Avocat NIS2

NIS2 est la directive européenne sur la sécurité des réseaux et des systèmes d'information, qui succède à la première directive NIS. Elle vise à relever le niveau de cybersécurité dans l'Union en imposant aux entités concernées des mesures de gestion des risques, des obligations de notification d'incidents et une implication de leurs dirigeants. Elle élargit fortement le nombre de secteurs et d'entreprises soumis à ces obligations.

NIS2 distingue les entités essentielles et les entités importantes, selon leur secteur et leur taille. De très nombreux secteurs sont visés : énergie, transports, santé, eau, infrastructures numériques, services TIC, administration, espace, mais aussi agroalimentaire, fabrication, gestion des déchets et autres. Une analyse précise de votre activité et de votre taille est nécessaire pour déterminer si vous êtes concerné et à quel titre.

Les entités concernées doivent mettre en œuvre des mesures techniques et organisationnelles de gestion des risques (analyse de risques, sécurité des systèmes, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement), notifier les incidents significatifs dans des délais courts, et impliquer leur organe de direction, qui doit valider les mesures et peut voir sa responsabilité engagée.

NIS2 prévoit des sanctions significatives, avec des plafonds différenciés selon que l'entité est essentielle ou importante. Au-delà des amendes, les autorités disposent de pouvoirs d'injonction et de contrôle, et la responsabilité des dirigeants peut être engagée. La conformité n'est donc pas optionnelle : elle doit être pilotée au plus haut niveau de l'entreprise.

La démarche commence par déterminer si vous êtes concerné et à quel titre, puis par un état des lieux de votre niveau de sécurité au regard des exigences. Vient ensuite un plan d'actions : mesures techniques et organisationnelles, procédures de notification, gouvernance, sécurisation de la chaîne de sous-traitance. La documentation et l'implication de la direction sont des éléments clés de la conformité.

Oui. La sécurité de la chaîne d'approvisionnement est un volet important de NIS2 : les entités concernées doivent prendre en compte les risques liés à leurs fournisseurs et prestataires. Cela suppose d'évaluer ces risques et d'encadrer contractuellement les exigences de sécurité avec les sous-traitants. Même des entreprises non directement soumises peuvent être sollicitées par leurs clients assujettis.

NIS2 et le RGPD sont complémentaires mais distincts. Le RGPD protège les données personnelles et impose déjà une obligation de sécurité et de notification des violations à la CNIL. NIS2 vise plus largement la sécurité des réseaux et systèmes d'information, avec ses propres obligations et autorités. Une entreprise peut être soumise aux deux, ce qui appelle une approche coordonnée de la conformité et de la gestion des incidents.

Dès maintenant. La mise en conformité demande du temps : qualification de votre situation, état des lieux, déploiement des mesures, structuration de la gouvernance et de la documentation. Les entreprises qui anticipent évitent de subir l'échéance dans l'urgence et transforment la contrainte en atout de sécurité et de crédibilité vis-à-vis de leurs clients et partenaires.