Cybersécurité : le Parlement européen adopte la directive NIS2

Le Parlement européen a annoncé ce 10 novembre qu’il venait d’adopter définitivement la directive NIS2, qui vise à harmoniser les règles de cybersécurité dans les différents Etats de l’Union européenne. Datée de 2016, la précédente directive NIS avait donné lieu à des règles très hétérogènes lors de sa transposition dans les différents États membres et semblait, aux yeux des législateurs européens, insuffisantes pour parer le nombre croissant des cyberattaques, notamment dans le secteur de la santé.

Une application élargie

Présentée en décembre 2020, l’actuelle directive impose des obligations à de nouveaux acteurs comme les fournisseurs de services numériques ou les fabricants de produits chimiques et pharmaceutiques. À noter que le secteur de la santé (comme celui de l’énergie, des transports et les banques) était déjà concerné par l’ancienne directive. En outre, elle introduit une distinction entre les entités dites “essentielles” et celles dites “importantes”, selon l’impact que leur dysfonctionnement aurait. Pour ces dernières, des procédures précises de gestion des risques sont définies. Ces procédures concernent aussi bien la sécurisation des réseaux et la gestion des sauvegardes que la formation à “l’hygiène cyber” et les solutions d’authentification à plusieurs facteurs.

Une responsabilisation accrue

Dans la nouvelle directive, la responsabilité de la direction des structures concernées peut être directement engagée, en cas de non-respect des procédures définies. Les entités ont par exemple 24h pour signaler un incident à l’autorité compétente (l’Anssi en France) et 72h pour faire un signalement plus détaillé, avec analyse d’impact. Si elles ne respectent pas ces nouvelles règles, elles s’exposent à une amende maximale de 10 millions d’euros (ou 2% du CA mondial de l’entreprise, le montant le plus élevé étant retenu).

Les prochaines étapes

Le Parlement européen précise qu’après l’approbation de ce vendredi 10 novembre (par 577 voix pour, 6 contre et 31 abstentions), la directive NIS2 doit encore passer par le Conseil européen pour être adoptée formellement et être publiée au Journal officiel de l’Union européenne. Les États membres auront alors 21 mois après l’entrée en vigueur de la directive pour adapter leur législation nationale à ces nouvelles dispositions.