La directive NIS 2

Vous souhaitez en savoir plus sur la directive NIS 2 ? Nos experts sont à votre disposition :

Qu'est-ce que la directive NIS ?

La 1ere version de la directive avait pour objectif d’identifier les entités des secteurs dits "essentiels", dont l’interruption ou les perturbations des services liées à des cyberattaques engendraient un impact significatif sur le tissu économique et social européen des Etats membres.
En France cette directive s’appliquait uniquement, aux OSE* et aux FSN* soit environ 300 entités, sur la base d'exigences précisées dans des arrêtés sectoriels définis et désignés par l'ANSSI.

* Opérateurs de Services Essentiels. **Fournisseurs de services numériques.

Pourquoi une évolution de la Directive NIS ?

Cette première version n’étant pas suffisamment explicite, elle engendrait des incohérences dans la désignation des OSE/FSN et des mesures à appliquer. Cela a donc conduit l'Union Européenne à proposer des modifications en augmentant le nombre d'organismes soumis à la directive NIS 2 et en coordonnant les actions en cas d'attaques dans chaque Etat membre.

La directive NIS 2 marque donc la fin des OSE et des FSN qui sont remplacés par les Entités Essentielles (EE) et les Entités Importantes (EI) et va toucher plus de secteurs d’activités y compris des organisations publiques.

Chaque Etat Membre a jusqu’à octobre 2024 pour la transposer dans son pays.En France, l’ANSSI porte le sujet.

Quelles sont les entreprises et nouveaux secteurs concernés ?

Secteurs hautement critiques

Secteurs critiques

Les préconisations d'Orange Cyberdefense

A date, le texte de la directive NIS 2 est en cours de transposition par l’ANSSI qui a travaillé avec les acteurs des secteurs concernés, notamment lors de consultations.

Afin d’anticiper votre mise en conformité, nos experts recommandent de ne pas attendre la transposition française et de débuter via une approche déclinée en 3 piliers :

Et de se focaliser sur les 3 articles importants de cette directive :

Pourquoi anticiper la mise en conformité ?

Afin de renforcer et d’harmoniser le niveau de cybersécurité des entités impactées, la directive NIS 2 spécifie au sein de l’article 21 un ensemble de mesures de sécurité minimales à mettre en œuvre. Ces mesures seront également complétées par l’ANSSI dans la transposition française, à l'instar de ce qui avait été fait pour la directive NIS 1.

Au vu du nombre d’exigences ainsi que du périmètre sur lesquelles ces dernières devront être appliquées, un investissement non négligeable (tant humain que financier) sera nécessaire afin de se mettre en conformité.

En effet, cette Directive NIS 2 force les organismes à connaitre les risques propres à chaque activité, identifier les mesures à déployer pour les traiter, pour définir ou redéfinir sa gouvernance cyber. Il faut aussi se doter de solutions de sécurité et s'assurer dans le temps que les mesures de sécurité soient pertinentes au regard des risques encourus.