Qu'est-ce que NIS2 ?

Statut : notion. Page d’explication générale, indépendante du projet. Notre analyse est dans cible/nis2-dora.md.

En une phrase

NIS2 est une directive européenne (UE 2022/2555) qui relève le niveau de cybersécurité des organisations jugées importantes pour la société et l’économie. Elle remplace la première directive NIS de 2016.

Qui est concerné

Beaucoup plus d’organisations qu’avant : énergie, transports, santé, eau, infrastructures numériques, administrations, mais aussi gestion des déchets, industrie, services postaux… Elles sont classées en deux catégories :

Entités essentielles : les secteurs les plus critiques et les plus grandes structures, avec un contrôle a priori ;
Entités importantes : les autres, avec un contrôle a posteriori, en cas de doute ou d’incident.

Ce qu’elle exige

Des mesures de sécurité adaptées au risque : analyse de risques, gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, chiffrement, contrôle des accès, formation (article 21).
La notification des incidents importants à l’autorité nationale, avec une alerte précoce sous 24 h (article 23).
L’implication de la direction, qui doit approuver les mesures et peut être tenue responsable.
Des sanctions pouvant atteindre 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles.

Directive ou règlement ?

NIS2 est une directive : chaque pays doit la transposer dans son droit national. En France, c’est l’ANSSI qui est l’autorité de référence ; l’état exact de la transposition est à vérifier au moment de la lecture.

NIS2 et DORA

Pour le secteur financier, DORA prime : NIS2 prévoit elle-même (article 4) qu’un texte sectoriel aux exigences au moins équivalentes la remplace pour la gestion des risques et la notification des incidents. Une banque ou un établissement de paiement applique donc DORA pour ces sujets.

Ce qu’il faut retenir

NIS2 élargit fortement le nombre d’organisations soumises à des obligations de cybersécurité et rend la direction responsable. Pour une activité financière, c’est surtout une grille de lecture : le texte qui s’impose, c’est DORA.