NIS 2

La directive NIS 2, qui s’appuie sur les acquis de la directive NIS 1, marque un changement de paradigme, tant à l’échelon national qu’à l’échelon européen. Face à des acteurs malveillants toujours plus performants et mieux outillés, touchant de plus en plus d’entités trop souvent mal protégées, la directive NIS 2 élargit en effet ses objectifs et son périmètre d’application pour apporter davantage de protection. Cette extension du périmètre prévue par NIS 2 est sans précédent en matière de réglementation cyber. Elle amène aussi les Etats membres à renforcer leur coopération en matière de gestion de crise cyber, en donnant notamment un cadre formel au réseau CyCLONe (Cyber Crisis Liaison Organisation Network) qui rassemble l’ANSSI et ses homologues européens.

Source : cyber.gouv.fr

Qu’est-ce que NIS 2 ?

La directive NIS 2 (en français : sécurité des réseaux et des systèmes d’Information) vise à renforcer le niveau de cybersécurité des tissus économique et administratif des pays membres de l’UE.

L’enjeu est de mieux protéger les réseaux et les systèmes d’information servant à fournir des services essentiels dans les secteurs clés de nos sociétés. Alors que la première directive NIS visait à protéger les acteurs économiques majeurs de l’UE, cette nouvelle directive élargit le champ des entités et des secteurs concernés et introduit des exigences plus adaptées, notamment au regard du renforcement de la menace cyber. Elle prévoit un socle de mesures juridiques, techniques et organisationnelles que les futures entités assujetties devront mettre en œuvre, en fonction du risque existant, afin d’élever leur niveau général de cybersécurité et d’accroître leur résilience opérationnelle.

L’ANSSI, en tant qu’autorité nationale en matière de cybersécurité et de cyberdéfense, pilote la transposition en droit national de la directive et assure sa mise en œuvre.

Les entités essentielles (EE) et entités importantes (EI)

Pour garantir une proportionnalité de traitement, la directive NIS 2 distingue deux catégories d’entités régulées : EE – Entités essentielles / EI – Entités importantes.

Cette catégorisation s’établit selon leur degré de criticité, leur taille et leur chiffre d’affaires (pour les entreprises).

La règlementation s’appuiera sur ces deux typologies d’entités (EE ou EI) pour définir des objectifs adaptés et proportionnés aux enjeux de chacune de ces catégories.