Entrée en vigueur en 2023, la directive NIS2 a considérablement élargi le cercle des entreprises soumises à des obligations de cybersécurité. Hôpitaux, fournisseurs d’énergie, banques, mais aussi certains prestataires numériques doivent désormais démontrer qu’ils sont capables de résister à une cyberattaque et de la signaler rapidement aux autorités.
Des obligations concrètes
Concrètement, les organisations concernées doivent cartographier leurs risques, sécuriser leur chaîne d’approvisionnement numérique et notifier tout incident significatif dans un délai resserré. Les dirigeants peuvent être tenus personnellement responsables en cas de manquement grave, une nouveauté qui a fait réagir de nombreux conseils d’administration.
Pour beaucoup d’organisations de taille moyenne, la mise en conformité représente un investissement lourd, tant en outils qu’en compétences humaines. Les autorités nationales de cybersécurité multiplient les guides pratiques pour accompagner cette transition, conscientes que la sécurité de l’ensemble du système dépend aussi des maillons les plus fragiles.
