Contrairement à son prédécesseur NIS1, la directive NIS2 ne se limite plus aux grands opérateurs d'infrastructures critiques. Elle couvre désormais 18 secteurs, répartis en deux catégories : entités essentielles et entités importantes.
Secteurs concernés
Énergie, transport, secteur bancaire, infrastructures des marchés financiers, santé, santé, eau potable, eaux usées, infrastructures numériques, gestion des déchets, industrie manufacturière, services postaux, administrations publiques, et bien d'autres — dès lors que l'entreprise dépasse certains seuils de taille (généralement plus de 50 salariés et 10 millions d'euros de chiffre d'affaires).
Obligations principales
- Cartographie des risques et menaces cyber
- Evaluation et suivi de l'efficacité des mesures en place
- Continuité et reprise d'activité
- Notification des incidents significatifs sous 24h (alerte précoce) puis 72h (rapport détaillé)
- Sécurisation de la chaîne d'approvisionnement
- Responsabilité des dirigeants, qui peuvent être tenus personnellement responsables en cas de manquement grave
Chaque État membre transpose la directive avec son propre calendrier. Le projet de loi n'est pas encore voté en France mais l'ANSSI, a déjà invité les entités à se préparer : ouverture du pré-enregistrèrent volontaire (plateforme MonEspaceNIS2) et publication du référentiel ReCyF (20 objectifs).
Le piège à éviter : attendre le vote de la loi pour agir. Les retards de transposition raccourcissent mécaniquement les délais de mise en conformité une fois le texte publié