Êtes-vous concerné par NIS 2 ?
NIS 2 est la directive européenne (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d'information.
Trois questions suffisent pour un premier tri :
- Votre secteur figure-t-il dans les annexes de la directive ? L'annexe I liste les secteurs hautement critiques : énergie, transports, santé, banque, infrastructures numériques, services informatiques gérés. L'annexe II ajoute notamment l'industrie, la chimie, l'alimentation et les fournisseurs numériques.
- Êtes-vous au moins une moyenne entreprise ? En règle générale, la directive vise les entités de 50 salariés ou plus, ou dont le chiffre d'affaires et le bilan dépassent les seuils européens. Certaines activités sont visées quelle que soit leur taille.
- Vos clients sont-ils eux-mêmes concernés ? La directive les oblige à sécuriser leur chaîne d'approvisionnement. Ils reportent donc des exigences sur leurs fournisseurs et sous-traitants, par contrat.
Les entités concernées se répartissent en deux catégories. Les entités essentielles, souvent les plus grandes des secteurs de l'annexe I, font l'objet d'un contrôle renforcé. Les entités importantes sont contrôlées surtout a posteriori, par exemple après un incident.
En France, l'autorité chargée de NIS 2 est l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information.
Un doute sur votre statut ?
Faites qualifier votre entreprise en 30 minutesNIS 2 en clair : ce que la directive exige vraiment
NIS 2 n'impose pas d'outil précis. Elle impose des résultats : maîtriser vos risques cyber, réagir vite aux incidents et pouvoir le prouver.
Les obligations NIS 2 tiennent en trois blocs.
1. Des mesures de gestion des risques (article 21). La directive liste dix domaines, à couvrir de façon proportionnée à vos risques :
- Analyse des risques et politiques de sécurité des systèmes d'information.
- Gestion des incidents.
- Continuité d'activité : sauvegardes, reprise après sinistre, gestion de crise.
- Sécurité de la chaîne d'approvisionnement, y compris vos fournisseurs.
- Sécurité du développement et de la maintenance des systèmes, dont la gestion des vulnérabilités.
- Évaluation de l'efficacité des mesures.
- Hygiène informatique et formation à la cybersécurité.
- Cryptographie et chiffrement.
- Sécurité des ressources humaines, contrôle des accès et gestion des actifs.
- Authentification multifacteur et communications sécurisées.
2. La notification des incidents (article 23). Un incident important doit être signalé à l'autorité en trois temps. Une alerte précoce sous 24 heures. Une notification sous 72 heures. Un rapport final sous un mois.
3. L'engagement de la direction (article 20). Les dirigeants approuvent les mesures et supervisent leur mise en œuvre. Ils peuvent être tenus responsables en cas de manquement. Ils doivent aussi suivre une formation.
Ce que NIS 2 n'est pas :
- Pas une certification. Il n'existe pas de « certificat NIS 2 ». C'est une obligation réglementaire, contrôlée par l'autorité.
- Pas un sujet réservé à l'équipe technique. La direction est personnellement impliquée.
Les sanctions NIS 2 peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle. Pour une entité importante, le plafond est de 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial.
Combien de temps prend la mise en conformité NIS 2 ?
Le délai dépend de votre point de départ.
Le travail consiste à combler les écarts avec l'article 21, écrire la procédure de notification, former la direction, collecter les preuves. ouwba vous accompagne, l'ANSSI contrôle.
Pourquoi tant de projets dérapent :
- Le statut de l'entreprise n'est jamais tranché.
- La directive est lue comme un texte juridique, pas comme un plan d'action.
- Les fournisseurs sont oubliés, alors que la directive vise la chaîne d'approvisionnement.
- La procédure de notification d'incident n'est jamais testée.
NIS 2, ISO 27001, SOC 2, HDS : lequel vous faut-il ?
NIS 2 est une obligation. Les autres référentiels sont des moyens de prouver votre niveau de sécurité.
- Vous êtes concerné par NIS 2 et voulez le prouver : NIS 2 et ISO 27001 vont de pair. Un Système de Management de la Sécurité de l'Information (SMSI) ISO 27001 couvre une grande part de l'article 21. Voir notre accompagnement à la certification ISO 27001.
- Vos clients sont américains : ils demandent souvent un rapport SOC 2 (System and Organization Controls 2). Découvrez notre accompagnement SOC 2.
- Vous hébergez des données de santé pour le compte de tiers : la certification HDS (hébergeur de données de santé) est obligatoire en France. Voir notre accompagnement à la certification HDS.
Vous hésitez entre NIS 2 seule et ISO 27001 ?
Posez la question à un expertVos questions sur la conformité NIS 2
Mon entreprise est-elle concernée par NIS 2 ?
Vérifiez deux critères. Votre activité doit figurer dans un secteur des annexes I ou II de la directive : énergie, transports, santé, infrastructures numériques, industrie, alimentation, entre autres. Votre entreprise doit, en règle générale, compter au moins 50 salariés ou dépasser les seuils européens de chiffre d'affaires et de bilan. Certaines activités sont visées quelle que soit leur taille. Le diagnostic ouwba tranche la question avec vous.
Quelle différence entre entité essentielle et entité importante ?
Les entités essentielles sont souvent les plus grandes entreprises des secteurs hautement critiques de l'annexe I, plus certaines activités visées sans condition de taille. Elles subissent un contrôle renforcé, y compris des contrôles a priori. Les entités importantes sont surtout contrôlées a posteriori, par exemple après un incident. Les mesures de sécurité demandées sont proches. Les plafonds de sanction diffèrent.
Existe-t-il une certification NIS 2 ?
Non. NIS 2 est une obligation réglementaire, pas une norme de certification. Aucun organisme ne délivre de « certificat NIS 2 ». La conformité est contrôlée par l'autorité nationale, l'ANSSI en France. Pour prouver votre niveau de sécurité à vos clients, la certification ISO 27001 reste la référence reconnue. Elle couvre une grande part des mesures exigées par l'article 21 de la directive.
Quelles sanctions en cas de non-conformité ?
Les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle. Pour une entité importante, le plafond est de 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial. Le montant retenu est le plus élevé des deux. La directive prévoit aussi des mesures visant les dirigeants, qui peuvent être tenus responsables des manquements.
Que faut-il faire en cas d'incident ?
Un incident important doit être signalé à l'autorité en trois temps. Une alerte précoce sous 24 heures. Une notification plus complète sous 72 heures. Un rapport final sous un mois. Ces délais sont courts. Ils supposent une procédure écrite, des responsables désignés et un exercice de test. ouwba écrit cette procédure avec vous.
Quel lien entre NIS 2 et ISO 27001 ?
ISO 27001 est une norme internationale de management de la sécurité de l'information. Ses mesures recoupent largement les dix domaines de l'article 21 de NIS 2. Une entreprise certifiée ISO 27001 a donc déjà fait une grande partie du chemin. Il lui reste surtout à traiter la notification des incidents, la formation de la direction et les points propres à son secteur.
Je suis fournisseur d'une entité concernée : que dois-je faire ?
Même si vous n'êtes pas directement visé, vos clients doivent sécuriser leur chaîne d'approvisionnement. Ils vous transmettent donc des exigences par contrat : questionnaires, clauses de sécurité, preuves à fournir, parfois une certification ISO 27001. Le bon réflexe consiste à structurer votre sécurité une fois, puis à réutiliser les mêmes preuves pour tous vos clients concernés. ouwba vous aide à constituer ce socle commun.
Les dirigeants sont-ils responsables personnellement ?
Oui, la directive les implique directement. Selon l'article 20, les organes de direction approuvent les mesures de gestion des risques et supervisent leur mise en œuvre. Ils peuvent être tenus responsables en cas de manquement. Ils doivent aussi suivre une formation en cybersécurité. La conformité NIS 2 ne peut donc pas être déléguée entièrement à l'équipe technique. Le dossier de preuves doit montrer leur implication.
Combien de temps faut-il pour se mettre en conformité ?
Tout dépend de votre point de départ. Une entreprise déjà certifiée ISO 27001 avance bien plus vite qu'une entreprise sans cadre formalisé. Avec ouwba, comptez quelques semaines, selon le périmètre et la disponibilité des équipes. La qualification de votre statut, elle, se fait dès le premier échange avec un expert.
Par où commencer ?
Commencez par qualifier votre situation. Êtes-vous entité essentielle, importante, fournisseur d'une entité concernée, ou hors champ ? Le diagnostic ouwba répond à cette question en 30 minutes avec un expert. Vous repartez avec votre statut probable, vos priorités et une première estimation du calendrier. Vous saurez aussi quels clients risquent de vous demander des preuves.