NIS2 encore reportée : 5 actions à lancer sans attendre la loi
La transposition de NIS2 en France est de nouveau repoussée. Cinq actions concrètes à engager dès maintenant pour ne pas tout faire dans l'urgence.
NIS2 a encore été reportée. Les attaquants, eux, n'ont rien reporté.
Où en est la transposition
Selon la presse, le 6 octobre, l'examen du projet de loi Résilience, qui transpose la directive NIS2 en droit français, a de nouveau été retiré de l'ordre du jour de l'Assemblée nationale. Deux ans après la date limite fixée au niveau européen, le texte n'est donc toujours pas adopté.
Ce calendrier incertain ne change rien au fond. Environ 15 000 entités « essentielles » et « importantes » sont attendues dans le périmètre, contre quelques centaines d'opérateurs aujourd'hui. Collectivités, ETI, sous-traitants : beaucoup vont découvrir leurs obligations tardivement.
Attendre le vote, c'est choisir l'urgence
Il est tentant de patienter jusqu'à la publication du texte définitif. C'est pourtant le scénario le plus coûteux. Le jour où la loi sera votée, toutes les organisations concernées chercheront en même temps à se mettre en conformité, à mobiliser des experts et à arbitrer des budgets.
Surtout, les exigences de fond de NIS2 sont connues depuis la publication de la directive : gouvernance de la cybersécurité au plus haut niveau, gestion des risques, notification des incidents, sécurité de la chaîne d'approvisionnement. Les détails de transposition peuvent évoluer, pas cette logique.
Enfin, une mise en conformité ne se décrète pas en quelques semaines. Nommer des responsables, rédiger des procédures, évaluer des fournisseurs, former des équipes et corriger les écarts identifiés demande du temps. Chaque mois gagné maintenant est un mois de moins à rattraper plus tard, dans de mauvaises conditions.
Cinq actions à lancer dès maintenant
1. Vérifier si vous êtes entité essentielle ou importante
Tout commence par là. Le statut dépend notamment du secteur d'activité et de la taille de l'organisation. Beaucoup d'entreprises qui n'étaient pas concernées par la réglementation précédente le seront demain, parfois sans le savoir.
2. Nommer un responsable du risque cyber au comité de direction
NIS2 place la cybersécurité au niveau de la direction. Désigner dès maintenant un responsable identifié, qui rend compte au comité de direction, permet de structurer les décisions et d'arbitrer les priorités.
3. Préparer votre processus de notification d'incident
Qui détecte, qui qualifie, qui décide de notifier, qui rédige, qui valide ? Ce processus doit exister avant l'incident, pas pendant. Un exercice sur table permet de vérifier qu'il fonctionne réellement.
4. Évaluer vos fournisseurs critiques
La sécurité de la chaîne d'approvisionnement est une exigence explicite de la directive. Identifiez les prestataires qui hébergent vos données ou accèdent à vos systèmes, évaluez leur niveau de sécurité et prévoyez au contrat la notification d'incident et le droit d'audit.
5. Former la direction, qui sera responsable
La directive prévoit que les organes de direction approuvent les mesures de gestion des risques et en supervisent la mise en œuvre. Une direction formée comprend les enjeux, pose les bonnes questions et prend des décisions éclairées.
Des actions utiles, loi ou pas
Aucune de ces actions n'est une contrainte purement réglementaire. Toutes réduisent déjà votre exposition aux attaques : une gouvernance claire, un processus de crise rodé et des fournisseurs maîtrisés protègent votre activité, que le texte soit voté demain ou dans six mois.
Elles s'appuient d'ailleurs sur des pratiques reconnues, que l'on retrouve dans la norme ISO 27001 et dans les recommandations de l'ANSSI. Une organisation qui les a engagées aura une longueur d'avance le jour où la loi s'appliquera.
Faire le point avec nous
Vous ne savez pas si NIS2 vous concerne, ou par où commencer ? Nous faisons le point avec vous en trente minutes : périmètre, statut probable, premières priorités. Réservez cet échange via le formulaire de contact.