Atteignez la conformité NIS 2 avec Acronis

Questions fréquentes (FAQ)

• Quels types d'organisations doivent se conformer à NIS 2 ?

  La directive NIS 2 renforce les exigences de cybersécurité pour les organisations de toutes tailles. Elle classe les entreprises en deux catégories : entités essentielles et entités importantes.

  Les entités essentielles couvrent des secteurs critiques, notamment l'énergie (électricité, pétrole, gaz, etc.), les transports (aérien, ferroviaire, maritime, routier), la banque, les infrastructures des marchés financiers, la santé, les infrastructures numériques (IXP, fournisseurs de services DNS, registres de noms de domaine de premier niveau, services de cloud computing, centres de données) et l'administration publique.

  Les entités importantes regroupent d'autres secteurs clés, tels que les services postaux et de messagerie, la gestion des déchets, l'industrie chimique, la production alimentaire, certaines activités industrielles (fabrication de produits critiques), les fournisseurs de services numériques (marketplaces en ligne, moteurs de recherche, réseaux sociaux) et la recherche.

• Quel est l'impact de NIS 2 sur les fournisseurs de services managés (MSP) ?

  La directive NIS 2 inclut explicitement les MSP dans son périmètre, en reconnaissant leur rôle critique dans la chaîne logistique des services essentiels. Les MSP opérant dans l'UE, ou fournissant des services à des clients européens, doivent notamment :

  • Se conformer eux-mêmes aux exigences de sécurité de la directive.
  • Mettre en place des pratiques de cybersécurité robustes, incluant des stratégies de sauvegarde et de restauration efficace, des plans de réponse aux incidents et des procédures de reporting.
  • Gérer les risques liés à la chaîne logistique en évaluant et en s'assurant que les fournisseurs directs et les sous-traitants respectent également les normes de sécurité.
  • Proposer, le cas échéant, des services liés à la conformité à leurs clients, de nombreuses organisations se tournant vers les MSP pour les accompagner dans l'atteinte de la conformité NIS 2.
  • S'exposer à des sanctions significatives en cas de non-conformité, au même titre que les autres entités concernées.

• Quelles sont les principales exigences de cybersécurité imposées par NIS 2 ?

  NIS 2 impose des mesures complètes de gestion des cyberrisques, organisées autour de quatre axes principaux :

  • Gestion des risques : les organisations doivent mettre en œuvre des mesures techniques, opérationnelles et organisationnelles appropriées, incluant des politiques relatives à l'analyse des risques, à la sécurité des systèmes d'information, à la gestion des incidents, à la continuité des activités, à la sécurité de la chaîne logistique, à la sécurité lors de l'acquisition et de la maintenance des réseaux et des systèmes d'information, à l'évaluation de l'efficacité des mesures de cybersécurité, à l'hygiène informatique de base, à la formation à la cybersécurité, à la cryptographie et au chiffrement, à la sécurité des ressources humaines, au contrôle des accès, à la gestion des ressources et à l'authentification multifacteur.
  • Responsabilité des instances dirigeantes : les organes de direction sont tenus d'approuver et de superviser les mesures de gestion des cyberrisques, d'en assumer la responsabilité, et de suivre des formations régulières en cybersécurité.
  • Obligations de déclaration : les entités essentielles et importantes doivent disposer de processus permettant de signaler rapidement les incidents de sécurité ayant un impact significatif. Cela inclut une « alerte précoce » dans un délai de 24 heures, une évaluation initiale dans les 72 heures et un rapport final dans un délai d'un mois.
  • Continuité des activités  : les organisations doivent disposer de plans garantissant la continuité des activités pendant et après des cyberincidents majeurs, incluant la restauration des systèmes, des procédures d'urgence et des équipes de gestion de crise.

• La conformité NIS 2 est-elle obligatoire pour les petites et moyennes entreprises ?

  En règle générale, non. La conformité NIS 2 n'est pas obligatoire pour les microentreprises et les petites entreprises (moins de 50 employés et moins de 10 millions d'euros de chiffre d'affaires annuel).

  Toutefois, elle peut devenir obligatoire dans certains cas :

  • Si une entreprise est considérée comme une entité critique par un État membre, indépendamment de sa taille, en raison de son profil de risque ou de son caractère stratégique.
  • Si elle fournit des services jugés essentiels pour l'économie et la société européennes.
  • Les PME relevant de la catégorie des entités importantes (environ 50 à 250 employés ou un chiffre d'affaires annuel compris entre 10 et 50 millions d'euros) entrent dans le champ d'application.

  Ainsi, même si la majorité des microentreprises et petites entreprises sont exemptées, toute organisation a intérêt à évaluer son rôle dans les chaînes logistiques critiques et son impact sur les services essentiels afin de déterminer si NIS 2 s'applique à elle ou à ses clients.