Directive NIS2
NIS2 : savoir si la nouvelle réglementation vous concerne, et s’y préparer sereinement
NIS2 est une réglementation européenne qui impose des règles de cybersécurité à de nombreuses entreprises, et indirectement à leurs fournisseurs. Nous commençons par une question simple : êtes-vous concerné, directement ou parce que vos clients le sont ? Ensuite, nous transformons le texte en une liste d’actions claires, adaptées à votre taille et à vos moyens.
NIS2, beaucoup de bruit et peu de réponses claires
Vous avez entendu parler de NIS2 lors d’un salon, dans un courriel d’un client ou dans la presse professionnelle. Les informations se contredisent, les seuils semblent compliqués, et personne ne vous dit précisément ce que vous devez faire lundi matin.
Certains dirigeants attendent, en pensant que le texte ne vise que les grandes entreprises. D’autres reçoivent déjà des questionnaires de leurs donneurs d’ordre et ne savent pas comment y répondre. Dans les deux cas, l’incertitude coûte du temps et de l’énergie.
NIS2 en quelques mots
NIS2 est une directive européenne adoptée en 2022 pour renforcer la cybersécurité dans l’Union. Elle succède à la première directive NIS et élargit fortement le nombre d’organisations concernées, dans de nombreux secteurs d’activité. En France, c’est l’ANSSI, l’agence nationale de la sécurité des systèmes d’information, qui pilote sa mise en œuvre.
Concrètement, les entreprises concernées doivent gérer leurs risques cyber, mettre en place des mesures de sécurité proportionnées, impliquer leur direction et déclarer leurs incidents importants aux autorités. Le calendrier de transposition en droit français et la date d’application effective des obligations restent à confirmer : [calendrier de transposition française et date d’entrée en vigueur À VALIDER].
Qui est concerné par NIS2 ?
La directive distingue deux catégories d’organisations, selon leur secteur et leur taille.
Les entités essentielles
Ce sont les organisations des secteurs les plus critiques : énergie, transports, banque, santé, eau, infrastructures numériques, administration publique, entre autres. Elles sont soumises aux contrôles les plus poussés.
Les entités importantes
Elles relèvent de secteurs également listés par la directive, comme la gestion des déchets, l’industrie manufacturière, l’agroalimentaire, les services postaux ou certains fournisseurs numériques. Leurs obligations sont proches, mais les contrôles se font plutôt après un incident.
Pour savoir dans quelle catégorie vous entrez, il faut croiser votre secteur et votre taille. En règle générale, les moyennes et grandes entreprises des secteurs listés sont visées, avec des exceptions pour certaines petites structures selon leur rôle. Les seuils exacts retenus en France sont à vérifier : [seuils d’effectif et de chiffre d’affaires applicables en France À VALIDER].
Et si vous êtes sous-traitant ?
C’est le point que beaucoup de PME découvrent trop tard. Une entité concernée par NIS2 doit maîtriser les risques de sa chaîne d’approvisionnement. Elle va donc demander à ses fournisseurs et prestataires des garanties de sécurité : questionnaires, clauses contractuelles, preuves de sauvegarde ou d’authentification forte.
Autrement dit, même si votre entreprise n’est pas directement visée, NIS2 peut arriver chez vous par vos clients. Notre article NIS2 : ce qui change pour les PME détaille ce mécanisme.
Ce que nous faisons dans notre accompagnement NIS2
- Nous déterminons si vous êtes entité essentielle, entité importante, sous-traitant d’une entité concernée, ou non concerné.
- Nous comparons votre situation aux mesures attendues : analyse de risques, gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, contrôle des accès, chiffrement, formation.
- Nous classons les écarts par priorité et par effort, pour avancer vite sur l’essentiel.
- Nous rédigeons avec vous les documents attendus : politique de sécurité, procédure de déclaration d’incident, analyse de risques.
- Nous mettons en place les mesures techniques utiles, comme le SOC managé, la protection des postes par EDR ou la sauvegarde externalisée immuable.
- Nous formons votre direction et vos équipes, car NIS2 demande explicitement l’implication des dirigeants. Voir notre offre de sensibilisation à la cybersécurité.
La directive prévoit que les incidents importants soient signalés rapidement à l’autorité, avec une première alerte sous 24 heures. Nous vous aidons à préparer ce processus à froid, pour ne pas l’improviser le jour où il faut l’appliquer.
Comment ça se passe
1
Qualification
Un échange pour établir votre statut au regard de NIS2 : directement concerné, sous-traitant, ou non concerné.
2
Analyse d’écart
Nous comparons vos pratiques aux mesures de la directive, en nous appuyant si besoin sur un audit de cybersécurité.
3
Feuille de route
Vous recevez un plan d’action priorisé, réaliste au regard de vos moyens.
4
Mise en conformité
Nous vous accompagnons dans la mise en œuvre, la documentation et la préparation des preuves.
5
Suivi dans la durée
NIS2 demande une amélioration continue. Un RSSI externalisé peut porter ce suivi pour vous.
Ce que vous obtenez
- Une réponse écrite et argumentée sur votre statut NIS2.
- Un rapport d’écart clair, mesure par mesure.
- Une feuille de route priorisée, avec ce que vous pouvez faire seul et ce qui demande un accompagnement.
- Les documents clés de votre gouvernance de sécurité.
- Une procédure de gestion et de déclaration des incidents.
- Des éléments de réponse solides pour les questionnaires de vos clients.
Tarif indicatif
À partir de [montant À VALIDER] HT
Le prix dépend de votre statut au regard de NIS2, du nombre de sites et de postes, et de ce qui existe déjà. Un devis précis vous est remis après la qualification.
Pour qui
Notre accompagnement NIS2 s’adresse aux PME des Hauts-de-France et de Savoie qui sont, ou pourraient être, dans le périmètre de la directive.
- Les établissements de santé et médico-sociaux, secteur explicitement visé.
- Les PME industrielles, directement concernées ou sous-traitantes de grands comptes.
- Les prestataires informatiques et de services numériques.
- Les entreprises de transport, de logistique, d’agroalimentaire ou de gestion des déchets.
- Toute entreprise qui reçoit un questionnaire sécurité de la part d’un client concerné.
Vous êtes dans le secteur financier ? Regardez aussi notre page conformité DORA. Pour une vue d’ensemble, consultez notre accompagnement conformité cybersécurité.
Questions fréquentes sur l’accompagnement NIS2
Ma PME de 20 salariés est-elle concernée par NIS2 ?
Le plus souvent, les petites entreprises ne sont pas directement visées, sauf dans certains secteurs ou rôles particuliers. En revanche, si vous travaillez pour une entité concernée, elle vous demandera probablement des garanties. Nous vérifions votre cas précis lors du premier échange.
Quand NIS2 s’applique-t-elle en France ?
La directive devait être transposée par les États membres pour octobre 2024. En France, le calendrier exact d’application des obligations est à confirmer : [date d’application en France À VALIDER]. Il est raisonnable de commencer dès maintenant, car les mesures demandées prennent du temps.
Que risque une entreprise qui ne respecte pas NIS2 ?
La directive prévoit des contrôles et des sanctions administratives pour les entités concernées, ainsi qu’une responsabilité accrue des dirigeants. Mais le principal enjeu reste opérationnel : être capable de résister à un incident et de rassurer vos clients.
Faut-il obligatoirement être certifié ISO 27001 pour NIS2 ?
Non. NIS2 n’impose pas de certification. ISO 27001 peut toutefois être un bon cadre pour structurer votre démarche. Voir notre accompagnement ISO 27001.
Que dois-je faire si je reçois un questionnaire NIS2 de mon client ?
Ne répondez pas à la hâte. Lisez-le avec nous, identifiez ce qui est déjà en place et ce qui manque. Une réponse honnête accompagnée d’un plan d’action rassure davantage qu’un « oui » à toutes les questions.
Combien de temps prend une mise en conformité NIS2 ?
Tout dépend de votre point de départ. Certaines mesures se mettent en place en quelques semaines, d’autres demandent plusieurs mois. Nous vous donnons un calendrier réaliste après l’analyse d’écart.
Pouvez-vous déclarer un incident à ma place ?
La déclaration engage votre entreprise et doit être faite par elle. Nous vous aidons à préparer la procédure, à rassembler les informations utiles et à rédiger la déclaration le moment venu.
NIS2 vous concerne peut-être plus que vous ne le pensez
Un premier échange suffit pour savoir où vous en êtes. Sans jargon, sans pression.
Ou appelez-nous au 06 30 39 95 06.