Table des matières

• Introduction

• De la NIS à la NIS2 – pourquoi une mise à jour ?

• Qui est couvert par NIS2 ?

• Exigences clés dans NIS2

• Comment les entreprises et organisations suédoises seront-elles affectées ?

• Opportunités avec NIS2

• Des défis tout au long du chemin

• Que doivent faire les entreprises maintenant ?

• Cours recommandés à l'AVC

• Conclusion

Introduction

La numérisation continue de s'infiltrer dans tous les domaines de la société. Les modèles d'affaires, les fonctions sociétales critiques et la vie quotidienne des citoyens reposent de plus en plus sur l'infrastructure numérique. Cependant, ce développement s'accompagne d'une forte augmentation de la vulnérabilité aux cyberattaques, aux violations de données et à d'autres incidents liés aux TI. Pour renforcer la résilience numérique de ses États membres, l'UE a introduit un nouveau cadre : la Directive NIS2

Since October 17, 2024, NIS2 has been part of Swedish law, introducing major new requirements for businesses and public organizations. Here we outline what the directive means, why it is important, and how to prepare in practice.

De la NIS à la NIS2 – pourquoi une mise à jour ?

La première directive NIS (2016) était le premier cadre commun de l'UE pour la cybersécurité. Son but était de garantir que les opérateurs de services essentiels et les fournisseurs de services numériques disposaient d'un niveau de sécurité de base et que les incidents graves étaient signalés.

Malgré cela, le nombre de menaces cybernétiques a considérablement augmenté ces dernières années : attaques par rançongiciel, cyber-guerre parrainée par des États, attaques sur la chaîne d'approvisionnement et sabotage contre les infrastructures critiques. La NIS1 n'était plus jugée suffisante.

Ainsi, le NIS2 vise à :

• Couvrir plus de secteurs et d'entreprises – pas seulement les fonctions les plus critiques de la société.
• Rehaussez les exigences en matière de gestion des risques, des mesures de sécurité et de signalement des incidents.
• Create a more uniform application throughout the EU, so that the level of security does not vary between member states.
• Donner aux autorités plus de pouvoirs pour surveiller et intervenir dans les cas de non-conformité.

Qui est couvert par NIS2 ?

L'un des changements les plus significatifs est que la directive élargit le champ d'application des personnes concernées. La NIS1 s'appliquait principalement à l'énergie, aux transports, à la finance, à la santé et aux infrastructures numériques.

NIS2 ajoute plus de secteurs, y compris :

• Administration publique
• Gestion des déchets et des eaux usées
• Production et distribution alimentaires
• Fabrication de certains produits critiques (par exemple, dispositifs médicaux, produits pharmaceutiques, produits chimiques, électroniques)
• Fournisseurs de services informatiques et de cybersécurité

Une autre différence importante est que la directive concerne toutes les entreprises de taille moyenne et les grandes entreprises dans les secteurs désignés. Les petites entreprises (moins de 50 employés et moins de 10 millions d'euros de chiffre d'affaires) sont généralement exemptées, mais peuvent être concernées si elles sont considérées comme particulièrement critiques.

Pour la Suède, cela signifie qu'un nombre considérablement plus important d'organisations qu'auparavant devront répondre aux exigences – tant publiques que privées.

Exigences clés dans la NIS2

La directive NIS2 impose un certain nombre d'obligations spécifiques aux parties concernées. Les plus importantes d'entre elles sont énumérées ci-dessous :

1. Mesures de sécurité

Les organisations doivent mettre en œuvre des mesures techniques et organisationnelles pour gérer les risques. Cela peut inclure :

• Gouvernance de la cybersécurité et gestion des risques au niveau de la direction.
• Mesures pour prévenir, détecter et gérer les incidents.
• Sécurité dans les chaînes d'approvisionnement.
• Sécurité dans les réseaux et systèmes, incluant le chiffrement et l'authentification multi-facteurs.
• Plans de continuité et de reprise en cas de perturbations.

2. Rapport d'incident

La directive NIS2 renforce les exigences en matière de rapport :

• Notification précoce dans les 24 heures suivant la détection d'un incident.
• Rapport détaillé sous 72 heures.
• Un rapport définitif doit être soumis dans un délai d'un mois suivant l'incident.

Cela signifie que les organisations doivent établir des procédures pour un signalement interne rapide, une analyse et une communication avec les autorités.

3. Responsabilité de la direction

Un changement important est que la direction et les conseils d'administration des entreprises se voient attribuer la responsabilité explicite de s'assurer que l'organisation respecte les exigences. Ils doivent :

• Approuvez les mesures de sécurité.
• Participez à une formation en cybersécurité.
• Être tenu personnellement responsable des graves lacunes.

4. Supervision réglementaire et sanctions

Chaque État membre doit désigner des autorités de surveillance dotées du pouvoir de :

• Réalisez des audits et des inspections.
• Demander des informations et des preuves de conformité.
• Donnez des instructions de liaison.
• Imposer des amendes pour non-conformité.

Le niveau des sanctions est élevé – jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les infractions les plus graves.

Comment les entreprises et organisations suédoises seront-elles affectées ?

En Suède, des travaux sont actuellement en cours pour développer une nouvelle loi sur la cybersécurité afin de remplacer l'ancienne loi NIS. Elle devrait entrer en vigueur au plus tard à l'automne 2024.

Pour les acteurs suédois, cela signifie qu'ils doivent :

• Déterminez s'ils sont couverts
  • Les organisations doivent déterminer si elles appartiennent aux secteurs et aux classes de taille qui relèvent de NIS2.

• Renforcer la gouvernance et la gestion
  • La direction doit être formée en cybersécurité et intégrer la question dans la gestion globale des risques de l'organisation.
• Réaliser des analyses d'écart
  • Dans quelle mesure les mesures de sécurité actuelles répondent-elles aux exigences de la NIS2 ? Où sont les lacunes ?
• Mettre en place des procédures robustes de signalement des incidents
  • Des processus sont nécessaires pour détecter, analyser et rapporter les incidents en temps opportun.
• Sécuriser la chaîne d'approvisionnement
  • Étant donné que de nombreuses menaces cybernétiques se propagent à travers les sous-traitants, les organisations doivent également imposer des exigences à leurs partenaires.

Opportunités avec NIS2

Il est facile de considérer la NIS2 uniquement comme un fardeau avec des coûts accrus et un travail administratif supplémentaire. Mais la directive peut également être vue comme une opportunité :

• Accroissement de la compétitivité : Les entreprises qui peuvent démontrer une haute cybersécurité deviennent plus attrayantes pour les clients et les partenaires.
• Renforcement de la confiance: Être capable de garantir une gestion sécurisée des données et des systèmes renforce la confiance.
• Résilience améliorée : Les investissements dans la sécurité réduisent le risque d'interruptions coûteuses, de violations de données et de dommages à la marque.
• Normalisation : En harmonisant les règles, l'UE offre aux entreprises opérant dans plusieurs pays un cadre plus clair et uniforme.

Défis tout au long du chemin

Toutefois, il existe de véritables défis :

• Complexité : De nombreuses organisations n'ont aujourd'hui pas une vision claire de leurs actifs numériques et des risques associés.
• Pénurie de compétences : Les experts en cybersécurité sont rares, tant dans le secteur privé que public.
• Coûts : Les investissements dans les systèmes, les processus et la formation peuvent être importants, en particulier pour les entreprises de taille moyenne.
• Changement culturel : La cybersécurité doit devenir une partie intégrante de toute l'organisation, et pas seulement la responsabilité du département informatique.

Que doivent faire les entreprises maintenant ?

Pour être bien préparés pour NIS2, les entreprises et organisations suédoises devraient déjà faire ce qui suit :

• Désignez un groupe de projet responsable de la conformité NIS2.
• Former le conseil et la direction aux nouvelles exigences et risques.
• Réaliser une analyse de l'état de la sécurité de l'information et de la gestion des risques.
• Mettez en place des procédures de gestion des incidents et pratiquez des scénarios.
• Impliquez les fournisseurs et assurez-vous qu'ils répondent à des exigences de sécurité raisonnables.

Cours recommandés à AVC

Pour aider votre organisation à répondre aux nouvelles exigences de la NIS2, nous recommandons deux programmes d'e-learning personnalisés :

• SecurityLearn® Fondamentaux de la NIS2 – Un cours d'e-learning qui offre une compréhension fondamentale des risques liés à la cybersécurité et des obligations de conformité décrites dans l'article 20 de la Directive NIS2. Conçu pour le personnel non technique, il développe la sensibilisation et promeut une culture de la sécurité au sein de l'organisation.
• Certifié NIS2 (CNIS2) – Un cours d'apprentissage en ligne pour les gestionnaires, spécialistes et professionnels responsables de la mise en œuvre et du maintien de la conformité NIS2. Cette formation avancée comble le fossé entre les meilleures pratiques en cybersécurité et la gouvernance organisationnelle, donnant aux participants les compétences pour gérer les risques, traiter les incidents et assurer la conformité.

Les deux cours sont dispensés en ligne, en anglais et incluent une certification. Ils fournissent les connaissances et les outils nécessaires pour répondre aux exigences de la nouvelle directive.

Conclusion

NIS2 marque une nouvelle ère pour la cybersécurité en Europe. Alors que le RGPD se concentrait sur la protection des données et la vie privée individuelle, NIS2 se concentre sur la robustesse et la résilience de l'ensemble de l'infrastructure numérique.

Pour les entreprises et organisations suédoises, le message est clair : la cybersécurité n'est plus une affaire de spécialistes du département informatique, c'est une question de gestion stratégique avec des implications juridiques, financières et de confiance.

Attendre que la nouvelle loi entre en vigueur peut s'avérer coûteux. Mais agir à temps peut faire la différence entre percevoir NIS2 comme un lourd fardeau réglementaire – ou comme une opportunité de renforcer votre entreprise pour l'avenir.

Sources

• Le gouvernement. Nouvelles règles sur la cybersécurité SOU 2024:18 – Rapport intermédiaire de l'Enquête sur la mise en œuvre des directives NIS2 et CER. Stockholm : Publications officielles du gouvernement suédois, 05 mars 2024. regeringen.se
• Commission européenne. Directive (UE) 2022/2555 concernant des mesures pour un niveau élevé commun de cybersécurité dans l'Union (Directive NIS2). Journal officiel de l'Union européenne, 27 décembre 2022. eur-lex.europa.eu
• ENISA – Agence de l'Union européenne pour la cybersécurité. Directive NIS2 : Aperçu et ressources clés. enisa.europa.eu