La directive sur la sécurité des réseaux et de l'information ( NIS2) est un ensemble important de règles dans l'Union européenne. Elle vise à protéger les réseaux et les systèmes d'information dans tous les pays membres. Cette directive crée une stratégie commune pour améliorer la cybersécurité et la résilience face aux menaces numériques. Au lieu de se contenter de proposer des lignes directrices, elle veille à ce que tous les États membres mettent en place des mesures de sécurité solides.

Examinons maintenant la directive NIS2, sa supervision dans les États membres de l'UE et ce qui est supervisé. Nous verrons également les sanctions prévues par la directive NIS2 en cas de non-conformité et la manière dont vous pouvez rester en conformité (pour éviter les sanctions).

Qu'est-ce que le NIS2 ?

La directive NIS2 est une mise à jour de la législation européenne en matière de cybersécurité, qui remplace la directive NIS initiale. La directive NIS2 vise à améliorer le niveau général de cybersécurité dans l'UE en fixant des obligations plus strictes en matière de gestion des risques et d'établissement de rapports pour un plus grand nombre d'entités publiques et privées.

La directive NIS2 représente une évolution significative dans les efforts déployés par l'UE pour renforcer la résilience en matière de cybersécurité. S'appuyant sur son prédécesseur, cette directive met l'accent sur un plus grand nombre de secteurs tout en définissant des attentes réglementaires plus claires et plus solides. Il est important de noter que la NIS2 souligne l'urgence accrue de protéger les infrastructures critiques de l'Europe contre les cybermenaces en constante évolution, en veillant à ce que les organisations soient mieux équipées pour prévenir et détecter les incidents et y répondre.

La directive NIS2 concerne un large éventail d'entités privées et publiques de l'UE qui fournissent des services essentiels ou importants. Son champ d'application est considérablement élargi par rapport à la directive NIS initiale. La plupart des organisations employant plus de 250 personnes ou réalisant un chiffre d'affaires de plus de 50 millions d'euros dans les secteurs concernés relèveront du NIS2. Toutefois, des organisations plus petites peuvent également être incluses si elles présentent un risque élevé ou si elles sont essentielles pour la société.

Pour plus d'informations sur le NIS2, lisez notre blog : À qui s'applique le NIS2 ? Explication du champ d'application et des mesures de sécurité requises.

Supervision dans le cadre du SNI2

En vertu de la directive NIS2, chaque pays est tenu de désigner une autorité compétente chargée de superviser et d'assurer le respect de ses dispositions. Cette autorité joue un rôle essentiel en supervisant et en aidant les organisations à s'y retrouver dans la complexité des réglementations en matière de cybersécurité. Leurs tâches vont de la réalisation d'audits et d'évaluations des risques à la fourniture de conseils sur les meilleures pratiques.

Qui s'occupe de la supervision de NIS2 ?

Au niveau européen, la supervision et la coordination de la directive NIS2 sont principalement assurées par :

1. Agence de l'Union européenne pour la cybersécurité (ENISA) : L'ENISA est l'agence centrale de l'UE qui soutient la mise en œuvre du NIS2.
2. Groupe de coopération entre les membres de l'UE : Un organe stratégique composé de représentants de tous les États membres de l'UE, de la Commission européenne et de l'ENISA.
3. Réseau des CSIRT : Réseau d'équipes nationales de réponse aux incidents de sécurité informatique. Il vise à coordonner le traitement des incidents par-delà les frontières.

Chaque État membre de l'UE désigne également sa propre autorité nationale compétente (ANC) pour superviser et appliquer le NIS2 au niveau local, mais ces entités coopèrent au niveau de l'UE par l'intermédiaire des structures susmentionnées.

Comment fonctionne la supervision :

La directive NIS2 vise à renforcer la résilience collective de l'UE en matière de cybersécurité grâce à une combinaison équilibrée de mesures de surveillance proactives et réactives. Contrairement à son prédécesseur, la directive NIS2 met davantage l'accent sur la prévention des incidents avant qu'ils ne se produisent et sur une réponse efficace lorsqu'ils se produisent.

Des méthodes de supervision proactives :

La supervision du NIS2 implique une surveillance proactive, des audits, des examens des rapports d'incidents et des mesures d'application. L'objectif est de s'assurer que les organisations respectent leurs obligations en matière de gestion des risques de cybersécurité et de signalement des incidents.

• Audits et évaluations réguliers des pratiques organisationnelles en matière de cybersécurité
• Contrôle de la conformité grâce au suivi en temps réel des incidents de cybersécurité
• S'engager avec les organisations pour fournir des conseils et un retour d'information sur les améliorations à apporter à la cybersécurité
• Organiser des ateliers et des sessions de formation pour améliorer la sensibilisation et la compréhension des exigences du NIS2.
• Établir des protocoles de signalement pour garantir la soumission en temps voulu des rapports d'incidents
• Analyser les schémas d'incidents pour identifier les vulnérabilités potentielles et recommander des mesures proactives.

L'approche proactive vise à prévenir les incidents et à réduire les vulnérabilités avant qu'elles ne soient exploitées.

Une supervision réactive

La supervision réactive se concentre sur le signalement des incidents, les enquêtes et les mesures d'application lorsque des violations se produisent. Il peut s'agir

• Analyse post-incident pour comprendre les causes et éviter que l'incident ne se reproduise.
• Imposer des pénalités et des sanctions après l'identification des manquements à la conformité.
• Réaliser des audits et des évaluations à la suite de violations de la sécurité ou de cyberincidents.
• Interdiction temporaire d'exercer des responsabilités managériales en cas de non-respect des règles.
• Examiner et réviser les protocoles de sécurité en réponse aux violations de la réglementation.
• Rendre obligatoires les rapports d'incidents et les plans d'action post-incidents pour les autorités de surveillance.

L'approche réactive garantit que lorsque des incidents se produisent, ils sont traités de manière efficace, documentés de manière approfondie et conduisent à des améliorations.

En outre, les organisations doivent être en mesure de prouver leur conformité à leur autorité de contrôle nationale sur demande, ou lors d'audits, d'inspections ou à la suite d'un incident. Il ne s'agit pas seulement d'affirmer que l'on est en conformité, mais de le prouver. Ensemble, ces deux approches forment un cadre solide conçu pour atténuer les risques, renforcer les capacités de réponse aux incidents et favoriser l'amélioration continue.

Sanctions en cas de non-respect du NIS2

NIS 2 donne 10 millions de raisons de se conformer.  

Les autorités de surveillance disposent d'un éventail de mesures d'exécution qu'elles peuvent appliquer aux organisations qui ne respectent pas les règles. Ces sanctions sont conçues pour garantir une responsabilité réelle et le respect des normes de cybersécurité. Examinons maintenant ces formes de sanctions.

Types de sanctions :

Ordres contraignants

Ces mesures peuvent comprendre des injonctions de mise en conformité, qui peuvent impliquer la mise en œuvre de mesures de sécurité spécifiques ou la réalisation d'audits réguliers. Ces mesures correctives sont destinées à remédier aux lacunes et à prévenir les violations futures. Il peut s'agir

• Amélioration de la sécurité : S'assurer que les bonnes mesures techniques et organisationnelles sont en place, comme de meilleurs contrôles d'accès, le cryptage et des systèmes de détection des menaces.
• Révision des politiques : Exiger des mises à jour ou des améliorations des politiques et des protocoles de cybersécurité.
• Amélioration des rapports : Veiller à ce que les systèmes de détection et de signalement des incidents fonctionnent bien et rapidement.
• Gestion des tiers : Résoudre les problèmes liés à la manière dont les organisations gèrent les risques de la chaîne d'approvisionnement.

Les injonctions contraignantes sont des ordres directs des autorités de contrôle qui exigent des actions spécifiques pour remédier aux manquements à la conformité. Ignorer ces injonctions peut conduire à des amendes plus élevées, voire à des sanctions plus sévères, telles que des restrictions ou des interdictions d'exercer une activité.

Amendes administratives

Les amendes administratives sont le type de sanction le plus courant en cas de non-conformité.

• Les dérapages dans les mesures de sécurité : Ne pas prendre les bonnes mesures techniques et organisationnelles pour protéger la cybersécurité.
• Alertes d'incidents manquées : Ne pas signaler rapidement les incidents majeurs, généralement dans les 24 heures, suivi d'un rapport détaillé dans les 72 heures.
• Mauvais contrôle des risques : Ne pas évaluer et documenter régulièrement les risques liés à la cybersécurité.
• Manque de supervision de la chaîne d'approvisionnement : Ne pas s'assurer que les fournisseurs respectent les normes de cybersécurité.

Les amendes pour non-conformité peuvent être considérables, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Interdictions temporaires pour le personnel responsable

Oui, le NIS2 peut devenir personnel. Contrairement aux directives précédentes, la NIS2 reconnaît l'importance de la responsabilité individuelle en permettant aux autorités d'imposer des interdictions temporaires à des cadres ou à d'autres personnes responsables. Les autorités peuvent interdire temporairement à certaines personnes d'exercer des fonctions de direction ou des fonctions opérationnelles au sein de leur organisation. Mais ces interdictions ne se feront pas à la légère, car elles exigeraient un degré de négligence relativement élevé :

• Négligence grave ou mauvaise gestion : Lorsque les actions (ou l'inaction) des dirigeants conduisent directement à des violations de la sécurité ou au non-respect de la conformité.
• Absence de mise en œuvre de mesures correctives : Lorsque les dirigeants ignorent les risques connus ou ne suivent pas les ordres pour y remédier.
• Supervision inadéquate de la réponse aux incidents : Lorsque les dirigeants ne s'assurent pas que les incidents sont correctement signalés et que des mesures de rétablissement sont prises.

Comment rester conforme (et éviter les pénalités)

Maintenant que nous avons vu comment fonctionne la supervision NIS2 et quelles sont les sanctions encourues en cas de non-conformité, il serait certainement intéressant de connaître les moyens d'éviter ces sanctions. Voici quelques conseils clés pour vous aider à atteindre la conformité et à la maintenir à long terme.

Évaluation des risques et analyse des lacunes

Pour vous conformer à la réglementation NIS2, commencez par procéder à une évaluation complète des risques afin de détecter les menaces et les faiblesses éventuelles en matière de cybersécurité. Il s'agit de vérifier votre sécurité actuelle et de déterminer les points à améliorer pour répondre aux normes NIS2. L'analyse des lacunes peut fournir des indications sur les mesures que vous prenez actuellement et sur ce qui doit être fait pour vous mettre en conformité.

Cyberday propose un outil d'évaluation gratuit, d'une durée de 15 minutes, pour déterminer si vous êtes prêt pour NIS2. Si vous êtes nouveau sur Cyberday, évaluez votre conformité NIS2 et vous pouvez démarrer une période d'essai prolongée, et utiliser les résultats de l'évaluation dans le produit. Si vous avez un compte Cyberday , vous pouvez évaluer votre conformité dans le produit.

Sensibilisation du personnel

L'investissement dans des programmes de formation et de sensibilisation des employés est crucial pour la conformité. Les organisations doivent former leur personnel aux meilleures pratiques en matière de cybersécurité et aux exigences spécifiques du NIS2. Des sessions de formation régulières peuvent aider les employés à reconnaître les incidents de sécurité potentiels et à y répondre efficacement.

L'un des moyens de diffuser les lignes directrices en matière de sécurité de l'information auprès des employés est de recourir à des SGI tels que Cyberday, où les lignes directrices peuvent être créées à l'aide d'exemples de cas et de tests de compétences, et distribuées dans le guide personnel de l'employé, voire directement au sein de MS Teams.

Se tenir au courant des documents et des audits

La documentation vous aide à démontrer que vous respectez les normes réglementaires. En documentant soigneusement vos processus, procédures et mesures de conformité, vous créez un dossier clair à présenter lors des audits ou des inspections. Il est important de tenir cette documentation à jour afin qu'elle corresponde aux règles actuelles et aux activités de votre organisation. Ces documents peuvent également prouver votre conformité sur demande.

Des examens réguliers, tels que des audits internes ou externes, vous aident à rester prêt à respecter la conformité et à réduire le risque de sanctions en cas de non-conformité. Vous devez procéder à des audits internes pour voir comment se porte votre cybersécurité et repérer les domaines qui ne sont pas conformes aux normes. Faire appel à des experts extérieurs pour un audit externe peut vous donner plus de confiance.

La directive NIS2 étant traitée dans un SMSI flexible tel que Cyberday, vous pouvez obtenir la documentation relative à la conformité en cliquant sur un bouton, facilement et avec des informations actualisées. Les audits internes et externes sont également facilités par un SMSI, car toutes les informations sont disponibles en un seul endroit.

Mettre en œuvre les meilleures pratiques (ISO 27001 par exemple)

Il est essentiel d'élaborer une stratégie de cybersécurité solide. Cette stratégie doit comprendre des politiques et des procédures claires pour la détection des incidents, la réponse et la récupération. Les organisations doivent s'assurer que ces politiques sont alignées sur les exigences du NIS2 et qu'elles sont régulièrement mises à jour pour faire face aux nouvelles menaces.

Mais le plus difficile est que les législations telles que NIS2 n'offrent pas de mesures de mise en œuvre directe. C'est pourquoi il est recommandé de recourir à des normes volontaires telles que la norme ISO 27001, qui prévoit des mesures de mise en conformité et va de pair avec les exigences de la NIS2. La norme ISO 27001 peut également offrir de meilleures options de documentation pour prouver la conformité, et la certification ISO 27001 vous permettra également de prouver votre alignement sur les exigences du NIS2. Nous avons également créé un guide à cet effet - et vous pouvez télécharger gratuitement l'ebook " NIS2 ready with ISO 27001 best practices ".  

Dernières réflexions

Le NIS2 n'est pas une simple directive, c'est une loi. Il est moins coûteux (et plus facile) de se mettre en conformité de manière proactive que de s'exposer à des sanctions. Mais si nous avons réussi à vous effrayer au sujet des sanctions, permettez-moi de vous dire ceci : La directive NIS2 est conçue pour être stricte mais juste, offrant aux organisations la possibilité de remédier aux problèmes avant que des mesures punitives ne soient appliquées.

‍