NIS2-krav til virksomheder

La directive NIS2 est une directive européenne visant à renforcer la cybersécurité et la résilience dans les secteurs d'importance vitale et critiques. Au Danemark, cette directive a été transposée par la loi NIS2, qui impose des exigences notamment en matière de gestion des risques, de mesures de sécurité, de signalement des incidents, de gestion des fournisseurs, de responsabilité de la direction et de documentation.

Le règlement NIS2 peut s'appliquer aussi bien aux organisations privées qu'aux organisations publiques. L'applicabilité de ce règlement à une organisation dépend notamment de son secteur d'activité, de sa taille et du rôle spécifique qu'elle joue dans la chaîne d'approvisionnement. Les secteurs concernés comprennent notamment l'énergie, les transports, la santé, l'eau potable, les infrastructures numériques, les services informatiques, l'administration publique, l'agroalimentaire, la gestion des déchets et la production.

Nesp.ONE permet de déterminer si l'organisation relève du champ d'application de la directive NIS2, quelles sont les exigences applicables et comment traduire ces exigences en mesures de sécurité concrètes, en documentation et en suivi continu.

Pour en savoir plus sur la directive NIS2, consultez les sites suivants : EUR.lex, Samsik.dk, Europa.eu,Retsinformation.dk

La directive NIS2 exige que les organisations concernées adoptent une approche fondée sur les risques et mettent en place des mesures de sécurité techniques, organisationnelles et opérationnelles adaptées. Cela signifie que les mesures de sécurité doivent être définies en fonction des risques concrets de l'organisation, de ses systèmes, de ses fournisseurs et de ses services critiques.

Ces exigences portent notamment sur la gestion des incidents, la préparation aux situations d'urgence et la continuité des activités, la gestion des fournisseurs, le contrôle d'accès, la gestion des actifs, le chiffrement le cas échéant, la sensibilisation, l'hygiène informatique et la documentation. L'objectif n'est pas seulement de protéger les données, mais aussi de réduire le risque de perturbations opérationnelles, d'interruptions de service et d'incidents susceptibles d'affecter les clients, les citoyens, les partenaires ou les fonctions essentielles à la société.

Nesp.ONE aide à identifier les exigences pertinentes, à hiérarchiser les mesures nécessaires et à mettre en place une approche structurée qui favorise à la fois la conformité et un niveau de sécurité accru.

Une approche fondée sur les risques signifie que l'organisation doit hiérarchiser ses mesures de sécurité en fonction des domaines où les conséquences d'un incident seraient les plus graves (pour en savoir plus sur l'approche fondée sur les risques, cliquez ici). Cela nécessite une vue d'ensemble des systèmes, des données, des processus, des fournisseurs, des dépendances et des services que l'organisation doit être en mesure de fournir.

Cela signifie également que toutes les mesures de sécurité ne doivent pas nécessairement être mises en œuvre de la même manière partout. Les systèmes critiques, les processus essentiels à l'activité et les fournisseurs clés peuvent nécessiter un niveau de sécurité plus élevé que les domaines moins critiques. Une approche fondée sur les risques permet d'utiliser les ressources de manière plus ciblée et de justifier pourquoi certaines mesures sont prioritaires.

Nesp.ONE apporte son aide en matière d'évaluation des risques, d'analyse des écarts et d'élaboration de plans d'action, afin que l'organisation dispose d'une base concrète pour travailler de manière ciblée à la mise en conformité avec la directive NIS2.

La directive NIS2 place la direction au cœur des efforts en matière de cybersécurité. La direction doit être en mesure d'approuver, de suivre et de garantir la mise en œuvre des mesures de cybersécurité pertinentes. Cela ne nécessite pas de connaissances techniques approfondies, mais une base décisionnelle claire concernant les risques, les responsabilités, les priorités et les mesures nécessaires.

Pour l'organisation, cela signifie que la cybersécurité doit être considérée comme faisant partie intégrante de la gestion globale des risques. La direction doit être en mesure de démontrer que des mesures structurées sont mises en œuvre en matière de sécurité, de préparation aux incidents, de gestion des fournisseurs et de gestion des incidents.

Nesp.ONE aide à concrétiser les responsabilités de direction grâce à des analyses de risques, des plans d'action prioritaires, des rapports et une documentation pouvant être utilisés par la direction, le conseil d'administration et l'organe de surveillance.

La directive NIS2 impose de signaler les incidents de sécurité majeurs dans les délais fixés. En principe, une alerte précoce doit être envoyée dans les 24 heures, un rapport d'incident dans les 72 heures et un rapport final au plus tard un mois après le rapport d'incident (pour en savoir plus sur les exigences en matière de notification des incidents, cliquez ici).

Cela nécessite des procédures claires pour détecter, évaluer, signaler aux instances supérieures et consigner les incidents. L'organisation doit être en mesure d'évaluer la gravité de l'incident, de recueillir les informations pertinentes et de veiller à ce que les autorités compétentes en soient informées en temps utile.

Nesp.ONE aide à mettre en place des plans de continuité informatique, des procédures de signalement et des fiches d'intervention, afin que l'organisation puisse réagir rapidement, limiter les conséquences et documenter la gestion des incidents.

La directive NIS2 exige que les organisations concernées s'engagent activement en faveur de la sécurité de la chaîne d'approvisionnement. Cela signifie que l'organisation doit évaluer les fournisseurs concernés, leur imposer des exigences de sécurité appropriées et vérifier que ces exigences sont bien respectées.

La gestion des fournisseurs englobe notamment l'évaluation des risques, les exigences contractuelles, l'accès aux systèmes et aux données, les sous-traitants, la préparation aux situations d'urgence et la documentation des mesures de sécurité. Pour les fournisseurs, la directive NIS 2 signifie également qu'ils peuvent être confrontés à des exigences plus strictes de la part de clients relevant de la directive NIS 2, même s'ils ne sont pas nécessairement eux-mêmes directement concernés.

Nesp.ONE permet d'avoir une vue d'ensemble des risques liés aux fournisseurs, de définir les exigences de sécurité pertinentes et de mettre en place un processus concret de suivi et de documentation.

Le non-respect de la directive NIS2 peut entraîner des contrôles, des injonctions et des sanctions importantes. Pour les entités significatives, les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Pour les entités importantes, les amendes peuvent atteindre 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Le risque global va toutefois au-delà des sanctions. Un manque de maîtrise en matière de cybersécurité peut également entraîner des perturbations opérationnelles, des retards de livraison, des pertes de données, une augmentation des coûts, des conséquences contractuelles et une perte de confiance de la part des clients, des citoyens et des partenaires.

Nesp.ONE aide à mettre en place une approche structurée et documentée de la directive NIS2, afin que l'organisation puisse réduire le risque de conséquences tant réglementaires qu'opérationnelles.