NIS2 fait de la cybersécurité une responsabilité des dirigeants

Qu’est-ce que NIS2 ? La directive NIS2 est le nouveau cadre européen de cybersécurité, conçu pour renforcer la résilience des secteurs critiques et à fort impact. Elle élargit le champ des entités concernées, exige des mesures de sécurité fondées sur les risques et fixe des délais stricts pour la notification des incidents.

Pourquoi c’est important pour votre organisation ? Pour les entités concernées, la cybersécurité devient une obligation légale, pilotée de façon continue et non plus au cas par cas. Concrètement :

• Les incidents importants doivent être notifiés en trois temps : alerte précoce sous 24 h, notification sous 72 h, rapport final dans un délai d’un mois.
• Les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et peuvent être tenus responsables en cas de manquement. Ils doivent également suivre une formation en cybersécurité.

NIS2 en France : la loi Résilience

La transposition de NIS2 en France est portée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Sa mise en œuvre sera pilotée par l’ANSSI.

• Près de 15 000 entités concernées, contre environ 600 sous NIS 1, réparties entre entités essentielles et entités importantes.
• Les collectivités entrent dans le champ : régions, départements, communes de plus de 30 000 habitants et une partie de leurs groupements.
• Enregistrement et notification : les entités concernées devront s’enregistrer auprès de l’ANSSI et lui notifier sans retard injustifié tout incident important.
• Un référentiel dédié : le Référentiel Cyber France (ReCyF), publié par l’ANSSI en version de travail, détaille les objectifs de sécurité attendus.