Liste de contrôle de préparation à NIS2

L'annexe I couvre les secteurs hautement critiques comme l'énergie, les transports, le secteur bancaire, la santé et les infrastructures numériques ; l'annexe II couvre d'autres secteurs critiques comme les services postaux, la fabrication et les fournisseurs numériques.

En règle générale, la directive s'applique aux entités moyennes et plus grandes. Tenez compte des entreprises partenaires et liées comme le prévoit la recommandation.

Par exemple les fournisseurs de réseaux ou de services de communications électroniques publics, les prestataires de services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS, ou le seul fournisseur d'un service critique dans un État membre.

La classification détermine le régime de supervision et les amendes maximales. Les grandes entités des secteurs de l'annexe I sont en général essentielles ; la plupart des autres entités concernées sont importantes.

Les États membres devaient adopter et publier leurs mesures de transposition au plus tard le 17 octobre 2024 et les appliquer à partir du 18 octobre 2024 ; plusieurs ont transposé en retard et la situation évolue, vérifiez donc les mesures nationales répertoriées sur EUR-Lex pour chaque pays. Les États membres peuvent aller au-delà des règles minimales, de sorte que le champ, les délais et les autorités peuvent varier. C'est la loi nationale, et non la directive, qui s'applique directement à vous.

Les États membres tiennent une liste des entités essentielles et importantes. Certains fournisseurs numériques, dont les fournisseurs DNS, registres de TLD, services d'enregistrement de noms de domaine, informatique en nuage, centres de données, réseaux de diffusion de contenu, services gérés et services de sécurité gérés, places de marché, moteurs de recherche et réseaux sociaux en ligne, transmettent leurs informations au titre de l'article 27 dans l'État membre de leur établissement principal (article 26) et doivent notifier les changements dans un délai de trois mois.

Documentez l'approbation et planifiez des revues régulières. Les organes de direction peuvent être tenus responsables des violations de l'article 21 par l'entité.

La formation doit permettre d'acquérir des connaissances suffisantes pour détecter les risques et évaluer les pratiques de gestion des risques et leur impact sur les services fournis.

Tenez compte de l'état de l'art, des normes pertinentes, du coût, de votre exposition aux risques, de votre taille ainsi que de la probabilité et de la gravité des incidents. Couvrez aussi les risques physiques.

Tenez à jour une analyse des risques documentée de vos réseaux et systèmes d'information et une politique de sécurité qui en découle.

Définissez comment les incidents sont détectés, analysés, contenus et résolus, qui en est responsable et comment les obligations de notification de l'article 23 sont déclenchées.

Disposez de sauvegardes testées, de procédures de reprise documentées avec des objectifs de reprise et d'une cellule de crise exercée.

Évaluez les vulnérabilités et pratiques de sécurité des fournisseurs et inscrivez des exigences de sécurité dans les contrats. L'article 21(3) demande de prendre en compte la qualité des produits et les procédures de développement sécurisé des fournisseurs.

Appliquez des pratiques de développement sécurisé, une gestion des correctifs et un moyen publié permettant aux tiers de vous signaler des vulnérabilités.

Utilisez des audits internes, des tests de sécurité et des indicateurs, et réinjectez les résultats dans l'analyse des risques.

Couvrez des sujets comme les mises à jour, la configuration sécurisée, les mots de passe et la sensibilisation à l'hameçonnage, et suivez qui a été formé.

Définissez les algorithmes autorisés, la gestion des clés et les cas où les données doivent être chiffrées en transit et au repos.

Tenez un inventaire des actifs, accordez les accès selon le moindre privilège avec des revues régulières et gérez de façon contrôlée les arrivées, mutations et départs.

Imposez l'authentification multifacteur pour les accès distants et à privilèges, protégez les canaux vocaux, vidéo et texte, et prévoyez un canal hors bande utilisable pendant un incident.

Son annexe fixe les exigences techniques et méthodologiques de chaque mesure de l'article 21(2)(a) à (j), et les articles 3 à 14 précisent quand un incident est considéré comme important pour ces entités.

Un incident est important s'il a causé ou peut causer une perturbation opérationnelle grave ou des pertes financières, ou des dommages matériels ou moraux considérables à d'autres personnes.

Indiquez si l'incident est susceptible d'avoir été causé par des actes illicites ou malveillants ou s'il pourrait avoir un impact transfrontière.

Mettez à jour l'alerte précoce et fournissez une évaluation initiale de la gravité et de l'impact ainsi que, le cas échéant, les indicateurs de compromission. Les prestataires de services de confiance notifient les incidents touchant leurs services de confiance dans les 24 heures.

Le rapport final comprend une description détaillée, la cause profonde probable, les mesures d'atténuation et l'éventuel impact transfrontière. Si l'incident est en cours, transmettez un rapport d'avancement puis le rapport final dans le mois suivant son traitement.

En cas de cybermenace importante, informez les destinataires concernés des mesures ou corrections qu'ils peuvent appliquer et, le cas échéant, de la menace elle-même.

Lorsque c'est exigé, utilisez des éléments certifiés pour démontrer la conformité à certaines parties de l'article 21. Suivez les schémas adoptés en vertu du règlement (UE) 2019/881.

Des référentiels comme ISO/IEC 27001 peuvent structurer vos preuves, mais une certification ne démontre pas à elle seule la conformité à NIS2.

Les entités essentielles font l'objet d'une supervision proactive, avec des audits réguliers et ciblés ; les entités importantes sont supervisées a posteriori, en général sur la base d'indications de non-conformité.

Pour les violations des articles 21 ou 23, le maximum est d'au moins : pour les entités essentielles, 10 millions EUR ou 2 % du chiffre d'affaires annuel mondial total, pour les entités importantes, 7 millions EUR ou 1,4 %, le montant le plus élevé étant retenu. Le droit national peut prévoir davantage.