NIS2 (directive européenne de cybersécurité)

NIS2 est le nom courant de la directive (UE) 2022/2555, qui a remplacé la première directive NIS de 2016. Selon la Commission européenne, elle établit un cadre juridique commun pour la cybersécurité dans 18 secteurs critiques de l'Union. Elle élargit le champ de la première version : on y trouve désormais, en plus de l'énergie, des transports, de la santé, de la finance, de l'eau et des infrastructures numériques, les communications électroniques, certaines plateformes en ligne, la gestion des déchets, la fabrication de produits critiques, les services postaux, l'administration publique et le secteur spatial. En règle générale, les entités de taille moyenne et grande de ces secteurs doivent prendre des mesures appropriées de gestion des risques de cybersécurité et notifier les incidents importants aux autorités compétentes. La directive distingue deux catégories, les entités essentielles et les entités importantes, selon le secteur et la taille, avec un niveau de supervision différent. Elle introduit aussi une responsabilité de la direction : les dirigeants sont concernés, et la cybersécurité n'est plus un sujet réservé à l'informatique. Une directive européenne doit être transposée en droit national avant de s'appliquer aux entreprises. Les États membres avaient jusqu'au 17 octobre 2024 pour le faire, et NIS1 a été abrogée à compter du 18 octobre 2024. En France, la transposition passe par un projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dont l'état d'avancement doit être vérifié sur les sites officiels (ANSSI, Légifrance, Sénat) avant toute décision. Pour une TPE ou une PME, la première question est simple : mon entreprise appartient-elle à l'un des secteurs listés et dépasse-t-elle le seuil de taille ? Si oui, des obligations propres s'appliqueront. Si non, elle peut quand même être concernée indirectement : un client soumis à NIS2 demandera à ses fournisseurs et sous-traitants des garanties de sécurité, car la directive impose de surveiller la chaîne d'approvisionnement. Dans tous les cas, les mesures attendues sont des bonnes pratiques éprouvées : inventaire des systèmes, mises à jour, double authentification, sauvegardes testées, plan de réaction aux incidents, sensibilisation des équipes. Elles protègent l'entreprise même quand aucune obligation légale ne s'applique.