Ces derniers mois, NIS2 est passée, pour beaucoup d’entrepreneurs belges, d’une notion lointaine à un vrai souci. C’est compréhensible, car la communication sur le sujet est pleine de jargon. Dans cet article, j’explique en langage clair ce qu’est NIS2, si elle s’applique à vous et comment vous y mettre de façon pragmatique.
Qu’est-ce que NIS2, au juste ?
NIS2 est une directive européenne qui oblige les organisations à avoir une cybersécurité démontrable. Démontrable, c’est le mot clé. Il ne suffit pas de dire que vous travaillez en sécurité. Vous devez aussi pouvoir le prouver, avec des politiques, des procédures et des preuves. La Belgique a transposé la directive dans sa législation nationale, et le Centre pour la Cybersécurité Belgique (CCB) en assure le suivi.
NIS2 s’applique-t-elle à mon entreprise ?
Cela dépend de deux choses : votre secteur et votre taille. NIS2 distingue les entités essentielles et les entités importantes, dans des secteurs comme l’énergie, les transports, les soins de santé, l’infrastructure numérique, l’administration publique, l’alimentation, la production et d’autres encore. En règle générale, les organisations moyennes et grandes de l’un de ces secteurs sont concernées. Moyenne signifie ici à partir d’environ 50 collaborateurs ou 10 millions d’euros de chiffre d’affaires.
Attention toutefois : même si vous ne relevez pas directement de NIS2, elle peut vous toucher indirectement. Les grands clients qui y sont soumis vont interroger leurs fournisseurs sur leur sécurité, et donc peut-être vous. NIS2 se diffuse ainsi dans toute la chaîne.
Que devez-vous pouvoir démontrer ?
La directive n’impose pas de produits précis. Elle demande en revanche qu’un certain nombre de choses soient en ordre. En pratique, cela revient à ceci :
- Gestion des risques : vous connaissez les risques que court votre organisation et vous prenez des mesures adaptées.
- Gestion des accès : seules les bonnes personnes ont accès aux bons systèmes, avec une authentification forte.
- Réponse aux incidents : vous avez un plan pour le jour où les choses tournent mal, et vous signalez à temps les incidents graves.
- Sauvegardes et continuité : votre organisation peut continuer à fonctionner après un incident.
- Sensibilisation : vos collaborateurs savent comment travailler en sécurité.
- Responsabilité de la direction : les dirigeants sont coresponsables. La cybersécurité n’est plus l’affaire du seul service informatique.
Comment commencer sans bloquer vos activités ?
Le piège que je vois le plus souvent, c’est l’organisation qui panique et achète des outils coûteux qu’elle n’exploite pas pleinement. Je fais l’inverse et je regarde d’abord ce que vous avez déjà. Si vous travaillez avec Microsoft 365, une part étonnamment importante de ce que demande NIS2 se trouve déjà dans vos licences actuelles : authentification multifacteur, politiques d’accès, journaux et sécurité des appareils. Le premier gain consiste alors souvent à activer ce que vous payez déjà.
Un parcours raisonnable se présente ainsi. D’abord un état des lieux lucide : où en êtes-vous aujourd’hui par rapport à ce que demande NIS2 ? Ensuite une liste de priorités : qu’est-ce qui apporte le plus de sécurité pour le moins d’effort ? Enfin, un déploiement par phases qui ne paralyse pas votre fonctionnement quotidien.
Conclusion
NIS2 n’est pas une raison de paniquer, mais c’est une raison d’agir. Les organisations qui s’en sortent bien ne sont pas celles qui dépensent le plus. Ce sont celles qui travaillent avec méthode et partent de ce qu’elles ont déjà. Vous ne savez pas si NIS2 s’applique à vous, ou où vous en êtes aujourd’hui ? Nous le verrons ensemble en un seul entretien.