Cybersécurité : la loi NIS 2 entre en vigueur

[Mathilde3.0]

Cybersécurité : la loi NIS 2 entre en vigueur, un tsunami pour les entreprises et collectivités
La loi NIS 2 ( Network and Information systems), (ou en français : sécurité des réseaux et des systèmes d’informations) s’appuie sur les acquis de la directive NIS1 à l’échelon national et européen. Elle élargit ses objectifs et son périmètre d’applicabilité pour apporter davantage de protection pour les entreprises. Cela comprend:

• Les services essentiels et les fournisseurs de service numérique
  
• Le secteur de la santé
  
• Des transports
  
• Le secteur bancaire,
  
• Des eaux usées et potables,
  
• Le secteur de la recherche, des services postaux
  
• Le secteur alimentaires ou encore des énergies.
  

Cette nouvelle directive joue un rôle important, trop d’entreprises ne sont pas protégées correctement. Elle est entrée en vigueur le 17 Octobre 2024, la France, elle, a jusqu’au 17 janvier 2025. Certaines exigences seront d’application directe et d’autres devraient êtres soumises à un délai de mise en conformité.
Seront concernées par la loi NIS 2 les administrations et les entreprises de toutes tailles allant des PME aux groupes du CAC40 ; la directive NIS2 distingue 2 catégories d’entités régulées : les entités essentielles (EE) et les entités importantes(EI), selon leur degré de criticité, leur taille et leur chiffre d’affaire. L’application de cette nouvelle directive est fortement recommandée, en effet pour les entités qui ne l’auront pas suivi, sera appliquée une sanction comparable à celle du RGPD, qui pourra selon les infrastructures être sur un pourcentage du chiffre d’affaires mondial de l’organisme concerné. Des sanctions plus élevées pour s’assurer que les entreprises prennent la cybersécurité au sérieux. Les organisations doivent mettre en œuvre des protocoles de sécurité strictes, des mesures juridiques, techniques et organisationnelles pour gérer les risques qui menacent la sécurité de leurs réseaux et de leurs systèmes d’information. Elles seront tenues de fournir un certains nombre d’informations à l’autorité nationale désignée et de les mettre à jour. Enfin, elles devront signaler les cyber-incidents importants aux autorités nationales.

sources: MonEspaceNIS2 - Accueil

[EnZ0]

Très intéressant cet article sur la directive NIS 2. C'est effectivement un changement majeur qui va impacter de nombreuses entreprises françaises. L'ampleur du dispositif avec plus de 15 000 structures concernées en France, c'est surprenant !

Je trouve particulièrement pertinent que la directive mette l'accent sur la responsabilisation des dirigeants. C'est un point crucial qui va certainement faire évoluer la perception de la cybersécurité au niveau stratégique.

Un aspect qui mérite d'être souligné est le délai de notification de 72h en cas d'incident. C'est un vrai défi opérationnel qui va nécessiter des processus bien rodés et une organisation solide.

Ce qui est intéressant aussi, c'est que la France a largement inspiré cette directive européenne, notamment via sa Loi de Programmation Militaire. On voit bien ici le rôle moteur de notre pays dans le domaine de la cybersécurité au niveau Européen

Les seuils fixés (50 salariés, 10M€ de CA) vont toucher beaucoup d'entreprises qui n'étaient pas forcément préparées à ce niveau d'exigence.