NIS 2 : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
NIS 2 est la directive européenne 2022/2555 sur la cybersécurité. Elle impose à de nombreuses entités de secteurs essentiels, dont la santé et certaines administrations, de gérer leurs risques numériques et de signaler leurs incidents importants.
Ce qu'il faut comprendre
NIS 2 succède à la première directive NIS de 2016 et élargit fortement son champ. Elle distingue les entités essentielles et les entités importantes, selon leur secteur et leur taille : énergie, transports, santé, eau, numérique, administration publique, gestion des déchets, alimentation, industrie, entre autres. Elle doit être transposée dans le droit de chaque État membre ; en France, l'ANSSI en pilote la mise en œuvre.
Les entités concernées doivent adopter des mesures de gestion des risques : analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, chiffrement, contrôle des accès, authentification multifacteur, formation. Les dirigeants sont personnellement impliqués : ils approuvent les mesures, supervisent leur mise en œuvre et doivent suivre une formation.
NIS 2 et le RGPD se complètent. NIS 2 protège la continuité des services et des systèmes d'information ; le RGPD protège les données personnelles. Un même incident, comme un rançongiciel, peut devoir être signalé à la fois à l'ANSSI au titre de NIS 2 et à la CNIL au titre du RGPD, chacun selon ses propres délais. Erreur fréquente : se croire exclu parce que l'on est une petite structure. Certaines entités sont visées quelle que soit leur taille, et les prestataires d'entités régulées se verront souvent imposer des exigences par contrat.
Exemple concret
Un groupement d'établissements médico-sociaux est identifié comme entité régulée. Il formalise sa politique de sécurité, généralise l'authentification multifacteur, exige des clauses de sécurité de ses éditeurs de logiciels de soins et prépare une procédure unique de gestion des incidents, prévoyant à la fois le signalement à l'ANSSI et la notification à la CNIL en cas de violation de données.
Textes de référence
- Directive (UE) 2022/2555, art. 21
- Directive (UE) 2022/2555, art. 23
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
