NIS2
NIS2 est la directive européenne de cybersécurité qui étend à 18 secteurs des obligations de gestion des risques, de notification d'incidents et de sécurité des fournisseurs.
NIS2, pour Network and Information Security 2, est la directive européenne 2022/2555 qui rehausse le niveau d'exigence en cybersécurité sur tout le continent. Elle élargit considérablement le champ de la première directive NIS : 18 secteurs sont désormais couverts, de l'énergie à la santé en passant par le numérique, l'agroalimentaire ou la gestion des déchets, et les entités visées sont classées "essentielles" ou "importantes" selon leur taille et leur criticité. En France, des milliers d'organisations entrent dans le périmètre, PME comprises, sous le pilotage de l'ANSSI.
Sur le fond, la directive impose une gestion des risques documentée et proportionnée : mesures techniques et organisationnelles, sécurité de la chaîne d'approvisionnement, gestion des vulnérabilités et des incidents, avec une notification des incidents significatifs dans des délais serrés, premier signalement sous 24 heures. La responsabilité est portée par les organes de direction eux-mêmes, et les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles.
Pour savoir si vous êtes concerné et par où commencer, notre page pilier NIS2 pose le cadre, notre guide NIS2 pour les PME traite le cas des structures moyennes, et l'article audit NIS2 détaille la préparation à l'évaluation. La connaissance de sa surface d'attaque externe, exigence implicite du texte, est précisément ce qu'apporte l'EASM.
Les obligations qui coûtent, article par article
Trois blocs structurent le texte. L'article 20 place la responsabilité sur les organes de direction, qui doivent approuver les mesures de gestion des risques et suivre une formation : la sanction vise les dirigeants, pas la DSI. L'article 21 liste dix familles de mesures, de l'analyse des risques à la sécurité de la chaîne d'approvisionnement, en passant par le traitement des vulnérabilités et l'évaluation de l'efficacité des dispositifs mis en place. L'article 23 fixe le rythme de notification des incidents significatifs : alerte précoce sous 24 heures, notification circonstanciée sous 72 heures, rapport final sous un mois.
Ce que ça veut dire pour une PME concernée
Les entités importantes ne subissent pas le même contrôle que les entités essentielles : la supervision y est a posteriori, déclenchée par un incident ou un signalement, plutôt que par un audit programmé. Cela ne change rien aux obligations de fond, mais cela change l'ordre des travaux. Ce qui doit tenir devant un contrôle après incident : un inventaire des actifs exposés, un registre des incidents, une procédure de notification écrite et déjà testée, et la trace des évaluations d'efficacité demandées à l'article 21.2 f). Notre guide NIS2 et PME déroule le point de départ, et le volet technique d'un audit NIS2 porte précisément sur cette preuve d'efficacité.
Questions fréquentes
Comment savoir si mon entreprise est concernée par NIS2 ?
Deux critères se combinent : appartenir à l'un des secteurs listés en annexe de la directive, et dépasser les seuils de taille, à partir de 50 salariés ou 10 millions d'euros de chiffre d'affaires selon les cas. Certaines entités sont désignées quelle que soit leur taille, en raison de leur rôle critique.
Existe-t-il une certification NIS2 ?
Non, et il faut se méfier de ce qui se présente comme telle. La directive impose des mesures et une supervision, pas un label. Ce qui se démontre, ce sont des mesures documentées et la preuve de leur efficacité sur le terrain.
NIS2 impose-t-elle des tests d'intrusion ?
Pas nommément. L'article 21.2 f) exige des politiques d'évaluation de l'efficacité des mesures de gestion des risques, et le test d'intrusion reste le moyen le plus direct d'apporter cette preuve sur le périmètre exposé.