• Quelles sont les exigences en matière de cybersécurité auxquelles les entités régulées à la directive NIS 2 devront se soumettre ?

  La directive NIS 2 définit dans son article 20 et dans son article 21 des mesures de gestion des risques en matière de cybersécurité minimales à mettre en œuvre par les futures entités essentielles et importantes. Conformément à l’article 20, les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques en matière de cybersécurité prises par ces entités afin de se conformer à l’article 21 et de superviser sa mise en œuvre. En outre, l’article 20Populaire

• Quelles sont les informations obligatoires qu’une entité régulée par la directive NIS 2 doit communiquer à l’autorité nationale compétente ?

  La directive NIS 2 prévoit que les entités, qu’elles soient entités essentielles ou importantes, s’identifient comme telles auprès de l’autorité nationale compétente. L’enregistrement des entités s’effectuera en ligne sur la plateforme numérique « MonEspaceNIS2 » actuellement développée par l’ANSSI. Le type d’informations à communiquer dépend de la situation de l’entité : Du cas où elles seraient des entités essentielles, des entités importantes ou des entités fournissant des services d’enrePeu de lectures

• Quel est le périmètre des systèmes d'information sur lequel les entités régulées devront apporter des mesures de cybersécurité ?

  La directive NIS 2 prévoit l’application des mesures de sécurité à l’ensemble des systèmes d’information de l’entité dès lors qu’elle devient une entité importante (EI) ou essentielle (EE), ce qui signifie que l’application de NIS 2 ne se limite pas aux seuls systèmes d’information supportant les activités ou services pour lesquels l’entité est considérée comme étant EI ou EE. En effet, les systèmes d’information d’une organisation étant désormais tous interdépendants, il est nécessaire d’élevPeu de lectures

• Quel sera le coût financier pour les entités ?

  Cette question est complexe car il y a autant de réponses possibles que d’entités. Tout dépend de l’état actuel du niveau de sécurité numérique de l’entité. Si certaines sont déjà bien avancées en la matière, pour d’autres, beaucoup reste à faire. A cela s’ajoutent la dépendance de l’entité aux technologies numériques, le nombre d’équipements numériques dont elle dispose et le nombre de personnes en charge de la sécurité numérique qu’elle peut mobiliser. L’ANSSI accompagne les entités privéePeu de lectures

• Toutes les nouvelles entités concernées seront-elles soumises aux mêmes obligations ?

  NIS 2 apporte une évolution majeure, l’inclusion d’un mécanisme de proportionnalité, qui distingue deux catégories d’entités régulées en fonction de leur niveau de criticité : les entités essentielles et les entités importantes. En règle générale et sauf cas particuliers, les entités essentielles sont celles réalisant des activités dans les secteurs catégorisés comme hautement critiques (cf. annexe 1 de la directive NIS 2), et disposant de plus de 250 salariés (en équivalent temps plein) ou avePeu de lectures

• Existe-t-il des liens entre les exigences de la norme ISO 27001 et les futures règles de cybersécurité de la directive NIS 2 ?

  Pour transposer et mettre en œuvre la directive NIS 2, il est privilégié une approche de la conformité basée notamment sur la mise en œuvre d’un référentiel de mesures de cybersécurité adapté à la menace cybercriminelle. La norme ISO 27001 et le référentiel de mesures cyber de l’ANSSI poursuivent des objectifs différents. L’obtention d’une certification ISO 27001 ne permet pas, en elle-même, une conformité à NIS 2. Mais cette norme constitue un outil et une méthodologie pour accompagner le déploPeu de lectures

• Y aura-t-il des nouveautés concernant le cloisonnement et le système d'information d'administration (SI ADMIN) ?

  Pas à ce stade. Ces deux mesures de protection efficaces peuvent être affiliées aux mesures de NIS 2 qui sont présentes dans la directive. Le retour d’expérience de nos activités opérationnelles confirme l’importance de ces mécanismes de défense qui auraient pu réduire significativement l’impact d’un grand nombre de cyberattaques pour lesquelles l’ANSSI est intervenue. L’agence n’ignore pas non plus le coût économique et opérationnel de ces mesures. Afin de respecter le principe de proportionnalPeu de lectures

• Y aura-t-il une harmonisation du référentiel de règles français avec les référentiels de règles NIS 2 des autres Etats Européens ?

  Si la directive NIS 2 laisse une marge de manœuvre aux Etats membres sur certains points, les mesures de gestion des risques en matière de cybersécurité énoncées à l’article 21. 2 de la directive sont les mêmes pour l’ensemble des Etats membres et bien applicables, dans leur intégralité, à toutes les entités de l’Union européenne régulées par NIS 2. Ces mesures sont en effet la réponse commune à tous les Etats membres pour faire face collectivement à la menace cybercriminelle de masse actuellePeu de lectures

• Comment les obligations de NIS 2 seront ajustées aux capacités à faire des entreprises de taille intermédiaire ?

  Suivant les secteurs, les ETI qui seront concernées par la directive se retrouveront pour certaines considérées comme entités importantes (EI) et, pour d’autres, considérées comme entités essentielles (EE). En fonction de leur statut (EE ou EI) et compte tenu du principe de proportionnalité, elles ne seront pas soumises aux mêmes exigences. La présenPeu de lectures