Directive NIS 2 : Analyse Complète et Cadre d'Action
La Directive NIS 2 représente une refonte majeure de la cybersécurité européenne. Découvrez les obligations, secteurs concernés, sanctions et calendrier de mise en conformité.
La Directive (UE) 2022/2555, dite "NIS 2", représente une refonte majeure de la législation européenne en matière de cybersécurité, abrogeant et remplaçant la directive NIS de 2016. Face à l'intensification et à la sophistication croissante des cybermenaces, NIS 2 vise à établir un niveau commun élevé de cyber-résilience dans l'ensemble de l'Union européenne. Elle élargit considérablement son champ d'application, impose des obligations de sécurité plus strictes, renforce les mécanismes de supervision et instaure des sanctions plus dissuasives pour garantir le bon fonctionnement du marché intérieur et la protection des activités sociétales et économiques critiques.
Principaux points à retenir :
- Champ d'Application Étendu : La directive couvre désormais 18 secteurs, classés en "hautement critiques" et "autres secteurs critiques". Plus de 10 000 entités en France, incluant des grandes entreprises, des PME, des administrations publiques et des collectivités territoriales, sont potentiellement concernées.
- Deux Catégories d'Entités : NIS 2 distingue les Entités Essentielles (EE) et les Entités Importantes (EI) en fonction de leur criticité et de leur taille, appliquant un régime de supervision et de sanctions différencié pour assurer la proportionnalité des mesures.
- Obligations Fondamentales : Les entités régulées doivent mettre en œuvre des mesures de gestion des risques techniques, opérationnelles et organisationnelles couvrant un large spectre, incluant la sécurité de la chaîne d'approvisionnement, la gestion des incidents, la continuité d'activité et la formation.
- Responsabilité de la Direction : Une innovation majeure est l'implication directe des organes de direction, qui doivent approuver les mesures de cybersécurité et superviser leur mise en œuvre, engageant ainsi leur responsabilité en cas de manquement.
- Notification d'Incidents Stricte : Les entités doivent notifier tout incident de sécurité important à leur autorité compétente ou CSIRT (Centre de réponse aux incidents de sécurité informatique) selon un processus en plusieurs étapes : une alerte précoce sous 24h, une notification détaillée sous 72h, et un rapport final sous un mois.
- Supervision et Sanctions Renforcées : Les autorités nationales disposent de pouvoirs de supervision accrus (inspections, audits). Les sanctions financières sont significativement alourdies, pouvant atteindre jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les EE, et 7 millions d'euros ou 1,4 % pour les EI.
- Rôle Clé de l'ANSSI en France : L'Agence nationale de la sécurité des systèmes d'information (ANSSI) pilote la transposition de la directive en droit français et agira en tant qu'autorité nationale. Elle a lancé la plateforme monespacenis2.cyber.gouv.fr pour accompagner les entités dans leur mise en conformité.
- Calendrier : Les États membres ont jusqu'au 17 octobre 2024 pour transposer la directive dans leur droit national.
## 1. Introduction à la Directive NIS 2
La Directive (UE) 2022/2555, ou NIS 2, a été publiée le 14 décembre 2022 pour remplacer la directive (UE) 2016/1148 (NIS 1). Cette révision a été rendue nécessaire par l'évolution rapide du paysage des cybermenaces et les insuffisances constatées dans la première directive.
### 1.1. Contexte et ObjectifsLa transformation numérique a rendu les réseaux et systèmes d'information essentiels à la quasi-totalité des activités économiques et sociétales. Parallèlement, "le nombre, l'ampleur, la sophistication, la fréquence et l'impact des incidents ne cessent de croître et représentent une menace considérable". La directive NIS 1, bien qu'ayant servi de "catalyseur", a montré des lacunes, notamment des divergences importantes dans sa mise en œuvre par les États membres (champ d'application, obligations de sécurité, supervision), créant une fragmentation du marché intérieur et des niveaux de cyber-résilience inégaux.
L'objectif principal de NIS 2 est de remédier à ces lacunes en établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union. Pour ce faire, la directive vise à :
- Harmoniser et étendre le champ d'application pour couvrir une plus grande partie de l'économie.
- Renforcer les obligations de sécurité et les exigences en matière de notification d'incidents.
- Instaurer un cadre de supervision et d'exécution plus strict et cohérent à travers l'UE.
- Améliorer la coopération entre les autorités nationales et la gestion des crises cyber à grande échelle.
- Accroître la résilience opérationnelle des entités critiques pour le fonctionnement de la société.
Comme le souligne Vincent Strubel, Directeur général de l'ANSSI, "Face à une cybermenace qui s'accroît, NIS 2 relève le défi d'une meilleure sécurisation des tissus économique et administratif de la France."
### 1.2. Abrogation de NIS 1La directive NIS 2 abroge formellement la directive NIS 1 à compter du 18 octobre 2024. Elle élimine la distinction obsolète entre "opérateurs de services essentiels" et "fournisseurs de services numériques", la remplaçant par une nouvelle classification plus adaptée et plus large.
## 2. Champ d'Application : Qui est concerné ?NIS 2 élargit considérablement le nombre et les types d'entités soumises à des obligations de cybersécurité. L'identification des entités repose sur une combinaison de leur secteur d'activité, de leur taille et de leur criticité.
### 2.1. Distinction entre Entités Essentielles (EE) et Entités Importantes (EI)Pour garantir la proportionnalité des mesures, la directive établit deux catégories principales d'entités régulées :
| Catégorie | Description | Régime de supervision |
|---|---|---|
| Entités Essentielles (EE) | Entités opérant dans les secteurs "hautement critiques" (Annexe I) et dépassant certains seuils de taille, ainsi que certaines entités critiques quelle que soit leur taille (ex: prestataires de services de confiance qualifiés). | Soumises à une supervision complète, incluant des contrôles proactifs (ex ante) et réactifs (ex post). |
| Entités Importantes (EI) | Entités opérant dans les secteurs "hautement critiques" ou "autres secteurs critiques" (Annexes I et II) qui ne sont pas classées comme EE. | Soumises à une supervision plus légère, principalement réactive (ex post), déclenchée sur la base d'éléments de preuve d'un manquement. |
Cette distinction permet d'adapter la rigueur des contrôles et le niveau des sanctions aux enjeux de chaque catégorie.
### 2.2. Critères de Taille et ExclusionsEn règle générale, la directive s'applique aux entités qui sont considérées comme des moyennes entreprises ou qui dépassent ces seuils. Cependant, elle s'applique également à certaines petites et microentreprises si elles jouent un rôle essentiel pour la société ou si elles fournissent des services spécifiques (ex: fournisseurs de services DNS, prestataires de services de confiance).
Sont exclues du champ d'application les entités dont les activités relèvent principalement des domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l'application de la loi.
### 2.3. Secteurs d'Activité ConcernésLa directive organise les entités concernées en 18 secteurs, répartis en deux annexes.
| Secteur |
|---|
| 1. Énergie (Électricité, Réseaux de chaleur/froid, Pétrole, Gaz, Hydrogène) |
| 2. Transports (Aérien, Ferroviaire, Par eau, Routier) |
| 3. Secteur bancaire |
| 4. Infrastructures des marchés financiers |
| 5. Santé (Prestataires de soins, laboratoires de référence, R&D et fabrication de produits pharmaceutiques et dispositifs médicaux critiques) |
| 6. Eau potable |
| 7. Eaux usées |
| 8. Infrastructure numérique (Fournisseurs d'IXP, DNS, registres TLD, cloud, centres de données, CDN, services de confiance, réseaux et services de communications électroniques) |
| 9. Gestion des services TIC (interentreprises) (Fournisseurs de services gérés et de services de sécurité gérés) |
| 10. Administration publique (Entités des pouvoirs publics centraux et régionaux) |
| 11. Espace (Exploitants d'infrastructures terrestres) |
| Secteur |
|---|
| 1. Services postaux et d'expédition |
| 2. Gestion des déchets |
| 3. Fabrication, production et distribution de produits chimiques |
| 4. Production, transformation et distribution des denrées alimentaires |
| 5. Fabrication (Dispositifs médicaux, produits informatiques/électroniques, équipements électriques, machines, véhicules automobiles, autres matériels de transport) |
| 6. Fournisseurs numériques (Places de marché en ligne, moteurs de recherche en ligne, plateformes de réseaux sociaux) |
| 7. Recherche (Organismes de recherche) |
La directive impose un socle d'obligations claires et précises pour renforcer la posture de cybersécurité des entités concernées.
### 3.1. Gouvernance et Responsabilité de la Direction (Article 20)C'est l'une des évolutions les plus significatives de NIS 2. Les États membres doivent s'assurer que :
- Les organes de direction des entités approuvent les mesures de gestion des risques en matière de cybersécurité et supervisent leur mise en œuvre.
- Les membres de ces organes peuvent être tenus responsables en cas de violation des obligations.
- Les membres des organes de direction sont tenus de suivre une formation en cybersécurité pour être en mesure d'évaluer les risques et les pratiques de gestion.
Les entités doivent prendre des mesures techniques, opérationnelles et organisationnelles "appropriées et proportionnées" pour gérer les risques. Ces mesures doivent être fondées sur une approche "tous risques", visant à protéger les systèmes d'information et leur environnement physique. La liste minimale de mesures à mettre en œuvre inclut :
- Analyse des risques et politiques de sécurité des systèmes d'information.
- Gestion des incidents (procédures de prévention, détection et réponse).
- Continuité des activités et gestion de crise, incluant la gestion des sauvegardes et la reprise d'activité.
- Sécurité de la chaîne d'approvisionnement, en évaluant la cybersécurité des fournisseurs et prestataires directs.
- Sécurité dans l'acquisition, le développement et la maintenance des systèmes, y compris la gestion et la divulgation des vulnérabilités.
- Politiques et procédures d'évaluation de l'efficacité des mesures de cybersécurité.
- Pratiques de base en matière de cyberhygiène et formation à la cybersécurité pour le personnel.
- Politiques sur l'utilisation de la cryptographie et du chiffrement.
- Sécurité des ressources humaines, politiques de contrôle d'accès et gestion des actifs.
- Utilisation de solutions d'authentification à plusieurs facteurs ou continue.
Un processus de notification strict et en plusieurs étapes est mis en place pour tout "incident important" (causant une perturbation opérationnelle grave, des pertes financières, ou un dommage considérable à d'autres personnes).
| Étape | Délai | Contenu |
|---|---|---|
| Alerte précoce | Dans les 24 heures après avoir eu connaissance de l'incident. | Informations initiales, indication si l'incident est suspecté d'être d'origine malveillante et s'il pourrait avoir un impact transfrontière. |
| Notification d'incident | Dans les 72 heures après avoir eu connaissance de l'incident. | Mise à jour des informations de l'alerte précoce, évaluation initiale de la gravité et de l'impact, indicateurs de compromission. |
| Rapport final | Au plus tard un mois après la notification d'incident. | Description détaillée de l'incident, cause profonde, mesures d'atténuation appliquées et en cours, impact transfrontalier. |
En cas d'incident en cours, un rapport d'avancement doit être fourni à la place du rapport final, qui sera soumis un mois après la résolution de l'incident.
### 3.4. Partage d'InformationsLa directive encourage fortement le partage volontaire d'informations sur la cybersécurité (cybermenaces, vulnérabilités, indicateurs de compromission, etc.) entre les entités, au sein de "communautés" et via des accords spécifiques, afin d'améliorer la prévention, la détection et la réponse collective (Article 29).
## 4. Supervision et SanctionsNIS 2 renforce considérablement les moyens de contrôle des autorités nationales et le caractère dissuasif des sanctions.
### 4.1. Pouvoirs de Supervision (Articles 32 et 33)Les autorités compétentes (comme l'ANSSI en France) disposent d'un large éventail de pouvoirs, adaptés à la catégorie de l'entité :
Pour les Entités Essentielles (EE) :
- Inspections sur place et contrôles à distance.
- Audits de sécurité réguliers et ciblés.
- Demandes d'informations, de documents et de preuves de mise en œuvre des politiques de sécurité.
Pour les Entités Importantes (EI) :
- Mesures de supervision ex post (réactives), déclenchées si l'autorité a connaissance d'un possible manquement.
- Les mêmes types de contrôles (inspections, audits) peuvent être menés, mais ne sont pas systématiques.
En cas de non-respect, les autorités peuvent imposer une série de mesures correctives :
- Émettre des avertissements.
- Adopter des instructions contraignantes avec des délais de mise en conformité.
- Ordonner la cessation d'un comportement illicite.
- Imposer des sanctions administratives.
- En dernier recours, et en cas de non-exécution des mesures, les autorités peuvent suspendre une certification ou une autorisation ou même interdire temporairement à un dirigeant d'exercer ses fonctions.
Les sanctions financières sont un élément central du dispositif dissuasif de NIS 2.
| Catégorie d'entité | Montant maximal de l'amende administrative |
|---|---|
| Entités Essentielles (EE) | Le plus élevé des deux montants : 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent. |
| Entités Importantes (EI) | Le plus élevé des deux montants : 7 000 000 EUR ou 1,4 % du chiffre d'affaires annuel mondial total de l'exercice précédent. |
L'ANSSI, en tant qu'autorité nationale, est le pivot de la mise en œuvre de la directive NIS 2 en France. Elle pilote la transposition législative et réglementaire et sera l'interlocuteur principal des entités assujetties.
### 5.1. Accompagnement et OutilsL'ANSSI a adopté une démarche de "co-construction" en menant des consultations avec les fédérations professionnelles et les acteurs concernés depuis l'automne 2023. Pour accompagner concrètement les entités, l'agence a développé la plateforme en ligne monespacenis2.cyber.gouv.fr. Ce service numérique a pour vocation de :
- Informer : Fournir des informations claires sur la directive et les évolutions de sa transposition.
- Identifier : Proposer un test en ligne pour aider une entité à déterminer si elle est potentiellement assujettie à la directive.
- Enregistrer : Mettre à disposition un service d'enregistrement en ligne pour que les entités puissent communiquer les informations requises à l'ANSSI, conformément à l'obligation de la directive.
Conformément à la directive, les entités devront signaler leurs incidents de sécurité importants à l'ANSSI (agissant en tant qu'autorité compétente/CSIRT national). La plateforme MonEspaceNIS2 sera probablement le canal privilégié pour ces déclarations.
## 6. Calendrier de Transposition et Prochaines ÉtapesLe déploiement de la directive NIS 2 suit un calendrier précis à l'échelle européenne et nationale.
| Date | Événement | Action requise |
|---|---|---|
| 27 décembre 2022 | Publication de la directive NIS 2 au Journal Officiel de l'UE. | - |
| 17 octobre 2024 | Échéance de transposition nationale pour les États membres. | Les États membres doivent avoir adopté et publié les lois et règlements nécessaires pour se conformer à la directive. Les dispositions deviennent applicables le 18 octobre 2024. |
| 17 janvier 2025 | Information à la Commission Européenne. | Les États membres doivent notifier à la Commission les règles et mesures adoptées. |
| 17 avril 2025 | Établissement de la liste des entités. | Chaque État membre doit établir et communiquer la liste des Entités Essentielles (EE) et des Entités Importantes (EI) sur son territoire. |
Pour les entités, l'action immédiate consiste à évaluer leur possible assujettissement via les outils de l'ANSSI, à initier un diagnostic de leur maturité cyber au regard des obligations de la directive, et à planifier les chantiers de mise en conformité (gouvernance, gestion des risques, processus de notification) en anticipation de la transposition par l'État français.
Un dossier sur ce sujet ? Tech, Data & IA — Contacter le cabinet