De quoi s'agit-il
L'Europe a constaté que les cyberattaques touchaient des activités essentielles au fonctionnement du pays : énergie, santé, transports, eau, administrations. Une première directive existait déjà. NIS2 en élargit considérablement le périmètre et durcit les exigences.
En clair : plus d'entreprises concernées, et des obligations plus précises en matière de sécurité et de signalement des incidents.
Suis-je concerné ?
Directement, probablement pas si vous êtes une TPE classique - commerce, artisanat, profession libérale. Les seuils visent des structures plus grandes, dans des secteurs identifiés.
Mais - et c'est le vrai sujet - si vous travaillez pour une entreprise ou une collectivité concernée, elle devra s'assurer que sa chaîne de sous-traitance est sérieuse. Autrement dit : on va vous poser des questions.
Le scénario le plus probable pour vous
Un questionnaire de votre donneur d'ordre. Comment sont gérés vos accès ? Avez-vous des sauvegardes testées ? Que se passe-t-il si vous subissez un incident ? Sous quel délai prévenez-vous vos clients ?
Les entreprises qui savent répondre gardent le marché. Les autres se retrouvent en difficulté face à un concurrent mieux préparé. C'est là que ça devient très concret.
Ce qu'il faut faire, sans paniquer
Les fondamentaux, tout simplement : des accès maîtrisés avec double authentification, des sauvegardes testées, des systèmes à jour, et le réflexe de savoir qui prévenir en cas d'incident.
Ce ne sont pas des exigences exotiques. C'est ce qu'on recommande depuis des années - NIS2 leur donne juste un caractère contractuel.
Le calendrier
La transposition dans le droit national était attendue pour l'automne 2024. Les modalités précises se sont mises en place progressivement. Inutile de courir : mieux vaut avancer sur les bases, qui seront demandées quoi qu'il arrive.
