De NIS à NIS 2

Le NIS 2, ou Network and Information Security 2, est la nouvelle version de la directive européenne visant à renforcer la sécurité des réseaux et des systèmes d'information au sein des pays membres de l'Union européenne, qui a été votée le 10 novembre 2022.

Pour les obligations concrètes, le calendrier et les étapes de mise en conformité, consultez notre guide complet de la directive NIS 2.

A. Qu'est-ce qu'une directive ?

Pour commencer, il est important de souligner que NIS 2 est une directive et non un règlement. Un règlement a pour mission d'être uniforme au sein des pays avec une application directe dès son adoption par le Conseil de l'UE ou le Parlement européen et sa publication au Journal officiel de l'UE. Or le but d'une directive, comme le NIS 2 ou Network and Information Security, version 2, est de promouvoir l'harmonisation des droits nationaux en établissant des principes et des objectifs généraux, tout en laissant aux États une certaine marge de liberté dans l'application du texte. Chaque État est libre d'aller au-delà de ces principes. Il est obligatoire de transposer la directive dans le droit national via un vote dans les parlements nationaux, en respectant les délais fixés. (1)

B. Contexte : présentation de la directive NIS et de son évolution vers NIS 2

C. Importance de la protection des réseaux et des systèmes d'information

Cette interconnectivité accrue signifie que les attaques et les failles de sécurité se propagent plus rapidement et plus largement, mettant en danger les infrastructures critiques, les données sensibles, les systèmes d'information dans l'ensemble de l'Union européenne.

Face à cette réalité, il est impératif que les États travaillent ensemble pour assurer :

• des conditions de sécurité adéquates dans toute l'Union européenne ;
• l'identification des vulnérabilités communes ;
• le partage des informations sur les menaces ;
• la mise en œuvre des mesures de prévention et de réaction efficaces.

Par exemple, en février 2022, l'Union européenne subit une cyberattaque sur le réseau satellite KA-SAT, puis accuse la Russie d'en être l'auteur. (2) Ce piratage engendre alors la privation d'accès à Internet pour des entreprises, des institutions publiques, mais aussi des civils. « Cette cyberattaque inacceptable, nouvelle illustration du comportement irresponsable et récurrent de la Russie dans le cyberespace, faisait également partie intégrante de son invasion illégale et injustifiée de l'Ukraine », a dénoncé l'UE. (3)

A. Objectifs de NIS 1

Le NIS 1, mis en place en 2016, avait pour objectif principal d'élever le niveau général de cybersécurité et de cyber-résilience au sein de l'Union européenne (4). Pour y arriver, il s'agissait de :

• créer une homogénéité en termes de cybersécurité entre les États membres, en veillant à ce qu'ils soient correctement protégés contre les cybermenaces et qu'ils puissent bénéficier des meilleures pratiques des autres pays ;
• optimiser la communication et le partage d'informations tout en les sensibilisant, afin de renforcer la capacité collective à contrer les attaques ;
• permettre à certains pays plus avancés de jouer un rôle de promotion de la culture de la cybersécurité, en montrant l'exemple et en soulignant l'importance de prendre en compte cette dimension.

Ainsi, le NIS 1 s'inscrivait comme une stratégie de collaboration et de coopération entre les États membres de l'UE. Certains pays plus avancés ont joué un rôle de promotion de la culture de la cybersécurité, en montrant l'exemple et en soulignant l'importance de prendre en compte cette dimension.

B. Présentation des principaux éléments de la directive NIS 1

Lors de la mise en place de la directive NIS, deux secteurs spécifiques ont été couverts : les opérateurs de services essentiels (ci-après « OSE ») et les fournisseurs de services numériques (ci-après « FSN »).

Les OSE (5) désignent les entités opérant dans des secteurs essentiels tels que l'énergie, les transports, la santé, les services bancaires, financiers et les infrastructures numériques critiques. Ces opérateurs sont soumis à des obligations de sécurité renforcées en raison de l'importance de leurs services pour le bon fonctionnement de la société et de l'économie.

A contrario, les FSN (6) englobent une gamme plus large de services numériques, à savoir les places de marché en ligne, les moteurs de recherche en ligne et les services d'informatique en nuage (cloud).

Les FSN sont soumis à des exigences de sécurité proportionnelles à la nature et à l'importance des services numériques qu'ils fournissent.

La mise en place du NIS (directive sur la sécurité des réseaux et des systèmes d'information) a permis l'amélioration et la consolidation du niveau général de cybersécurité à l'échelle européenne en contribuant à :

• réduire les risques de cyberattaques ;
• mieux protéger les infrastructures essentielles et les données sensibles ;
• prendre conscience de l'importance des enjeux de la cybercriminalité ;
• développer une meilleure souveraineté numérique.

Le cabinet Wavestone a effectué une étude concernant les 27 pays de l'Union européenne en plus de la Suisse et du Royaume-Uni ; 79 % de ces États (23 sur 29) donnent des informations sur le processus de supervision qu'ils ont mis en place, même si ses modalités varient fortement d'un pays à l'autre. De plus, la directive a établi des exigences communes pour la sécurité, ce qui facilite la coopération et la coordination entre les États membres de l'UE, permettant une homogénéité de ces normes. (7)

La directive a prévu la création de trois entités :

Le 17 juin 2022, le Conseil de l'Union européenne et le Parlement européen ont conjointement publié le projet de révision du NIS découlant de ses limites, dont notamment :

• un champ d'application trop restreint concernant les secteurs qui devaient se soumettre à cette directive ;
• les pays avaient une trop grande liberté pour mettre en œuvre la directive au niveau national, ce qui a entraîné une hétérogénéité dans son application à l'échelle européenne.

Pour remédier à ces problèmes, NIS 2 a été développé avec des améliorations significatives et a élargi son champ d'application avec notamment :

Ces mesures visent à garantir une meilleure coordination, une réponse plus efficace aux incidents de cybersécurité et une protection accrue contre les cybermenaces. Le NIS 2 souhaite établir des normes plus homogènes en matière de cybersécurité au sein de l'Union européenne, favorisant ainsi une approche collaborative et une protection solide des réseaux et des systèmes d'information.

La directive NIS 2 met aussi en place deux axes de sanctions (11) afin de garantir le respect des obligations en matière de cybersécurité :

NIS 2 introduit de nouveaux acteurs et critères afin d'optimiser cette directive et de renforcer la cybersécurité européenne. Les définitions précédentes d'opérateurs de services essentiels (« OSE ») (12) et de fournisseurs de services numériques (« FSN ») disparaissent au profit de deux catégories, « entité essentielle » (ci-après « E.E. ») et « entité importante » (ci-après « E.I. »), attribuées selon le secteur et la taille, et non selon l'ancien statut d'OSE ou de FSN.

Pour être concerné par la directive NIS 2, il faut être une entité publique ou privée, fournir des services ou exercer une activité au sein de l'Union européenne, et que votre secteur d'activité soit inclus dans la liste des E.E. ou E.I. De plus, il faut au moins 50 salariés ou un chiffre d'affaires annuel supérieur ou égal à 10 millions d'euros. (13)

A. Calendrier de mise en œuvre de la directive NIS 2

La directive NIS 2 a été publiée au Journal officiel de l'Union européenne le 27 décembre 2022, et les États membres disposent d'un délai de 21 mois à partir de cette date pour transposer la directive dans leur droit national. Par conséquent, la date limite de transposition est fixée à octobre 2024.

Cependant, il est important de souligner que cette date limite concerne la transposition en droit national pour les États membres, et non la date de mise en conformité des entités soumises à la directive NIS 2. En France, l'ANSSI a annoncé qu'elle se donnerait au moins trois ans avant d'exiger une conformité complète, une fois le cadre national fixé. (14)

B. Processus d'adaptation et de transposition dans les législations nationales

Le projet NIS 2 s'inscrit dans les efforts législatifs entrepris par l'Union européenne pour encadrer l'importance croissante des outils numériques et informatiques. La directive NIS 2 est conçue en coordination avec plusieurs autres textes (15), à savoir :