La directive NIS2 (Network and Information Security Directive 2), adoptée par le Parlement européen en novembre 2022 et devant être transposée dans les législations nationales d'ici octobre 2024, représente un tournant majeur dans la régulation de la cybersécurité en Europe. Contrairement à NIS1 qui ne concernait qu'un nombre restreint d'opérateurs de services essentiels, NIS2 élargit considérablement son périmètre à plus de 160 000 entités à travers l'Union européenne.
Qui est concerné ?
NIS2 introduit deux catégories d'organisations soumises à la directive :
- Entités essentielles : énergie, transport, banques, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, administration publique et espace
- Entités importantes : services postaux, gestion des déchets, fabrication de produits chimiques, production alimentaire, fabrication de dispositifs médicaux et fournisseurs numériques
Le critère de taille est déterminant : toute organisation de plus de 50 employés ou réalisant plus de 10 millions d'euros de chiffre d'affaires dans ces secteurs est automatiquement concernée.
Les 10 obligations clés
- Gouvernance : la direction doit approuver et superviser les mesures de cybersécurité
- Analyse de risques : évaluation régulière des risques cyber avec mesures proportionnées
- Gestion des incidents : détection, réponse et notification obligatoire
- Continuité d'activité : plans de reprise et de continuité testés régulièrement
- Sécurité de la chaîne d'approvisionnement : évaluation des risques tiers
- Acquisition sécurisée : sécurité intégrée dès la conception des systèmes
- Évaluation de l'efficacité : tests et audits réguliers des mesures
- Hygiène cyber : formations et sensibilisation du personnel
- Cryptographie : politiques de chiffrement adaptées
- Contrôle d'accès : authentification multi-facteurs et gestion des identités
Sanctions
Les sanctions prévues par NIS2 sont significatives :
- Entités essentielles : jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires mondial
- Entités importantes : jusqu'à 7 millions d'euros ou 1,4% du chiffre d'affaires mondial
- Responsabilité personnelle des dirigeants en cas de négligence
Comment se préparer ?
La préparation à NIS2 passe par quatre étapes structurées :
- Évaluation initiale : déterminer si votre organisation est une entité essentielle ou importante, cartographier vos systèmes d'information critiques
- Gap analysis : comparer votre posture actuelle aux exigences NIS2, identifier les écarts prioritaires
- Plan de remédiation : définir les actions correctives avec calendrier et responsables
- Conformité continue : mettre en place un monitoring permanent, automatiser la collecte de preuves
Ce que Zaxyr apporte
Zaxyr automatise l'intégralité du parcours NIS2 : gap analysis intelligent via IMY 3.2, mapping automatique de vos contrôles existants vers les exigences NIS2, collecte de preuves automatisée, et reporting board-ready. En moyenne, nos clients réduisent de 73% le temps consacré à la préparation de conformité NIS2.