Directive NIS2 : renforcer la cybersécurité contre la cybercriminalité

En 2024, la cybercriminalité a atteint un niveau record. Elle cible les gouvernements et les industries du monde entier et menace la sécurité des données et infrastructures critiques. Selon un rapport de Cybersecurity Ventures, les coûts de la cybercriminalité devraient atteindre 10 500 milliards de dollars par an d’ici à 2025, contre 3 000 milliards de dollars en 2015{{Footnote.A74148}}.

Cette hausse est due à des cyberattaques, à des ransomwares et à des violations de données de plus en plus sophistiqués, dont la fréquence et la gravité augmentent chaque année. Le Global Risk Report 2023{{Footnote.A74149}} du Forum économique mondial indique que les cybermenaces figurent parmi les principaux risques mondiaux, ce qui met en évidence le besoin urgent de solides mesures de cybersécurité.

Pour lutter contre cette menace croissante, l’Union européenne a publié la directive NIS2, une mise à jour importante de la directive NIS originale (directive sur les réseaux et les systèmes d’information) de 2016, avec un champ d’application élargi couvrant davantage d’infrastructures critiques et de fournisseurs de services essentiels.

La directive NIS2 vise à renforcer la cybersécurité des infrastructures critiques dans l’ensemble de l’UE, en garantissant une plus grande résilience et des protections plus solides contre les violations de données et les perturbations causées par les acteurs malveillants.

David Clarke, expert en sécurité, explique les principales différences entre la NIS et la NIS2.

Champ d’application et portée : La directive NIS initiale se concentrait principalement sur les opérateurs de services essentiels et les fournisseurs de services numériques. La directive NIS2 élargit son champ d’application pour inclure les moyennes et grandes entités d’un éventail plus large de secteurs, notamment les soins de santé, les transports, l’énergie, les banques et les administrations publiques. Cela signifie qu’un plus grand nombre d’organisations et d’entités gouvernementales sont désormais tenues de se conformer à des normes de cybersécurité strictes.

Exigences en matière de sécurité : La NIS2 introduit des exigences de sécurité plus détaillées. Les organisations doivent mettre en œuvre des mesures de gestion des risques, procéder à des évaluations régulières de la sécurité et adopter des stratégies de réponse aux incidents. Cette directive impose l’utilisation du chiffrement et des contrôles d’accès pour protéger les données sensibles.

Rapports d’incidents : La directive NIS initiale exigeait que les entités signalent les incidents importants dans les plus brefs délais. La directive NIS2 renforce cette exigence en imposant le signalement des incidents dans les 24 heures suivant leur détection, ce qui permet de réagir plus rapidement aux attaques et aux perturbations qui en découlent.

Supervision et mise en application : La NIS2 renforce le rôle des autorités nationales dans la supervision et la mise en application de la conformité. Les sanctions en cas de non-respect sont également plus sévères, les amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial de l’entreprise, le montant le plus élevé étant retenu.

Sécurité de la chaîne d’approvisionnement : La NIS2 souligne l’importance de la sécurisation de la chaîne d’approvisionnement critique, en exigeant des entreprises et des gouvernements qu’ils évaluent et gèrent les risques de cybersécurité posés par leurs fournisseurs et prestataires de services.

Qui est concerné ?

Le champ d’application de la NIS2 étant élargi, le nombre de secteurs concernés a augmenté. Il s’agit notamment de l’énergie, des transports, des banques, des infrastructures des marchés financiers, des soins de santé, de l’approvisionnement et de la distribution d’eau potable, de l’infrastructure numérique, des gouvernements et du secteur aérospatial. Les moyennes et grandes entreprises de ces secteurs devront se conformer à la nouvelle directive à partir du 17 octobre 2024.

Amendes et sanctions potentielles

Le non-respect de la directive NIS2 peut entraîner des amendes conséquentes. Les organisations qui ne respectent pas les normes requises ou qui ne signalent pas rapidement les incidents s’exposent à des sanctions pouvant aller jusqu’à 10 millions d’euros ou 2 % de leur chiffre d’affaires annuel mondial. Ces sanctions sévères soulignent l’importance pour les organisations d’adhérer à cette directive afin d’éviter des pertes financières et de voir leur réputation entachée.

Vous n’êtes pas dans l’UE ?

Même les organisations qui ne sont pas basées dans l’UE sont concernées par la directive NIS2. Si votre organisation opère dans ou avec une entité de l’UE, vous êtes soumis à ces réglementations et aux sanctions qui en découlent en cas de non-conformité.