Qu'est-ce que NIS2 ?
NIS2 est la directive européenne visant un niveau commun élevé de cybersécurité dans l'Union. Elle remplace la première directive NIS et élargit fortement son périmètre. Les États membres devaient la transposer au plus tard le 17 octobre 2024. En Belgique, la loi NIS2 du 26 avril 2024 s'applique depuis le 18 octobre 2024, avec le Centre pour la Cybersécurité Belgique (CCB) comme autorité nationale.
Trois parties sont particulièrement importantes pour les dirigeants et les équipes sécurité : l'article 20 sur la responsabilité de la direction, l'article 21 sur les mesures minimales de cybersécurité et l'article 23 sur la notification des incidents. NIS2 n'est pas une norme de certification comme ISO 27001 ; c'est une obligation légale pour les organisations concernées.
Qui est concerné par NIS2 ?
NIS2 vise en général les organisations moyennes et grandes : au moins 50 salariés ou plus de 10 millions d'euros de chiffre d'affaires et de bilan, actives dans les secteurs des annexes I ou II. Certaines organisations sont concernées quelle que soit leur taille, notamment les fournisseurs de réseaux publics de communications électroniques, les services de confiance, les services DNS et les registres TLD.
La directive distingue les entités essentielles et importantes. Les entités essentielles sont souvent de grandes organisations dans des secteurs de haute criticité. Les entités importantes doivent respecter les mêmes mesures de sécurité, mais le régime de supervision et les amendes maximales diffèrent. Les règles nationales et les guides sectoriels précisent l'application.
- Annexe I : énergie, transport, banque, infrastructures de marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion de services TIC, administration publique et espace.
- Annexe II : services postaux, gestion des déchets, chimie, alimentation, fabrication de certains produits, fournisseurs numériques et recherche.
Quels délais et quelles sanctions prévoit NIS2 ?
| Obligation | Délai ou montant |
|---|---|
| Transposition en droit national | 17 octobre 2024 |
| Alerte précoce d'un incident important | Dans les 24 heures suivant la prise de connaissance |
| Notification d'incident | Dans les 72 heures suivant la prise de connaissance |
| Rapport final | Dans le mois suivant la notification |
| Amende maximale pour entités essentielles | 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel |
| Amende maximale pour entités importantes | 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial annuel |
Que demande l'article 21 de NIS2 ?
L'article 21(2) énumère dix mesures qui doivent être appropriées et proportionnées au risque. Elles peuvent être traduites en contrôles, politiques, tâches et preuves.
- Politiques d'analyse des risques et de sécurité des systèmes d'information.
- Gestion des incidents et procédures de notification.
- Continuité d'activité, gestion des sauvegardes, reprise après sinistre et gestion de crise.
- Sécurité de la chaîne d'approvisionnement et des relations fournisseurs.
- Sécurité lors de l'acquisition, du développement et de la maintenance des systèmes réseau et d'information.
- Procédures d'évaluation de l'efficacité des mesures.
- Hygiène cyber et formation à la cybersécurité.
- Cryptographie et, le cas échéant, chiffrement.
- Sécurité RH, contrôle d'accès et gestion des actifs.
- Authentification multifactorielle, communications sécurisées et communications d'urgence sécurisées.
Comment ComplyPilot aide-t-il avec NIS2 ?
ComplyPilot traite NIS2 comme une couche de référentiel au-dessus de vos contrôles existants. Chaque exigence NIS2 est reliée aux contrôles, risques, politiques, fournisseurs et preuves. Si vous utilisez déjà ISO 27001, les mêmes contrôles comptent pour NIS2 lorsque cela est pertinent. Vous évitez ainsi le double travail tout en conservant la visibilité sur les obligations spécifiques à NIS2.
Le tableau de bord NIS2 montre la préparation par catégorie : gouvernance, gestion des risques, incidents, continuité, chaîne d'approvisionnement et plus encore. Les fiches fournisseurs contiennent criticité, fréquence de revue et échéances. Les tâches suivent la remédiation. Pour les incidents, l'équipe peut préparer les étapes de 24 heures, 72 heures et un mois avant qu'une crise ne survienne.
Quand un tableur ne suffit-il plus pour NIS2 ?
Un tableur peut suffire pour un premier inventaire, mais NIS2 demande de démontrer la maîtrise de plusieurs domaines. Le risque est que les risques soient dans un fichier, les fournisseurs dans un autre, les preuves dans des dossiers et les tâches dans des e-mails ou des messages. En cas d'incident ou de demande du régulateur, il devient trop lent de prouver quelle mesure fonctionne et qui en est responsable.
ComplyPilot conserve ces relations. Un fournisseur peut être lié à un risque, un contrôle, une date de revue et une preuve. Un contrôle peut soutenir ISO 27001 et NIS2. Le journal d'audit montre les changements. Le programme devient donc plus facile à transmettre entre CTO, CIO, auditeur et direction.
Questions fréquentes
ISO 27001 suffit-il pour être conforme à NIS2 ?
Non. ISO 27001 couvre de nombreuses mesures de l'article 21, mais NIS2 ajoute des obligations légales comme la notification d'incidents, la responsabilité de la direction et l'enregistrement.
Quelle est l'autorité NIS2 en Belgique ?
Le Centre pour la Cybersécurité Belgique (CCB).
Quelle différence entre essentiel et important ?
Les deux catégories doivent prendre des mesures. La différence concerne surtout la supervision, l'exécution et les amendes maximales.
ComplyPilot aide-t-il à gérer les fournisseurs ?
Oui. Les fournisseurs peuvent être suivis avec criticité, fréquence de revue, échéances et preuves associées.