Sensibilisation à NIS2 : la responsabilité en cybersécurité s'étend aux secteurs essentiels
NIS2 marque une expansion majeure des attentes en cybersécurité à travers l’Union européenne. Les États membres de l’UE devaient transposer la directive en droit national avant le 17 octobre 2024, et NIS2 a remplacé le cadre NIS d’origine à partir du 18 octobre 2024. (Digital Strategy)
La directive s’applique à un ensemble élargi d’entités essentielles et importantes dans des secteurs tels que l’énergie, les transports, la banque, les infrastructures des marchés financiers, la santé, l’eau potable, les infrastructures numériques, la gestion des services TIC (technologies de l’information et de la communication), l’administration publique, l’espace, les services postaux, l’alimentation, la chimie, l’industrie manufacturière et les fournisseurs numériques.
Le changement le plus important porte sur la responsabilité. NIS2 met un accent renforcé sur la responsabilité de la direction, la gouvernance du risque cyber, le reporting des incidents, la sécurité de la chaîne d’approvisionnement, la continuité d’activité, la gestion des vulnérabilités et les mesures techniques et organisationnelles.
Pour de nombreuses organisations, la difficulté n’est pas de comprendre que la cybersécurité compte. La difficulté est de démontrer que la cybersécurité est intégrée à la gouvernance, aux opérations, aux fournisseurs, aux processus et à la réponse aux incidents.
La sensibilisation à NIS2 doit commencer par le cadrage du périmètre. L’organisation est-elle directement concernée ? Est-elle exposée indirectement via des clients, des régulateurs, des contrats ou des attentes de chaîne d’approvisionnement ? Une fois ce point clarifié, les organisations peuvent définir un plan de préparation concret couvrant la gouvernance, l’évaluation des risques, le renforcement des contrôles, le reporting des incidents, la résilience et la gestion des preuves.
Message clé : NIS2 ne porte pas uniquement sur les contrôles technologiques. Il s’agit de la responsabilité organisationnelle pour la sécurité et la continuité des services essentiels.
