Une cyberattaque ne représente plus seulement un problème informatique. Elle peut interrompre une production, bloquer les accès aux applications métiers, compromettre des données sensibles ou perturber les activités de clients et de partenaires.
Avec la directive européenne NIS 2, la cybersécurité devient un enjeu majeur de gouvernance, de continuité d’activité et de maîtrise des risques pour de nombreuses organisations.
Cette réglementation élargit le périmètre des entreprises concernées et renforce les exigences en matière de protection des systèmes d’information.
Mais toutes les PME ne sont pas automatiquement soumises à NIS 2.
La première étape consiste à déterminer si votre entreprise entre dans le champ d’application de la directive, puis à évaluer son niveau de préparation.
SNS Solutions accompagne les entreprises dans l’analyse de leurs risques informatiques, l’audit de cybersécurité, les tests d’intrusion et la sécurisation de leurs infrastructures afin de les aider à anticiper ces nouvelles exigences.
Qu’est-ce que la directive NIS 2 ?
La directive NIS 2 (Network and Information Security 2) est un texte européen destiné à renforcer la cybersécurité des organisations dont les activités jouent un rôle important dans le fonctionnement de l’économie et des services essentiels.
Elle succède à la première directive NIS et étend les obligations de gestion des risques à un nombre plus important de secteurs d’activité.
Son objectif est de renforcer la capacité des organisations à prévenir les cyberattaques, détecter les incidents, limiter leurs conséquences et maintenir leurs activités essentielles.
NIS 2 introduit notamment des exigences relatives à :
- La gouvernance et à la gestion des risques informatiques.
- La sécurisation des réseaux et des systèmes d’information.
- La gestion et à la notification des incidents significatifs.
- La continuité d’activité et à la reprise après sinistre.
- La sécurité des fournisseurs et de la chaîne d’approvisionnement.
- La sensibilisation et à la formation des collaborateurs.
- La responsabilité des organes de direction.
En France, l’ANSSI pilote la préparation et la mise en œuvre du dispositif national. Les modalités applicables doivent être appréciées au regard des textes de transposition et des dispositions réglementaires en vigueur.
Quelles PME et ETI sont concernées par NIS 2 ?
Contrairement à une idée répandue, la directive NIS 2 ne s’applique pas indistinctement à toutes les entreprises.
Son champ d’application dépend principalement du secteur d’activité, de la nature des services fournis, de la taille de l’organisation et, dans certains cas, de critères particuliers de criticité.
Les secteurs d’activité concernés
La directive couvre 18 secteurs répartis entre des activités hautement critiques et d’autres secteurs critiques.
Parmi eux figurent notamment :
- L’énergie et les transports.
- La santé.
- Les infrastructures numériques et les services informatiques gérés.
- Les services bancaires et certaines infrastructures financières.
- L’eau potable et la gestion des eaux usées.
- Certaines activités industrielles.
- L’industrie alimentaire.
- Les services postaux et d’expédition.
- Certains fournisseurs de services numériques.
Une entreprise exerçant une activité dans l’un de ces secteurs doit vérifier si elle remplit les conditions d’assujettissement.
Entités essentielles et entités importantes : quelle différence ?
NIS 2 distingue deux catégories d’organisations : les entités essentielles (EE) et les entités importantes (EI).
Cette classification dépend notamment de la nature de l’activité et de la taille de l’organisation.
De manière générale, les entreprises moyennes et grandes appartenant aux secteurs concernés peuvent entrer dans le dispositif. Certaines entités peuvent également être concernées indépendamment de leur taille, selon leur activité ou leur importance particulière.
Les obligations et les modalités de supervision varient selon la catégorie applicable.
Il est donc indispensable d’effectuer une analyse de périmètre avant de conclure qu’une entreprise est directement soumise à NIS 2.
Les sous-traitants et prestataires sont-ils également concernés ?
Une PME peut ne pas être directement assujettie à NIS 2 tout en travaillant pour une organisation qui l’est.
Dans ce cas, son client peut lui demander de démontrer un niveau de cybersécurité adapté aux risques de la relation commerciale.
Ces exigences peuvent prendre différentes formes :
- Questionnaire de sécurité fournisseur.
- Audit informatique ou audit de cybersécurité.
- Justificatifs de sauvegarde et de continuité d’activité.
- Mesures de contrôle des accès.
- Engagements contractuels de sécurité.
- Procédures de gestion et de notification des incidents.
Être fournisseur d’une entreprise concernée ne rend pas automatiquement assujetti à NIS 2, mais peut entraîner de nouvelles exigences commerciales et contractuelles.
Pour les PME, anticiper ces attentes devient également un moyen de préserver leurs relations avec leurs donneurs d’ordre.
Quelles sont les principales obligations de cybersécurité prévues par NIS 2 ?
La directive repose sur une logique de gestion des risques.
Elle ne consiste pas simplement à installer des équipements de sécurité supplémentaires, mais à organiser une protection cohérente des activités critiques.
Identifier et maîtriser les risques informatiques
La première exigence consiste à comprendre les risques auxquels l’entreprise est exposée.
Cela suppose notamment de recenser les infrastructures, les applications, les données sensibles et les dépendances techniques.
Une analyse des risques permet de répondre à plusieurs questions essentielles :
- Quels systèmes sont indispensables à l’activité ?
- Quelles seraient les conséquences d’une panne ou d’une cyberattaque ?
- Quels accès sont exposés à Internet ?
- Les sauvegardes sont-elles réellement exploitables ?
- Quels fournisseurs pourraient compromettre la continuité des services ?
- Quelles mesures doivent être traitées en priorité ?
Cette démarche permet de concentrer les investissements sur les vulnérabilités les plus critiques.
Renforcer la sécurité des réseaux et des accès
La protection du système d’information repose sur plusieurs dispositifs complémentaires.
Selon les risques identifiés, les mesures peuvent inclure :
- L’authentification multifacteur (MFA).
- La gestion des comptes et des privilèges.
- La sécurisation des accès distants.
- La segmentation des réseaux.
- La protection des postes de travail et des serveurs.
- Le déploiement de solutions EDR.
- La gestion des mises à jour et des vulnérabilités.
- La journalisation et la supervision des événements de sécurité.
Ces mécanismes doivent être adaptés à l’architecture informatique et aux besoins opérationnels de chaque organisation.
Préparer la gestion des incidents et leur notification
Une entreprise doit être capable de détecter un incident, d’en mesurer la gravité et d’organiser une réponse adaptée.
Pour les entités soumises aux obligations correspondantes, NIS 2 prévoit un dispositif de notification des incidents significatifs, comprenant notamment une alerte précoce sous 24 heures et une notification sous 72 heures, selon les conditions prévues par les textes applicables.
La préparation implique donc de définir :
- Les personnes responsables de la gestion des incidents.
- Les procédures d’escalade et de décision.
- Les moyens de détection et de conservation des informations utiles.
- Les modalités de communication interne et externe.
- Les procédures de restauration des services.
L’objectif est de limiter les conséquences d’une attaque tout en permettant une réponse structurée.
Audit informatique et pentest : deux leviers pour anticiper NIS 2
La mise en place d’une stratégie de cybersécurité commence par une évaluation objective de l’existant.
Une entreprise peut disposer de pare-feux, d’antivirus et de sauvegardes sans avoir une vision claire de ses vulnérabilités.
L’audit de cybersécurité : identifier les points faibles
L’audit permet d’examiner les infrastructures, les configurations, les accès, les procédures et les dispositifs de protection.
Il peut notamment révéler :
- Des serveurs ou logiciels obsolètes.
- Des comptes disposant de droits excessifs.
- Des accès distants insuffisamment sécurisés.
- Des sauvegardes non testées.
- Une segmentation réseau inadaptée.
- L’absence de procédures de reprise d’activité.
- Des équipements exposés à des vulnérabilités connues.
L’objectif est de disposer d’une cartographie des risques et d’un plan d’amélioration priorisé.
Le pentest : vérifier la résistance réelle des infrastructures
Un test d’intrusion, ou pentest, complète l’audit en cherchant à exploiter certaines vulnérabilités dans un périmètre défini et autorisé.
Il permet d’évaluer concrètement les conséquences possibles d’une compromission.
Un pentest peut notamment porter sur :
- Les infrastructures exposées sur Internet.
- Les réseaux internes.
- Les applications web.
- Les accès distants.
- Certains scénarios de compromission de comptes.
Il permet d’identifier des chemins d’attaque et de hiérarchiser les corrections.
L’audit identifie les risques. Le pentest teste certaines possibilités d’exploitation. Ensemble, ils contribuent à renforcer la maîtrise de la sécurité informatique.
Ces démarches soutiennent la préparation à NIS 2, sans constituer à elles seules une preuve de conformité réglementaire.
Continuité d’activité et PRA : un enjeu majeur de NIS 2
Une organisation peut disposer de protections informatiques avancées et subir malgré tout une panne majeure ou une cyberattaque.
La question devient alors : combien de temps l’entreprise peut-elle fonctionner sans ses applications et ses données ?
La continuité d’activité constitue un élément essentiel de la gestion des risques.
Protéger les sauvegardes contre les ransomwares
Les sauvegardes doivent être conçues pour résister non seulement aux pannes matérielles, mais également aux tentatives de destruction ou de chiffrement.
Une stratégie adaptée peut intégrer :
- La règle de sauvegarde 3-2-1.
- Des copies externalisées.
- Des sauvegardes immuables ou isolées.
- La protection des accès aux systèmes de sauvegarde.
- Des contrôles réguliers.
- Des tests de restauration.
L’objectif est de conserver une capacité de récupération même lorsque l’environnement informatique principal est compromis.
Définir des objectifs de reprise mesurables
Le Plan de Reprise d’Activité (PRA) organise les moyens techniques et humains nécessaires au rétablissement des services informatiques.
Deux indicateurs sont particulièrement importants :
RTO (Recovery Time Objective) : délai cible de remise en service d’une application ou d’un système.
RPO (Recovery Point Objective) : quantité maximale de données que l’entreprise accepte de perdre, exprimée en durée.
Ces objectifs doivent être définis selon la criticité des activités et les moyens réellement disponibles.
Virtualisation et haute disponibilité
Pour certaines entreprises, la continuité d’activité nécessite une modernisation de l’infrastructure.
La migration de serveurs physiques vers des environnements virtualisés peut notamment faciliter :
- La restauration de serveurs complets.
- La réplication des machines virtuelles.
- La maintenance des infrastructures.
- La mise en place de clusters haute disponibilité.
- La préparation d’un basculement vers un environnement secondaire.
Ces dispositifs doivent être dimensionnés et testés afin de vérifier leur capacité réelle à répondre aux objectifs de reprise.
Gouvernance NIS 2 : pourquoi les dirigeants doivent-ils s’impliquer ?
La cybersécurité ne peut plus être considérée comme une responsabilité exclusivement technique.
NIS 2 renforce le rôle des organes de direction dans l’approbation et la supervision des mesures de gestion des risques.
Cela implique de disposer d’une vision claire des enjeux de sécurité et des décisions prises.
La direction doit notamment pouvoir comprendre :
- Les risques majeurs pesant sur l’activité.
- Les investissements nécessaires.
- Les responsabilités internes et externes.
- Les conséquences possibles d’un incident.
- Les mesures de protection et de continuité.
- Les résultats des contrôles et des plans d’amélioration.
La directive prévoit également des mécanismes de supervision et de sanctions en cas de manquement aux obligations applicables.
La nature des sanctions et les conditions de mise en cause des dirigeants doivent être appréciées selon les textes en vigueur et la situation de l’entité concernée.
L’enjeu pour la direction n’est pas de devenir experte en cybersécurité, mais de disposer des informations nécessaires pour piloter les risques et prendre des décisions éclairées.
Comment préparer votre entreprise à NIS 2 ?
La préparation peut être organisée autour de cinq étapes.
1. Vérifier votre situation réglementaire
Identifier les activités concernées, la taille de l’organisation et les éventuels critères particuliers d’assujettissement.
2. Réaliser un audit de cybersécurité
Évaluer les infrastructures, les accès, les équipements, les sauvegardes et les procédures existantes.
3. Prioriser les mesures de protection
Traiter en premier lieu les vulnérabilités présentant les conséquences potentielles les plus importantes pour l’activité.
4. Tester la sécurité et la capacité de reprise
Réaliser, selon les besoins, des tests d’intrusion, des contrôles de sauvegarde et des exercices de restauration.
5. Organiser le suivi et la gouvernance
Définir les responsabilités, documenter les actions et suivre régulièrement les évolutions du niveau de sécurité.
Cette méthode permet de progresser de façon structurée, sans multiplier les investissements techniques déconnectés des risques métiers.
Comment SNS Solutions accompagne les entreprises dans leur préparation à NIS 2
SNS Solutions accompagne les PME et ETI dans la sécurisation et l’évolution de leur système d’information.
Notre approche vise à traduire les enjeux de cybersécurité en actions concrètes et adaptées aux contraintes opérationnelles.
Selon les besoins identifiés, notre accompagnement peut couvrir :
- Audit informatique et cybersécurité : analyse des infrastructures, des configurations et des risques.
- Pentest et tests de sécurité : évaluation technique des vulnérabilités exploitables.
- Sécurisation des infrastructures : renforcement des accès, des réseaux et des équipements.
- Sauvegarde et PRA/PCA : protection des données et préparation de la continuité d’activité.
- Supervision et infogérance : suivi opérationnel des environnements informatiques.
- Accompagnement DSI externalisée : définition des priorités et pilotage des évolutions du système d’information.
Ces prestations peuvent contribuer à la préparation technique et organisationnelle de l’entreprise. La validation de la conformité juridique nécessite une analyse spécifique des obligations applicables.
NIS 2 : transformez une exigence de cybersécurité en avantage pour votre entreprise
Se préparer à NIS 2 ne consiste pas uniquement à répondre à une évolution réglementaire.
C’est également l’occasion de mieux connaître son système d’information, de réduire les risques d’interruption d’activité et de renforcer la confiance de ses clients et partenaires.
Une entreprise capable de démontrer la maîtrise de ses infrastructures, la qualité de ses sauvegardes et l’existence de procédures de gestion des incidents dispose d’atouts supplémentaires dans ses relations commerciales.
Votre entreprise est-elle concernée par NIS 2 ? Vos infrastructures sont-elles suffisamment sécurisées ? Votre organisation serait-elle capable de reprendre son activité après une cyberattaque ?
SNS Solutions vous accompagne dans l’évaluation de votre environnement informatique et la définition d’un plan d’amélioration adapté à vos enjeux métiers.
Bouton CTA : Demander un audit de cybersécurité / PENTEST
Sources institutionnelles à intégrer à la page
- ANSSI — Directive NIS 2 : https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/
- ANSSI — MesServicesCyber, NIS 2 : https://messervices.cyber.gouv.fr/nis2
- ANSSI — MonEspaceNIS2 : https://monespacenis2.cyber.gouv.fr/