La directive NIS 2 établie des règles minimales de gestion des risques liées à la cybersécurité. Les Etats membres demeurent libres de durcir ces exigences. Les entités essentielles comme les entités importantes sont toutes soumises aux même règles.
Obligation de cybersécurité
Les entités doivent évaluer leurs risques en matière de cybersécurité et adopter des mesures techniques, opérationnelles et organisationnelles adaptées à leur degré d’exposition aux risques, à leur taille, à la probabilité de survenance d’incidents et leur gravité, à leurs conséquences sociétales et économiques. Il s’agit d’une évaluation « tous risques ». De la même manière que pour le RGPD, les entités seront soumises à une obligation d’accountability, en documentant leur conformité à NIS 2.
Sécurité informatique
La directive NIS 2 dresse une liste de mesures a minima devant être prises par toutes les entités.
On y retrouve notamment :
- Les politiques relatives à l’analyse des risques et la PSSI,
- La gestion des incidents,
- Les plans dédiés à la continuité de l’activité (PCA), à sa reprise (PRA), à la gestion des sauvegardes et des crises,
- La sécurité de la chaîne d'approvisionnement (fournisseurs/prestataires)
- La sécurité de l’acquisition, du développement et de la maintenance des réseaux et des SI, notamment le traitement et la divulgation des vulnérabilités,
- L’évaluation des mesures de gestion des risques cyber,
- Les politiques et procédures liés à la cryptographie,
- La sécurité des ressources humaines, les politiques de contrôle d’accès et la gestion des actifs,
- L’utilisation de solutions d’authentification à plusieurs facteurs ou d'authentification continue,
- L’utilisation d’outils de communication sécurisés et de systèmes de communication d’urgence en cas de crise.
Ces mesures de sécurité sont semblables à celles contenues dans les normes de la famille ISO/27000 ou de la norme américaine NIST.
Sécurité contractuelle
La directive NIS 2 introduit également une obligation de sécurité de la chaîne d’approvisionnement contractuelle des entités essentielles et importantes. Les entités soumises à NIS 2 devront encadrer contractuellement les aspects cybersécurité avec leurs fournisseurs et prestataires directs. En pratique, certaines entités non concernées par la NIS 2 se verront donc imposer, par ricochet, une partie du socle de sécurité NIS 2.
Les entités non concernées devront faire preuve de vigilance dans leurs négociations contractuelles avec des entités NIS 2, afin de n’accepter que ce qui est légitime et ne pas trop engager leur responsabilité contractuelle.
Obligation de notification
En cas d’incident de sécurité « important » , les entités doivent le signaler à leur CSIRT. La directive NIS 2 définit ce qu’est un « incident important » : Un incident est considéré comme important si :
- Il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée;
- Il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.
Cette définition devrait limiter la notification abondante des CSIRT, fait par certaines entités, par excès de zèle.
La notification se fait par étapes :
- Une notification initiale doit être faite sans délai injustifié et au maximum 24 heures après la connaissance de l’incident.
- Une notification détaillée doit être faite sans délai injustifié et au maximum 72 heures après la connaissance de l’incident.
- Un rapport final doit enfin être remis au CSIRT dans le mois suivant l’incident.
Cette notification peut être l’occasion pour le CSIRT de conseiller l’entité émettrice ou d’alerter les autres états-membres de l’Union européenne sur un type d’attaque en cours, dans le cadre de la coopération européenne mise en place par la directive NIS2.
Responsabilité des organes de direction
La directive NIS 2 impose aux organes de direction d’approuver les mesures de gestion des risques cybersécurité prises par leur DSI et de superviser leur mise en œuvre. Afin de s’assurer de leur implication réelle et effective, la directive NIS2 prévoit que les organes de direction doivent pouvoir être tenus pour responsable en cas de violation de la directive NIS 2 en matière de mesures de cybersécurité adoptées.
Les organes de direction doivent également suivre une formation afin d’acquérir des connaissances et des compétences suffisantes pour déterminer les risques et évaluer les pratiques de gestion des risques cyber ainsi que leur impact sur les services fournis par leur entité.