Ce que dit la directive

NIS2 (Directive (UE) 2022/2555) s’applique principalement aux entités dites essentielles et importantes dans des secteurs critiques (énergie, transport, santé, finance, eau, numérique, administration, etc.), dès lors qu’elles atteignent au moins la taille d’une entreprise moyenne (≥ 50 salariés et ≥ 10 M€ de CA, avec des seuils plus élevés pour les grandes entreprises)

Catégories et secteurs concernés :

Entités essentielles : grandes organisations des secteurs
de “haute criticité”
Entités importantes : acteurs de taille moyenne des mêmes
secteurs ou d’autres secteurs critiques (industrie, alimentaire, services numériques, poste/logistique, déchets…).

Montant des amendes en cas
de non-conformité :

Jusqu’à 10 M€ ou 2 % du CA annuel mondial pour une entité
essentielle. 
Jusqu’à 7 M€ ou 1,4 % du CA annuel mondial pour une entité
importante.

Obligations majeures
(3 articles structurants) :

Article 20 - Gouvernance : le management doit approuver
les mesures de cybersécurité, en superviser la mise en œuvre et peut
être tenu responsable en cas de manquement.  
Article 21 - Mesures de gestion des risques : obligation de
mettre en place des mesures techniques et organisationnelles
couvrant au minimum : analyse de risques, sécurité des systèmes,
gestion des incidents, sauvegarde/PRA, sécurité de la supply chain, politiques de sensibilisation, etc.
Article 23 - Notification des incidents : obligation de notifier
rapidement les incidents significatifs aux autorités compétentes
(alerte précoce, notification détaillée, rapport final).

Traduction
opérationnelle
IT / sécurité

Concrètement, NIS2 vous demande d’être capables de démontrer
que la cybersécurité est gérée comme un vrai risque d’entreprise :
cartographie des services critiques, mesures de protection et de détection
en place, capacité à continuer l’activité en cas d’incident, et processus clairs
de remontée d’alerte.

Aligner les mesures techniques sur les obligations
de l’article 21 :
‍sauvegardes,PRA, détection XDR/SIEM,
gestion des vulnérabilités,
sécurité de la supply chain, sensibilisation.
Structurer la gouvernance (article 20) :
rôles, responsabilités, reporting régulier
au management sur le niveau de risque
et l’avancement des plans d’actions. 
Être prêt à notifier (article 23) : disposer de journaux,
d’une capacité d’analyse d’incidents
et de procédures d’escalade documentées.

De NIS2 aux mesures concrètes

Article 20 : Gouvernance & responsabilité

Ce que dit NIS2

Le management doit approuver
les mesures de cybersécurité,
superviser leur mise en œuvre
et peut être tenu responsable
en cas de manquement grave.
‍

Côté SI & sécurité

- Cartographie claire des risques

- Plan d’actions priorisé

- Reporting régulier exploitable par la direction.
‍
‍

Article 21 : Mesures de gestion des risques

Ce que dit NIS2

L’entité doit mettre en place
des mesures techniques et organisationnelles couvrant au moins : analyse de risques, sécurité des réseaux & systèmes, gestion des incidents, continuité, sécurité de la supply chain, formation/sensibilisation…
‍

Côté SI & sécurité

Mise en œuvre concrète de briques :

- Backup/PRA managés
- XDR/SIEM
- Gestion des vulnérabilités & patchs
- Sécurité Microsoft 365
- Protection des environnements OT
- Programmes de sensibilisation.
‍

Article 23 : Notification des incidents

Ce que dit NIS2

Obligation de notifier rapidement les incidents significatifs aux autorités : alerte précoce, notification détaillée, rapport final.

‍
‍

Côté SI & sécurité

- Journaux centralisés
- Capacités d’investigation (SIEM/XDR)
- Procédures d’escalade
et de communication interne
- Capacité démontrable à restaurer ou reprendre l’activité.
‍

Approfondir 3 chantiers
clés de NIS2

NIS2 ne se limite pas à une vision globale de la cybersécurité : certains périmètres sont particulièrement sensibles
pour la continuité d’activité et la conformité. VYTALX propose des approches dédiées sur trois d’entre eux.