Directive SRI 2
Directive NIS 2 - Directive (UE) 2022/2555 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité
| Titre | Directive (UE) 2022/2555 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité |
|---|---|
| Organisation internationale |
 Union européenne |
| Type | Directive de l'Union européenne |
| Branche | Cybersécurité - Infrastructure critique |
| Adoption | |
|---|---|
| Publication | (JOUE) |
| Entrée en vigueur | (pour la France) |
Lire en ligne
La directive (UE) 2022/2555 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité, dite directive SRI 2 (pour sécurisation des réseaux et des systèmes d'information) ou directive NIS 2 (pour en anglais Network and Information Security 2), est une directive européenne adoptée le [1]. Elle vise à renforcer la cybersécurité des infrastructures critiques et des services essentiels dans l'Union européenne
La directive impose aux États membres de l'Union européenne une transposition dans leur droit national avant le , pour une application effective à partir du [2]. Elle introduit des obligations renforcées en matière de gestion des risques de cybersécurité, de notification des incidents et de responsabilité des dirigeants[3].
La directive modifie le règlement (UE) no 910/2014 sur l'identification électronique et les services de confiance pour les transactions électroniques[4] et la directive (UE) 2018/1972 établissant le code des communications électroniques européen[5], et abroge la directive (UE) 2016/1148 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union (directive SRI 1) (adoptée le )[6].
Contexte et objectifs
Continuité de la directive NIS 1
La directive NIS 2 s'inscrit dans la continuité de la première directive NIS (directive (UE) 2016/1148) adoptée en 2016, qui constituait le premier texte législatif européen en matière de cybersécurité[7]. La directive NIS 1 visait principalement à protéger les opérateurs de services essentiels dans des secteurs limités (énergie, transport, santé, services bancaires)[8].
L'expérience de mise en œuvre de NIS 1 a révélé plusieurs limites : un périmètre trop restreint, des obligations inégalement appliquées selon les États membres, et des sanctions insuffisamment dissuasives[9]. NIS 2 répond à ces lacunes en proposant un cadre harmonisé et renforcé.
Élargissement du périmètre
La directive NIS 2 élargit considérablement son champ d'application en ciblant 18 secteurs d'activité contre 7 pour NIS 1[3]. L'ANSSI indique que la directive s'appliquera à des milliers d'entités appartenant à plus de dix-huit secteurs, concernant environ 600 types d'entités différentes, allant des PME aux groupes du CAC 40[10]. Elle intègre désormais les petites et moyennes entreprises, les collectivités territoriales et les administrations publiques, reconnaissant ainsi que la cybersécurité ne concerne plus seulement les grandes infrastructures critiques[2].
Accent sur la cybersécurité industrielle
La directive accorde une attention particulière à la cybersécurité des systèmes industriels, notamment les technologies opérationnelles (OT), les systèmes de contrôle industriel (ICS) et l'Internet des objets (IoT)[11]. Elle s'appuie sur des référentiels reconnus comme la norme IEC 62443 pour la cybersécurité des systèmes d'automatisation et de contrôle industriel, standard international de référence pour la sécurité des environnements OT[12].
Champ d'application
Secteurs concernés
La directive NIS 2 identifie 18 secteurs répartis en deux catégories[2],[13] :
Secteurs hautement critiques : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable et eaux usées, infrastructures numériques, gestion des services TIC, administrations publiques, espace.
Autres secteurs critiques : services postaux et d'expédition, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution de denrées alimentaires, industrie manufacturière, fournisseurs numériques, recherche.
Typologie des entités
La directive distingue deux catégories d'entités selon leur taille et leur criticité[9],[14] :
Les entités essentielles comprennent les organisations d'au moins 250 salariés ou affichant un chiffre d'affaires annuel supérieur à 50 millions d'euros et un bilan annuel supérieur à 43 millions d'euros.
Les entités importantes regroupent les organisations qui ne sont pas des entités essentielles et qui emploient au moins 50 salariés ou affichent un chiffre d'affaires et un bilan annuel supérieurs à 10 millions d'euros.
Critères d'applicabilité
Une organisation est susceptible d'être concernée par NIS 2 si elle remplit simultanément trois critères : employer plus de 50 salariés, réaliser un chiffre d'affaires supérieur à 10 millions d'euros, et intervenir dans l'un des 18 secteurs couverts par la directive[15].
Principales obligations
Approche systémique de la cybersécurité
NIS 2 impose une approche systémique de la cybersécurité inspirée des référentiels ISO/IEC 27001 et IEC 62443[16]. Les entités doivent mettre en place un cadre de gestion des risques qui s'apparente à un système de management de la sécurité de l'information (SMSI), intégrant une gestion du risque systématique, évaluée périodiquement et impliquant les parties prenantes internes et externes[17].
Gouvernance
La directive impose plusieurs exigences en matière de gouvernance[9],[18] :
- nomination d'un responsable de la cybersécurité (RSSI ou équivalent) ;
- implication obligatoire de la direction générale dans la validation des politiques de sécurité ;
- responsabilité personnelle des dirigeants, qui peuvent être sanctionnés directement en cas de manquement.
Gestion des risques
Les entités doivent réaliser un inventaire exhaustif de leurs actifs, mettre en place une segmentation réseau pour séparer les environnements IT et OT, et établir un processus de gestion des correctifs[14]. Pour les environnements industriels spécifiquement, les entités doivent adapter leurs approches aux contraintes opérationnelles des systèmes OT, notamment en matière d'inventaire des actifs industriels et de gestion des vulnérabilités[12].
Gestion de la chaîne d'approvisionnement
La directive introduit des obligations renforcées concernant la sécurité de la chaîne d'approvisionnement[1]. Les entités doivent établir une politique de sécurité de la chaîne d'approvisionnement, intégrer des clauses de cybersécurité dans les contrats avec les fournisseurs, et réaliser des évaluations et audits continus des fournisseurs critiques[9].
Notification des incidents
L'une des obligations majeures de NIS 2 concerne la notification rapide des incidents de cybersécurité aux autorités compétentes[2],[19] :
- notification préliminaire dans les 24 heures suivant la découverte de l'incident ;
- notification détaillée sous 72 heures ;
- rapport final attendu dans un délai d'un mois.
Sanctions
La directive NIS 2 prévoit un régime de sanctions beaucoup plus dissuasif que sa version précédente[2],[19].
Pour les entités essentielles, les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Pour les entités importantes, les amendes peuvent atteindre 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
La directive introduit également la responsabilité personnelle des dirigeants, qui peuvent faire l'objet d'interdictions d'exercer ou de poursuites civiles et pénales[9]. Cette disposition élève la cybersécurité au rang d'enjeu stratégique pour les conseils d'administration.
Transposition en droit national
Calendrier
Les États membres devaient transposer la directive dans leur droit national avant le [2]. Malgré cette échéance, de nombreux pays ont pris du retard dans ce processus. En , la Commission européenne a ouvert des procédures d'infraction contre 23 États membres[20]. En , la Commission a envoyé un avis motivé à 19 États membres pour transposition incomplète[21].
Transposition en France
En France, l'ANSSI pilote la transposition de la directive et assure sa mise en œuvre[10]. Un projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été présenté pour transposer NIS 2 dans le droit français[22]. Le projet de loi a été présenté en Conseil des ministres en et suit le parcours parlementaire[23].
L'ANSSI a mis en place un simulateur en ligne permettant aux organisations de déterminer si elles entrent dans le champ d'application de la directive[15]. L'agence accorde un délai de trois ans aux entreprises pour atteindre la conformité totale, bien que certaines obligations devront être respectées avant cette échéance[24].
En , le retard pris par la transposition en droit français de cette directive est analysé, selon certains, comme dû à l'article 16bis introduit par le Sénat. Cet article interdit l'affaiblissement volontaire des dispositifs de chiffrement de bout en bout par l'ajout de portes dérobées[25].
Articulation avec d'autres réglementations
La directive NIS 2 s'inscrit dans un écosystème réglementaire européen en matière de cybersécurité et doit être articulée avec d'autres textes[9] :
- Le Cyber Resilience Act (CRA), qui établit des exigences de cybersécurité pour les produits comportant des éléments numériques ;
- Le Règlement général sur la protection des données (RGPD), qui régit la protection des données personnelles ;
- Le Digital Operational Resilience Act (DORA), spécifique au secteur financier ;
- La directive européenne sur la résilience des entités critiques (CER).
Réception
La directive a été globalement bien accueillie par les experts en cybersécurité, qui reconnaissent la nécessité d'un cadre européen harmonisé et renforcé face à l'augmentation des cybermenaces[26].
Cependant, certaines organisations professionnelles ont exprimé des préoccupations concernant la complexité de mise en œuvre pour les PME, le coût de la conformité, et les délais de transposition jugés parfois courts[27].
Notes et références
- Texte de la directive européenne (UE) 2022/2555 sur le site EUR-Lex.
- « La directive sur la cybersécurité (directive NIS 2) », sur Commission européenne
- « La directive NIS 2 », sur ANSSI,
- ↑ Texte de la directive européenne (UE) 2016/1148 sur le site EUR-Lex.
- ↑ Texte de la directive européenne (UE) 2018/1972 sur le site EUR-Lex.
- ↑ Texte de la directive européenne (UE) 2016/1148 sur le site EUR-Lex.
- ↑ (en) « The NIS2 Directive: A high common level of cybersecurity in the EU », sur Parlement européen
- ↑ (en) « NIS Directive », sur ENISA
- « Directive NIS 2 : un nouveau cadre pour renforcer la cybersécurité », sur PwC
- « Directive NIS 2 : ce qui va changer en France pour les entreprises et les administrations », sur ANSSI,
- ↑ (en) « Industrial Control Systems Security », sur ENISA
- « Directive NIS 2 : Guide complet de conformité pour les systèmes industriels », sur Akenatech,
- ↑ « Directive NIS 2 - Plaquette d'information », sur ANSSI,
- « NIS2 : impacts, obligations et sanctions en cybersécurité », sur BNP Paribas Entreprises
- « Simulateur NIS 2 », sur ANSSI
- ↑ « Directive NIS 2 : Guide complet et panorama des nouvelles exigences », sur Scalingo,
- ↑ (en) « Exigences de conformité à la directive NIS 2 », sur NinjaOne,
- ↑ « Tout savoir sur les changements de la nouvelle directive NIS 2 », sur Orange Cyberdefense
- « Directive NIS 2 : obligations, sanctions et plan d'action », sur Egerie,
- ↑ (en) « NIS2 Directive Transposition Tracker », sur ECSO,
- ↑ « NIS 2 : où en sont les pays européens dans la transposition de la directive ? », sur Wavestone,
- ↑ « Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité », sur Légifrance
- ↑ « Directive NIS 2 : obligations, entreprises concernées, conformité », sur Bouygues Telecom Pro,
- ↑ « NIS 2 : les mesures concoctées par l'Anssi », sur LeMagIT
- ↑ Louis Adam, « NIS2 : pourquoi le gros sujet des backdoors bloque la transposition du texte »
, ZDNet, (consulté le )
- ↑ « Directive NIS2 : tout ce qu'il faut savoir », sur Entrust
- ↑ « Directive NIS 2 : Guide complet (PDF) pour un plan de mise en conformité », sur Silexo
Voir aussi
Articles connexes
- Cybersécurité
- Infrastructure critique
- Règlement sur la cyberrésilience
- Règlement général sur la protection des données
- Digital Operational Resilience Act
- Agence de l'Union européenne pour la cybersécurité
- Agence nationale de la sécurité des systèmes d'information
- CEI 62443
- ISO/CEI 27001
Liens externes
Textes législatifs européens
- « Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) », EUR-Lex (consulté le ). — Version consolidée
- « Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union », EUR-Lex (consulté le ).
- « Règlement (UE) no 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE », EUR-Lex (consulté le ).
- « Directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen (refonte) », EUR-Lex (consulté le ).
Autres liens
- « Directive SRI 2 : la sécurisation des réseaux et des systèmes d'information », sur digital-strategy.ec.europa.eu, Commission européenne (consulté le ).
- (en) « Network and Information Systems Directive 2 (NIS2) », sur enisa.europa.eu, ENISA (consulté le ).
- « La directive NIS 2 », sur cyber.gouv.fr, ANSSI (consulté le ).
Portail du droit 
Portail de l’informatique 
Portail de la sécurité de l’information _Dec_2024_(2).png)
Portail des années 2020 - Portail de l’Union européenne