La directive européenne NIS2 (Network and Information Security 2) est entrée en vigueur en octobre 2024 dans les États membres de l’Union Européenne. En France, sa transposition dans le droit national est… toujours en cours de finalisation. Si vous êtes industriel, vous avez probablement entendu parler de cette réglementation. Mais savez-vous réellement ce qu’elle implique pour votre entreprise, et ce que vous risquez si vous ne vous mettez pas en conformité ?
NIS2 : qui est concerné ?
Contrairement à NIS1, qui ciblait principalement les opérateurs d’importance vitale (OIV), NIS2 élargit considérablement le périmètre. Sont désormais concernées les entreprises dans des secteurs dits « essentiels » ou « importants », notamment :
- Industrie manufacturière (agroalimentaire, chimie, équipements industriels)
- Énergie, eau, transports, gestion des déchets
- Services numériques et fournisseurs de cloud
- Santé, pharmacie, laboratoires de recherche
En pratique, si vous êtes un industriel avec plus de 50 salariés ou un chiffre d’affaires dépassant 10 millions d’euros, il y a de grandes chances que NIS2 vous concerne directement.
Quelles sont les obligations concrètes ?
NIS2 impose quatre grandes catégories d’obligations :
- Gouvernance : nommer un responsable de la sécurité des systèmes d’information (RSSI) et former la direction aux risques cyber.
- Gestion des risques : réaliser une analyse de risques documentée et mettre en place des mesures de sécurité proportionnées.
- Notification des incidents : déclarer tout incident significatif à l’ANSSI dans un délai de 24 heures, puis fournir un rapport complet sous 72 heures.
- Sécurité de la chaîne d’approvisionnement : auditer et sécuriser vos sous-traitants et fournisseurs qui accèdent à vos systèmes.
Quels risques en cas de non-conformité ?
Les sanctions prévues par NIS2 sont nettement plus sévères que sous l’ancienne directive. Pour les entités essentielles, les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel. Pour les entités importantes, le plafond est fixé à 7 millions d’euros ou 1,4 % du CA. Par ailleurs, les dirigeants peuvent être tenus personnellement responsables en cas de manquement grave.
Plan d’action en 5 étapes pour se mettre en conformité
Voici une approche structurée et réaliste pour aborder NIS2 sans se noyer. Mais pour Sécurité Off, ces mesures valent pour toute entreprise, qu’elle soit concernée ou non par NIS2 :
- Étape 1 – Identifier votre catégorie : êtes-vous entité essentielle ou importante ? Les obligations et délais diffèrent.
- Étape 2 – Cartographier vos systèmes d’information : inventoriez vos actifs critiques, vos accès distants, vos interconnexions avec des tiers.
- Étape 3 – Réaliser une analyse de risques : évaluez les menaces potentielles sur vos systèmes OT (opérationnels) et IT (informatiques).
- Étape 4 – Mettre en place les mesures techniques : segmentation réseau, authentification forte, journalisation des accès, plan de continuité d’activité.
- Étape 5 – Documenter et former : toute mesure de sécurité non documentée est considérée comme inexistante aux yeux du régulateur.
Ne pas attendre la deadline
L’erreur classique est d’attendre que la réglementation soit totalement applicable pour commencer à agir. Or, une mise en conformité sérieuse prend en moyenne 12 à 18 mois pour un industriel de taille intermédiaire. Les entreprises qui tardent se retrouvent à devoir gérer dans l’urgence, à coûts bien plus élevés et avec des résultats moins solides.
À retenir : NIS2 n’est pas qu’une contrainte réglementaire. C’est l’occasion de structurer votre cybersécurité de façon durable. Les entreprises qui s’y préparent correctement sortiront renforcées, et plus compétitives face aux donneurs d’ordre qui exigent des garanties de sécurité de leurs fournisseurs.