• Quelles sont les exigences en matière de cybersécurité auxquelles les entités régulées à la directive NIS 2 devront se soumettre ?

  La directive NIS 2 définit dans son article 21 dix mesures de gestion des risques en matière de cybersécurité minimales à mettre en œuvre par les futures entités essentielles et importantes. Ces mesures garantissent, pour les réseaux et les systèmes d’information des futures entités essentielles et importantes, « un niveau de sécurité adapté et proportionné au risque existant, en tenant compte de l’état des connaissances ». Ces mesures seront précisées dans les textes législatifs et réglementaiQuelques lectures

• Quel sera le coût financier pour les entités ?

  Cette question est complexe car il y a autant de réponses possibles que d’entités. Tout dépend de l’état actuel du niveau de sécurité numérique de l’entité. Si certaines sont déjà bien avancées en la matière, pour d’autres, beaucoup reste à faire. A cela s’ajoutent la dépendance de l’entité aux technologies numériques, le nombre d’équipements numériques dont elle dispose et le nombre de personnes en charge de la sécurité numérique qu’elle peut mobiliser. L’ANSSI accompagne les entités privéeQuelques lectures

• Toutes les nouvelles entités concernées seront-elles soumises aux mêmes obligations ?

  NIS 2 apporte une évolution majeure, l’inclusion d’un mécanisme de proportionnalité, qui distingue deux catégories d’entités régulées en fonction de leur niveau de criticité : les entités essentielles et les entités importantes. En règle générale et sauf cas particuliers, les entités essentielles sont celles réalisant des activités dans les secteurs catégorisés comme hautement critiques (cf. annexe 1 de la directive NIS 2), et disposant de plus de 250 salariés (en équivalent temps plein) ou avePeu de lectures

• Quel est le périmètre précis des systèmes d'information sur lequel les entités régulées devront apporter des mesures de cybersécurité ?

  La directive NIS 2 prévoit l’application des mesures de sécurité sur l’ensemble des systèmes d’information de l’entité dès lors qu’elle devient une entité importante (EI) ou essentielle (EE), ce qui signifie que l’application de NIS 2 ne se limite pas aux seuls systèmes d’information supportant les activités ou services pour lesquels l’entité est considérée comme étant EI ou EE. Dans le cadre de la transposition de la directive NIS 2 et concernant le périmètre des systèmes d’information sur lePeu de lectures

• Y aura-t-il des nouveautés concernant le cloisonnement et le système d'information d'administration (SI ADMIN) ?

  Pas à ce stade. Ces deux mesures de protection efficaces peuvent être affiliées aux mesures de NIS 2 qui sont présentes dans la directive. Le retour d’expérience de nos activités opérationnelles confirme l’importance de ces mécanismes de défense qui auraient pu réduire significativement l’impact d’un grand nombre de cyberattaques pour lesquelles l’ANSSI est intervenue. L’agence n’ignore pas non plus le coût économique et opérationnel de ces mesures. Afin de respecter le principe de proportionnalPeu de lectures

• Y aura-t-il une harmonisation du référentiel de règles français avec les référentiels de règles NIS 2 des autres Etats Européens ?

  Si la directive NIS 2 laisse une marge de manœuvre aux Etats membres sur certains points, les mesures de gestion des risques en matière de cybersécurité énoncées à l’article 21. 2 de la directive sont les mêmes pour l’ensemble des Etats membres et bien applicables, dans leur intégralité, à toutes les entités de l’Union européenne régulées par NIS 2. Ces mesures sont en effet la réponse commune à tous les Etats membres pour faire face collectivement à la menace cybercriminelle de masse actuellePeu de lectures

• Comment les obligations de NIS 2 seront ajustées aux capacités à faire des entreprises de taille intermédiaire ?

  Suivant les secteurs, les ETI qui seront concernées par la directive se retrouveront pour certaines considérées comme entités importantes (EI) et, pour d’autres, considérées comme entités essentielles (EE). En fonction de leur statut (EE ou EI) et compte tenu du principe de proportionnalité, elles ne seront pas soumises aux mêmes exigences. La présenPeu de lectures