La directive européenne NIS 2 sur la sécurité des réseaux et de l’information est transposée en droit français et en vigueur depuis hier. Elle définit de nouvelles exigences en matière de cybersécurité pour toute entreprise d’un effectif d’au moins 50 personnes et d’un chiffre d’affaires supérieur à un million d’euros faisant partie d’un secteur stratégique ou sous-traitant au sein de l’un de ces 35 secteurs dit ‘sensibles’. Parmi les domaines concernés : la santé, les transports, les infrastructures numériques, la banque/finance, l’assurance, l’énergie, les administrations publiques, la gestion des déchets, les services postaux, la fabrication de produits chimiques, les grands distributeurs alimentaires ou encore les fournisseurs d’accès à internet et les datacenters.
Les entreprises concernées – 15.000 environ en France – ont de nouvelles obligations en termes de gestion des risques, de reporting sur les incidents et de divulgation des vulnérabilités. La directive élargit également les pouvoirs des autorités de contrôle par les autorités nationales et harmonise et renforce les sanctions en cas de non-respect des obligations.
Toute entreprise contrevenante s’expose à une amende jusqu’à 10 millions d’euros ou représentant jusqu’à 2% de son chiffre d’affaires annuel mondial. La responsabilité de la direction peut également être engagée.
Pour autant, le directeur général de l’Anssi, Vincent Strubel, dit vouloir laisser une période de trois ans aux entités concernées pour se conformer complètement à cette directive, à partir du moment où le strict minimum est fait. Ce minimum consistera en l’enregistrement de l’entité auprès de l’Anssi sur le portail monespaceNIS2, la notification des incidents cyber et le partage d’information sur les investissements effectués en matière de cybersécurité.
La directive NIS 2 amène aussi les Etats membres à renforcer leur coopération en matière de gestion de crise cyber, en donnant notamment un cadre formel au réseau CyCLONe (Cyber Crisis Liaison Organisation Network) qui rassemble l’Anssi et ses homologues européens.