Préparer son entreprise à NIS 2

La directive européenne NIS 2 marque un tournant : elle étend les obligations de cybersécurité à un nombre bien plus large d'organisations qu'auparavant. Beaucoup d'entreprises sont désormais concernées sans le savoir. Voici comment vérifier votre situation et amorcer sereinement votre mise en conformité.

NIS 2, de quoi parle-t-on ?

NIS 2 est la nouvelle version de la directive européenne sur la sécurité des réseaux et des systèmes d'information. Son objectif : rehausser le niveau de cybersécurité global au sein de l'Union européenne, en imposant des exigences aux organisations dont l'activité est jugée sensible ou critique.

Par rapport à la première directive NIS, le périmètre est considérablement élargi : là où seuls quelques grands opérateurs étaient concernés, ce sont désormais de nombreuses entreprises de taille moyenne et des collectivités qui entrent dans le champ d'application.

Êtes-vous concerné ?

La directive distingue 2 catégories : les entités essentielles et les entités importantes, selon le secteur d'activité et la taille de l'organisation. Sont notamment visés des secteurs comme l'énergie, les transports, la santé, l'eau, les infrastructures numériques, l'administration publique, mais aussi la fabrication, l'agroalimentaire ou la gestion des déchets.

En pratique, si votre organisation dépasse certains seuils d'effectif et de chiffre d'affaires et opère dans un secteur listé, vous êtes probablement concerné. Le premier réflexe consiste à réaliser une analyse d'applicabilité pour lever le doute.

Ne pas savoir si l'on est concerné est déjà un risque en soi. La première étape d'une démarche NIS 2 est simplement de clarifier votre situation.

Ce qu'exige concrètement NIS 2

La directive ne se contente pas de recommandations : elle impose des obligations concrètes, parmi lesquelles :

• Une gestion des risques cyber formalisée et régulièrement mise à jour.
• Des mesures techniques et organisationnelles : contrôle des accès, sauvegardes, chiffrement, sécurité des réseaux.
• La notification des incidents significatifs aux autorités dans des délais courts.
• Une responsabilité accrue des dirigeants, qui doivent s'impliquer dans la gouvernance de la sécurité.
• La sécurisation de la chaîne d'approvisionnement et des fournisseurs.

Le non-respect de ces obligations expose à des sanctions financières significatives, d'où l'intérêt d'anticiper plutôt que de subir.

Par où commencer ?

1. Clarifier votre applicabilité

Déterminez si vous êtes une entité essentielle, importante, ou hors périmètre. Cela conditionne le niveau d'exigence qui s'applique à vous.

2. Réaliser un état des lieux

Un audit de votre système d'information révèle l'écart entre votre situation actuelle et les exigences attendues. C'est le fameux gap analysis, souvent mené en s'appuyant sur le référentiel ISO 27001.

3. Bâtir un plan d'action priorisé

Toutes les mesures ne se valent pas. Un bon plan hiérarchise les actions selon leur impact sur le risque et leur faisabilité, pour avancer efficacement sans tout bouleverser d'un coup.

4. Ancrer la démarche dans la durée

La conformité n'est pas un projet ponctuel mais un processus continu : mise à jour des analyses de risques, sensibilisation des équipes, tests réguliers.

En résumé

NIS 2 peut sembler intimidant, mais la démarche se décompose en étapes claires. L'essentiel est de ne pas rester dans le flou : clarifier votre situation, mesurer l'écart, puis avancer par priorités. Bien menée, cette mise en conformité renforce durablement votre résilience face aux cybermenaces, au-delà de la simple obligation réglementaire.