Le cadre juridique initial crée par la directive NIS
Contexte
Le 6 juillet 2016, le Parlement européen adopte la directive Network and Information System Security (NIS). Celle-ci a pour objectifs de renforcer le niveau de sécurité des réseaux et des systèmes d’informations essentiels ainsi que d’améliorer le partage d’informations au niveau européen.
Les états membres de l’Union européenne ont jusqu’au 9 mai 2018 pour transposer la directive NIS au sein de leur cadre réglementaire national.
Champ d’application
La directive est applicable aux secteurs de la santé, de l’énergie, bancaire et aux infrastructures de marchés financiers, aux fournisseurs de service, transports, fournisseurs d’eau et aux infrastructures numériques.
Plus spécifiquement, elle est applicable à toute structure au sein de ces secteurs qualifiée de :
- Opérateur de services essentiels (OSE): Entité désignée par décret ministériel dont un incident affectant ses réseaux et systèmes, aurait des conséquences graves, appréciées notamment au regard du nombre d’utilisateurs dépendant du service, des conséquences qu’un incident pourrait avoir sur le fonctionnement de l’économie ou de la société ou sur la sécurité publique, etc…
- Fournisseurs de services numériques (FSN): Entité désignée généralement qui dispose d’au moins 50 employés ou d’un CA annuel dépassant 10 millions d’euros et qui fournit une market place, un moteur de recherche, ou un service cloud.
Obligations
Sans distinction, ces entités doivent :
- Identifier un représentant auprès de l’ANSSI ;
- Identifier ses réseaux et système(s) d’information essentiel(s), ou qui participent à la fourniture du service numérique considéré ;
- Déclarer à l’ANSSI tout incident de sécurité susceptible d’avoir un impact significatif sur la continuité des services qu’il assure ;
- Être soumis à des contrôles de sécurité, effectués à la demande du Premier ministre, par l’ANSSI ou par des prestataires de service qualifiés.
Un OSE doit appliquer dans des délais impartis à partir de sa désignation, les règles de sécurité suivantes :
- Gouvernance de la sécurité des réseaux et des SI (analyse de risque ; politique de sécurité ; homologation de sécurité ; indicateurs ; audits de la sécurité ; cartographie) ;
- Sécurité de l’architecture (configuration ; cloisonnement ; accès distant ; filtrage) ;
- Sécurité de l’administration (compte d’administration ; système d’information d’administration) ;
- Gestion des identités et des accès (identification ; authentification ; droits d’accès).
- Maintien en condition de sécurité ;
- Sécurité physique et environnementale ;
- Détection des incidents de sécurité (détection ; journalisation ; corrélation et analyse de journaux) ;
- Gestion des incidents de sécurité (réponse aux incidents ; traitement des alertes) ;
- Résilience des activités : Gestion de crises ;
Un FSN doit appliquer les règles de sécurité suivantes à partir de l’entrée en vigueur de la Directive :
- Gestion systématique des réseaux et des systèmes d’information (cartographie des SI, politiques sur la gestion de la sécurité) ;
- Sécurité physique et environnementale ;
- Sécurité de l’approvisionnement ;
- Contrôle de l’accès aux réseaux et systèmes d’information ;
- Gestion des incidents ;
- Gestion de la continuité des activités ;
- Suivi, audit et contrôle ;
- Respect des normes internationales.
En cas de manquement aux dispositions de la directive, un panel de sanction est prévu. Le montant maximal des sanctions ne pouvant dépasser 300 000 euros.
Cependant, les limites de ce cadre juridique apparaissent et entraînent un besoin de révision.
La révision du cadre juridique via NIS 2
Contexte
La décision de réviser la directive NIS fait suite à une consultation publique menée par la Commission européenne concluant notamment :
- À un manque de cohérence entre les États-membres et les secteurs,
- Au faible niveau de connaissance commune des risques cyber,
- À l’absence de réaction commune en cas de crise.
À titre d’exemple, en 2019, la Finlande (5,5 millions d’habitants) identifiait 10897 OSE sur son territoire tandis que la France (67 millions d’habitants) n’en identifiait que 127.
La directive NIS 2 vise à corriger ces lacunes et à être plus ambitieuse en termes d’obligations imposées aux organismes concernés.
Elle est adoptée en décembre 2022. Les états membres disposent de 21 mois pour transposer la directive en droit interne. NIS 2 entrera donc en vigueur au maximum le 18 octobre 2024. Il est utile de préciser que la date d’entrée en vigueur ne correspond pas à la date d’application de l’ensemble des exigences réglementaires qui seront imposées aux entités régulées : certaines exigences seront d’application directe et d’autres seront soumises à un délai de mise en conformité.
Champ d’application
NIS 2 complète les secteurs visés par la précédente directive, y ajoutant les suivants : eaux usées, espace, administration publique, services postaux et d’expédition, gestion des déchets, chimie, alimentation, fabrication, recherche, fournisseurs numériques.
De plus, la directive rompt avec les définitions anciennes d’opérateurs de services essentiels (OSE) et de fournisseurs de services numériques (FSN). À présent, il est seulement question d’Entité Essentielle (EE) et d’Entité Importante (EI). Cette distinction sert à adapter le niveau d’obligations imposé aux entités.
- En règle générale et sauf cas particuliers, les Entités Essentielles (EE) sont celles réalisant des activités dans les secteurs catégorisés comme hautement critiques (cf. annexe 1 de la Directive NIS 2), et disposant de plus de 250 salariés ou d’un chiffre d’affaires supérieur à 50 millions d’euros.
- Les Entités Importantes (EI) sont celles qui effectueront des activités dans les secteurs catégorisés comme critiques (cf. annexe 2 de la Directive NIS 2), et disposant d’au moins 50 salariés ou avec un chiffre d’affaires d’au moins 10 millions d’euros.
Au regard de ces critères objectifs établis, il apparaît que la Directive concerne diamétralement plus d’entités. Depuis le 17 avril 2025, les États membres doivent établir une liste des EI et EE et doivent la mettre à jour a minima tous les deux ans.
Un simulateur développé par l’ANSSI pour tester l’éligibilité d’une entité à la directive NIS 2 est disponible sur MonEspaceNIS2.
Obligations
Actuellement, la directive NIS 2 dresse une liste de mesures de sécurité à minima devant être prises par toutes les entités. On y retrouve :
- Les politiques relatives à l’analyse des risques et la Politique de Sécurité des Systèmes d’Information (PSSI),
- La gestion des incidents,
- Les plans dédiés à la continuité de l’activité (PCA), à sa reprise (PRA), à la gestion des sauvegardes et des crises,
- La sécurisation de la chaine d’approvisionnement,
- La sécurité de l’acquisition, du développement et de la maintenance des réseaux et des SI, notamment Le traitement et la divulgation des vulnérabilités,
- L’évaluation des mesures de gestion des risques cyber,
- Les politiques et procédures liés à la cryptographie,
- La sécurité des ressources humaines, les politiques de contrôle d’accès et la gestion des actifs,
- L’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue,
- L’utilisation d’outils de communication sécurisés et de systèmes de communication d’urgence en cas de crise.
Les évolutions notables de NIS 2
Les mesures de sécurité à implémenter sont similaires à celles imposées par la première version de la directive NIS. La principale innovation est liée à la sécurisation de la chaîne d’approvisionnement (étant entendue ici comme les relations entre chaque entité et ses fournisseurs ou prestataires de services directs).
Les entités doivent toujours signaler les incidents de sécurité important à l’autorité compétente – l’ANSSI en France – sous 72h maximum. Un incident étant considéré comme important si :
- Il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée ;
- Il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.
Les organes de direction héritent désormais de plus de responsabilité. Ils doivent approuver les mesures de gestion des risques cybersécurité prises par leur DSI et de superviser leur mise en œuvre. Ils peuvent être responsable en cas de violation de la Directive. Ils doivent également suivre une formation afin d’acquérir des connaissances et des compétences suffisantes en cybersécurité.
Enfin, le panel des sanctions a été alourdi. Le montant d’une amende pouvant atteindre jusqu’à 2% du CA mondial de l’entreprise ou 10 millions d’euros.
Transposition de la directive NIS 2 en droit français
Le 15 octobre 2024, le projet de loi « relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité » a été soumis au Sénat. Ce projet de loi composé de 62 articles vise à transposer trois directives européennes pour renforcer la résilience des entités critiques (directive REC (2022/2557)), assurer un haut niveau commun de cybersécurité (directive NIS 2 (2022/2555)) et garantir la résilience opérationnelle numérique du secteur financier (DORA (2022/2556)). Divisé en 3 titres, la transposition de la directive NIS 2 a été réalisée à travers le Titre II « Cybersécurité » du projet de loi. Les principaux impacts de cette transposition en droit français par rapport à la loi promulguée en 2018 qui transposait la directive NIS 1 sont :
- L’élargissement du nombre d’entités ciblées qui passera d’environ 600 entités à 15 000 entités en France, une distinction étant faite entre les entités essentielles (EE) et les entités importantes (EI) en fonction de leur criticité au regard de leur secteur d’activité ou du type de service qu’elles fournissent et de leur taille. Le champ des systèmes d’information de ces entités est également élargi.
- L’inclusion des collectivités territoriales et des collectivités d’outre-mer dans le dispositif, avec des critères spécifiques pour leur identification.
- L’obligation pour l’ensemble des entités désignées de :
- Mettre en place des mesures de gestion des risques techniques et organisationnels ;
- Notifier les incidents et les vulnérabilités détectées.
- La désignation de l’ANSSI comme autorité nationale de contrôle et de supervision, sauf pour certaines activités de défense soumises à une autorité spécifique.
- L’exclusion des collectivités territoriales du régime des sanctions.
Le Gouvernement a décidé de rendre public l’avis rendu par le Conseil d’Etat sur ce projet de transposition. Concernant le Titre II « Cybersécurité » du projet de loi qui transpose la directive NIS 2, le Conseil d’État souligne que, dans son ensemble, le projet de loi assure une transposition fidèle et complète de la directive NIS 2 à l’exception de l’exclusion des collectivités territoriales du régime des sanctions qui est jugée incompatible avec la directive et le principe d’égalité. Par ailleurs, 3 points importants ressortent de l’avis du Conseil d’État vis-à-vis de ce projet de transposition de la directive dans le cadre législatif français :
- Le projet de loi élargit les options offertes par la directive NIS 2 en incluant dans son champ d’application les collectivités territoriales (régions, départements et grandes communes) et l’ensemble des collectivités d’outre-mer, même celles non couvertes par la directive. Il applique également un régime similaire aux services régaliens. Ces choix, justifiés par la volonté d’assurer un haut niveau de cybersécurité en France, ne suscitent pas d’objections du Conseil d’État. Toutefois, pour garantir la clarté et la bonne application de la loi, les critères d’identification des entités essentielles et importantes ont été précisés. En effet, ces entités ne seront plus toutes désignées par l’autorité administrative mais, pour beaucoup d’entre elles, devront s’auto-identifier.
- Le projet de loi confie à une autorité unique, l’ANSSI, la supervision et le contrôles des entités essentielles et importantes. Bien que ce choix ne soit pas imposé par la directive NIS 2, il permet de centraliser les missions sous une autorité compétente rattachée au Secrétariat général de la défense et de la sécurité nationale (SGDSN). Toutefois, pour certaines activités de défense nécessitant un traitement particulier, le Conseil d’État propose d’ajouter une disposition permettant au Premier ministre de désigner une autre autorité compétente.
Le projet de loi ne prévoit pas de dispositions transitoires ni d’entrée en vigueur différée, bien qu’il impose de nouvelles obligations à de nombreuses entités. Même si les mesures les plus contraignantes dépendront de texte d’application, les entités concernées, en particulier celles devant s’identifier elles-mêmes, devront relever un défi financier et de compétences. Le Conseil d’État accepte ce choix en raison de l’urgence de renforcer la cybersécurité face aux menaces croissantes et pour respecter les exigences de la directive européennes applicable depuis le 18 octobre 2024. Toutefois, il insiste sur la nécessité d’un accompagnement soutenu de l’État pour aider les entités à se conformer aux nouvelles obligations.
Proposition d’accompagnement
La Directive NIS 2 marque un changement de paradigme dans la gestion de la cybersécurité au sein de l’Union européenne. Du fait de son élargissement, de nombreuses entreprises européennes, ainsi que les collectivités territoriales et d’outre-mer françaises sont désormais concernées par ce nouveau texte et doivent mettre en place des actions pour renforcer leur posture de cybersécurité afin d’être en conformité.
Afin de vous accompagner dans cette mise en conformité et de vous aider à transformer cette contrainte réglementaire en une opportunité, Lovell Consulting vous propose des offres adaptées à votre contexte :
- Évaluation & Diagnostic :
- Identification des obligations spécifiques à votre secteur.
- Audit complet pour évaluer votre maturité, vos risques et vos besoins.
- Mise en conformité :
- Mise en place d’une stratégie de sécurité robuste adaptée à votre secteur et conforme aux exigences NIS 2.
- Accompagnement dans la gestion des incidents et la mise en œuvre des mesures techniques et organisationnelles requises.
- Formation & Sensibilisation :
- Montée en compétences de vos équipes pour anticiper et réagir aux cybermenaces.
Ne subissez pas la directive, maîtrisez-la !
Contactez-nous pour un accompagnement sur mesure et faites de la directive NIS 2 un levier de confiance et de sécurité pour vos activités.
