Il s’agit d’une législation de l’Union européenne visant à améliorer la cybersécurité dans tous les États membres. Son objectif est de renforcer la protection des infrastructures critiques et des services numériques contre les cyberattaques en établissant des exigences de sécurité plus strictes pour les entreprises opérant dans des secteurs clés tels que l’énergie, les transports, la santé et les services numériques.

Elle touche les entreprises et les organisations qui opèrent dans des secteurs clés, tels que :

• Entités essentielles :

  Entreprises classées comme grandes entreprises et appartenant à l’un des 11 secteurs critiques :
  Secteurs hautement importants (tels que l’énergie, la banque, la santé, les transports, etc.).
  Fournisseurs d’accès Internet de confiance.
  Entreprises gérant les noms de domaine et le DNS.
  Réseaux et services de communication publics. Organismes publics et PME d’importance particulière.
  D’autres entités que chaque pays considère comme essentielles.
  Entités importantes :

  Entités appartenant à des secteurs hautement critiques ou à des secteurs critiques qui ne sont pas considérées comme des entités essentielles.
  La directive NIS2 s’applique à toute entité des secteurs concernés qui remplit les critères d’une entreprise de taille moyenne au sens du droit européen. Cela signifie employer au moins 50 personnes ou réaliser un chiffre d’affaires annuel ou un total de bilan supérieur à 10 millions d’euros.

  Dans certains cas (par exemple, si votre entreprise fournit des services à une entité essentielle ou importante), la directive NIS 2 s’applique également quelle que soit la taille ou le secteur d’activité.

• Sous-secteur du transport routier.
• Sous-secteur du transport maritime et fluvial.
• Secteur des infrastructures numériques.
• Sous-secteur du transport aérien.
• Secteur de l’eau potable.
• Secteur des eaux usées.
• Secteur des services postaux.
• Secteur spatial.
• Secteur de la recherche.

Les moyennes et grandes entreprises de ces secteurs doivent se conformer à une réglementation qui impose la mise en œuvre de mesures de sécurité et le signalement des incidents de cybersécurité.

La directive NIS2 confère aux autorités nationales une liste minimale de pouvoirs de contrôle à l’égard des entités concernées en cas de non-conformité, notamment :

1. Avertissement en cas de non-respect.
2. Adoptez des instructions contraignantes ou des exigences correctives.
3. Ordonner la cessation de tout comportement qui enfreint la directive.
4. Ordonner que les mesures de gestion des risques ou les obligations d’information soient garanties d’une certaine manière et dans un certain délai.
5. Ordonner que les personnes physiques ou morales auxquelles des services sont fournis ou des activités sont menées et qui sont potentiellement affectées par une cybermenace importante soient informées.
6. Ordonner que les recommandations formulées à la suite d’un audit de sécurité soient mises en œuvre dans un délai raisonnable.
7. Désignez un superviseur doté de tâches bien définies pour une période déterminée afin de contrôler la conformité.
8. Ordonner que les aspects de la non-conformité soient rendus publics.
9. Imposer des amendes administratives.
10. La certification ou l’autorisation d’un organisme de service essentiel peut être suspendue si le délai imparti pour agir n’est pas respecté.
11. Interdire temporairement aux responsables de la gestion au niveau de directeur général ou de représentant légal d’exercer des fonctions de gestion (applicable uniquement aux entités essentielles, et non aux entités importantes).

En outre, de manière proportionnée et dissuasive, les sanctions suivantes peuvent être imposées :

• • • Un montant maximum d’au moins 10 000 000 euros ou jusqu’à 2 % du chiffre d’affaires annuel mondial total de la société à laquelle appartient l’entité essentielle au cours de l’année précédente, le montant le plus élevé étant retenu.
    • Un montant maximal d’au moins 7 000 000 euros ou 1,4 % du chiffre d’affaires annuel mondial total de la société à laquelle appartient l’entité importante au cours de l’année précédente, le montant le plus élevé étant retenu.

Le délai imparti aux entreprises pour mettre en œuvre les mesures requises par la directive dépend de la législation nationale de chaque État membre de l’UE. En règle générale, les entreprises sont tenues d’appliquer les mesures de sécurité dans les premiers mois suivant la transposition de la loi en droit national. Pour les entreprises déjà en activité, les délais varient selon le secteur d’activité et la taille de l’entreprise.