamment pour ce qui concerne l’accès aux données et la gestion des incidents. Il convient aussi de mettre en place un déploiement de solutions d’authentification multi-facteurs (comme les certificats ChamberSign).
Le reporting des incidents est une exigence primordiale dans le cadre de NIS 2. Les entités sont dans l’obligation de tenir informer les autorités nationales compétentes en cas d’incident de sécurité.
Elles doivent également faire ces notifications dans les délais établis. En France, L’ANSSI précise qu’elle doit être envoyé dans les 24h qui suivent l’incident. Pour pouvoir répondre à cette exigence, il convient de tenir informé l’ensemble des collaborateurs et de mettre en place des processus efficaces.
Pour être en conformité avec la directive NIS2, il convient d’instaurer une réelle culture de la cybersécurité au sein de votre organisation. Les équipes doivent être informés sur la reconnaissance des incidents et sur les protocoles d’alertes. Cela permet aussi de réduire les risques liés aux erreurs humaines.
Enfin, les dirigeants doivent porter une attention particulière à la mise en place de ces moyens. Ils doivent valider les stratégies de cybersécurité, surveiller leur application et garantir que des ressources suffisantes sont attribuées pour protéger les systèmes d’information. NIS 2 renforce la responsabilisation des dirigeants en cas de manquements en matière de cybersécurité.
La directive NIS 2 demande une conformité continue. Pour assurer cela, les structures doivent réaliser des audits internes et externes de manière régulière.
Grâce à ces audits, les structures peuvent vérifier que les mesures de sécurité sont bien mises en œuvre et répondent aux exigences règlementaires.
Nis 2 : la transposition en droit national
Cette directive européenne doit être transposée dans de droit national de l’ensemble des pays membres de l’UE.
La commission européenne avait fixé une date d’échéance au 17 octobre 2024. Malheureusement, le processus de transposition avance de manière hétérogène dans les différents États membres.
En France, c’est l’ANSSI qui pilote la transposition en droit national de la directive.
L’ANSSI a alors fait le choix de la pédagogie en laissant un délai supplémentaire de 3 ans pour se conformer à la directive Nis 2.
NIS 2 : un tournant pour la sécurité numérique des organisations
La directive NIS 2 marque donc une étape clé pour renforcer la cybersécurité en Europe. Face au développement des cyberattaques, les organisations doivent adapter leur processus pour renforcer leur sécurité et leur conformité.
Cette adaptation passe par une gestion proactive des risques, la formation des collaborateurs et l’allocation de ressources dédiées. En respectant ces nouvelles exigences, elles pourront se protéger efficacement et être conforme à la directive européenne.
En conclusion, l’usurpation d’identité est une menace sérieuse pour les entreprises, mais il existe des moyens de s’en protéger. En adoptant les bonnes pratiques et en utilisant des outils de protection adaptés, comme les certificats électroniques ChamberSign, vous pouvez réduire considérablement les risques et protéger votre entreprise des cybercriminels.