NIS2, de quoi parle-t-on ?

La directive NIS2, adoptée fin 2022, remplace la première directive NIS de 2016. Son objectif : élever le niveau de cybersécurité dans l'Union européenne en imposant des mesures de gestion des risques et des obligations de notification d'incidents à un nombre beaucoup plus large d'entités. En France, sa transposition est portée par le législateur, et l'ANSSI accompagne les organisations, notamment via la plateforme MonEspaceNIS2.

Les critères pour savoir si vous êtes concerné

Votre secteur d'activité

NIS2 distingue des secteurs « hautement critiques » (énergie, transports, santé, eau, infrastructures numériques…) et d'autres secteurs critiques. Parmi ces derniers figure une partie de l'industrie manufacturière : fabrication de produits informatiques, électroniques et optiques, d'équipements électriques, de machines, de véhicules et d'autres matériels de transport, ainsi que certaines activités chimiques et agroalimentaires.

Votre taille

En règle générale, sont visées les entreprises de taille moyenne (au moins 50 salariés, ou un chiffre d'affaires et un bilan dépassant 10 millions d'euros) et les grandes entreprises des secteurs listés. Elles sont classées en « entités importantes » ou « entités essentielles », avec des niveaux d'exigence et de contrôle différents.

Votre place dans la chaîne de valeur

Même si votre entreprise n'entre pas dans le champ, vos clients soumis à NIS2 doivent maîtriser les risques liés à leurs fournisseurs. Attendez-vous à des questionnaires de sécurité, des clauses contractuelles et des exigences de preuves. Pour un sous-traitant industriel, se préparer est donc un avantage commercial.

Ce que NIS2 exige

  • Une gouvernance : la direction approuve les mesures de cybersécurité, en supervise la mise en œuvre et doit être formée.
  • Des mesures de gestion des risques : analyse des risques, gestion des incidents, continuité d'activité et sauvegardes, sécurité de la chaîne d'approvisionnement, contrôle des accès, chiffrement, hygiène informatique et formation.
  • La notification des incidents importants à l'autorité, selon des délais encadrés.

La checklist de départ

Avant même de savoir précisément si vous êtes concerné, quelques questions permettent d'évaluer votre niveau de préparation :

  • Avons-nous une liste à jour de nos équipements, logiciels et comptes à privilèges ?
  • Nos sauvegardes sont-elles régulières, avec une copie hors ligne, et avons-nous déjà testé une restauration ?
  • L'authentification multifacteur est-elle activée sur la messagerie et les accès à distance ?
  • Savons-nous qui appeler et quoi faire en cas d'incident, y compris un week-end ?
  • Nos salariés ont-ils été sensibilisés à l'hameçonnage au cours de l'année écoulée ?
  • Les machines connectées de l'atelier sont-elles séparées du réseau bureautique ?

Chaque « non » est une priorité d'action, que vous soyez soumis à NIS2 ou non.

Les premières actions à engager

1. Qualifier votre situation

Vérifiez votre secteur, votre taille et vos obligations sur les outils de l'ANSSI. Même si vous n'êtes pas directement concerné, identifiez les clients qui le sont.

2. Former la direction

NIS2 place explicitement la responsabilité au niveau des dirigeants. Une formation courte permet de comprendre les enjeux, les obligations et les priorités. C'est le point de départ de notre formation conformité NIS2 et AI Act.

3. Traiter l'hygiène de base

Mises à jour, sauvegardes testées, authentification multifacteur, gestion des comptes, sensibilisation des salariés : ces mesures simples couvrent une grande partie des risques. Voir nos 10 réflexes cybersécurité à enseigner à vos salariés.

4. Monter en compétences en interne

Un référent formé fait la différence dans la durée. Nos modules cybersécurité et réseaux (culture cyber, fondamentaux pour l'industrie 4.0, SOC et détection d'incidents) et le recrutement d’un alternant en cybersécurité sont deux leviers complémentaires.

Le rôle clé de la formation

NIS2 cite explicitement la formation à la cybersécurité parmi les mesures attendues. C'est aussi l'investissement le plus rentable : un salarié qui reconnaît un message frauduleux ou signale immédiatement un incident évite des jours d'arrêt. Pour une entreprise industrielle, il faut former à la fois les équipes bureautiques et celles qui travaillent sur les systèmes de production connectés, dont les risques sont spécifiques.

Cet article est une présentation générale et ne constitue pas un avis juridique. Vérifiez votre situation auprès de l'ANSSI ou de votre conseil.