La directive distingue les entités essentielles (EE) des entités importantes (EI). Les premières, grandes organisations dans les secteurs les plus critiques, font l'objet de contrôles plus stricts.
Les obligations communes
Mais les deux catégories partagent un socle commun d'obligations qui ne laisse rien au hasard :
- Gestion des risques et gouvernance.
- Mesures techniques de protection.
- Plan de continuité et de reprise (PCA/PRA).
- Sécurité de la chaîne d'approvisionnement.
- Sensibilisation et formation.
Une implication directe de la direction
Ce n'est plus une recommandation, c'est une obligation. Et la direction est personnellement impliquée. NIS-2 exige une gouvernance explicite de la cybersécurité au plus haut niveau, avec formation obligatoire des dirigeants, ceux-ci pouvant voir leur responsabilité personnelle engagée.
Chaque entreprise doit documenter ses politiques couvrant la prévention, la détection, la réaction aux incidents et la gestion des vulnérabilités.
Test et résilience
Avoir un PCA/PRA ne suffit plus : il faut l'avoir testé. NIS-2 impose des exercices réguliers de gestion de crise pour vérifier que l'organisation est réellement capable de reprendre ses activités après un incident majeur.
Les exigences ne s'arrêtent pas aux murs de l'entreprise. Chaque organisation doit évaluer et contractualiser les garanties de cybersécurité de ses prestataires et sous-traitants. Un fournisseur vulnérable devient votre vulnérabilité.