Que vous soyez établi dans l'UE ou non, la directive NIS2 est une question qui relève du conseil d'administration et qui ne peut être ignorée. 

Même si votre entreprise n'est pas directement concernée, vous avez sans doute entendu parler de la directive NIS de l'UE et de sa version actualisée, la NIS2.

La directive NIS (réseaux et systèmes d'information) de 2016 est entrée en vigueur afin de renforcer la responsabilité en matière de sécurité et de gouvernance dans les secteurs que l'UE qualifie de « critiques », tels que l'énergie et les transports. Son champ d'application s'étendait également à d'autres secteurs « importants » susceptibles d'avoir un impact négatif sur le fonctionnement de ces secteurs critiques en cas d'incident.

Avec la mise en œuvre de la directive sur la sécurité des réseaux et de l'information (NIS2), le champ d'application de la directive a été étendu à de nouveaux secteurs, tout en harmonisant certaines obligations prévues par la législation.

Surtout, cela a également renforcé la responsabilité de la direction, garantissant ainsi que la sécurité et la résilience soient intégrées dans la gouvernance d'entreprise.

La direction est désormais directement responsable – et engagée – au titre de la directive NIS2

Les conséquences d'un échec peuvent être graves, tant pour votre entreprise que pour ses dirigeants.

Pour les entreprises, les amendes potentielles sont calculées en pourcentage du chiffre d'affaires mondial — et non pas uniquement du chiffre d'affaires réalisé sur le marché concerné. Cela pourrait se traduire par des sanctions pouvant atteindre 2 % du chiffre d'affaires total ou 10 millions d'euros.

Mais l'amende infligée à l'entreprise ne mettra pas la haute direction à l'abri. La directive NIS 2 impose à la haute direction la responsabilité de garantir la conformité et la tient pour responsable en cas de manquement. Par conséquent, si une négligence est avérée, ses membres pourraient ne plus être autorisés à diriger l'entreprise en question.

La législation est claire : la cybersécurité et la résilience ne sont plus un « problème informatique ». Elles constituent un élément central de la gouvernance d'entreprise, et ne pas les traiter comme telles pourrait avoir de graves conséquences tant pour l'entreprise que pour ses dirigeants.

La directive NIS 2 devrait vous préoccuper, même si vous n'entrez pas dans son champ d'application

La directive NIS 2 impose aux entreprises de ne pas se limiter à l'évaluation des risques qu'elles peuvent contrôler. Elle leur impose également d'analyser leurs chaînes d'approvisionnement afin d'identifier les faiblesses potentielles et toute dépendance excessive à l'égard de certaines entreprises.

Si votre entreprise fait partie des nombreux fournisseurs d'une autre organisation, elle peut être considérée comme « importante ». Mais si vous êtes le seul prestataire de certains services, vous pourriez devenir « essentiel » pour cette entreprise, ce qui ferait peser le risque de non-conformité sur votre entreprise. 

Ainsi, même si votre organisation n'est pas directement concernée par la directive NIS 2, il se peut que l'on vous demande de démontrer que vos activités relèvent de son champ d'application si vous souhaitez travailler avec des entreprises qui, elles, sont concernées.

Et cela ne concerne pas uniquement la directive NIS 2. D'autres pays disposent également d'une législation similaire, avec des exigences qui se recoupent. Le Royaume-Uni, par exemple, a sa propre législation NIS, ainsi que des obligations strictes en matière de notification des violations dans le cadre du RGPD britannique. On évoque également ce que pourrait apporter la directive NIS 3 au sein de l'UE. La législation s'allège rarement, et des discussions sont déjà en cours sur la manière dont son champ d'application pourrait être élargi.

En bref, ce genre de cadres n'est pas près de disparaître et ne fera que se développer.

Les quatre domaines clés de la surveillance au titre de la directive NIS 2

Bien qu'elles relèvent de la législation NIS2, elles constituent également un cadre pratique permettant de renforcer la gouvernance d'entreprise, la cybersécurité et la résilience au sein de toute organisation.

• Gestion des risques – Il s'agit de la dimension préventive. Il s'agit de s'assurer que tout est en ordre au sein de votre organisation afin de minimiser les risques. Cela couvre notamment la gestion des incidents, le renforcement de la sécurité de la chaîne d'approvisionnement, l'amélioration de la sécurité des réseaux, un meilleur contrôle d'accès et le chiffrement.
• Obligations de signalement – En cas de problème, des délais stricts régissent la manière dont les incidents doivent être signalés. Chaque seconde compte, et il est essentiel de veiller à ce que votre entreprise comprenne bien ses obligations dans le cadre de la gestion des incidents.
• Continuité des activités – Si le pire devait arriver, comment votre organisation continuerait-elle à fonctionner ? Dispose-t-elle d'un plan de reprise après sinistre ? Ce plan a-t-il été testé ? Les équipes sont-elles prêtes à s'adapter rapidement en cas d'incident ? En bref : votre entreprise est-elle capable de faire face et de se remettre sur pied ?

Ces trois domaines clés reposent sur la responsabilité de l'entreprise. Il ne s'agit pas de laisser le service informatique s'en charger, mais de veiller à ce que les équipes de direction soient formées pour comprendre leurs responsabilités et prendre les mesures nécessaires afin de garantir la conformité.

La législation peut évoluer, mais le besoin sous-jacent reste le même

En adhérant aux principes de la NIS2, même si vous n'y êtes pas légalement tenu, vous vous donnez les moyens de travailler avec ceux qui y sont soumis. De plus, l'adoption de cette approche ne fera que renforcer votre niveau de sécurité et votre capacité à réagir en cas d'incident.

Le coût moyen d'une violation de données dépassant 3,3 millions d'euros, son impact financier à lui seul souligne la nécessité d'une gouvernance rigoureuse. Et cela sans même tenir compte du coût lié à l'atteinte à la réputation. 

Kaseya, grâce à sa suite de solutions dédiées aux opérations informatiques et à la gestion des risques, ne cesse de souligner depuis longtemps l'importance de disposer des outils adéquats pour rationaliser, gérer et protéger les entreprises.

Une bonne gouvernance nécessite les bons outils

Même si la législation générale est susceptible de changer et de continuer à évoluer, les principes fondamentaux restent les mêmes. Une bonne gouvernance repose sur des outils qui réduisent le risque d'erreur humaine, accélèrent la détection des problèmes, facilitent leur résolution et garantissent que les équipes disposent exactement de ce dont elles ont besoin en cas de problème.

Cela signifie également disposer des preuves nécessaires en cas d'audit de votre entreprise ou si celle-ci doit signaler une faille de sécurité. Cela comprend notamment les attestations de formation, les registres de gouvernance et la documentation détaillée décrivant étape par étape la manière dont un incident de sécurité a été géré.

Dans notre prochain article, nous examinerons les dix points que les équipes de direction devraient aborder avec les responsables informatiques afin de garantir la conformité à la directive NIS2.