Formation Directive NIS 2 avancée

La Directive NIS 2 élargit significativement le champ d’application de la directive précédente, couvrant une large gamme d’entités dans divers secteurs considérés comme essentiels ou importants pour le maintien des services sociaux et économiques critiques. Voici une liste non exhaustive des entreprises et secteurs concernés par la Directive NIS 2 :

• Secteurs des infrastructures essentielles :
• Énergie (électricité, gaz, et pétrole)
• Transports (aérien, maritime, ferroviaire, et routier)
• Banque
• Infrastructures du marché financier
• Santé (hôpitaux et laboratoires de diagnostic)
• Approvisionnement en eau potable
• Traitement des eaux usées
• Secteurs numériques :
• Fournisseurs de services cloud
• Centres de traitement de données
• Fournisseurs de services DNS
• Fournisseurs de services d’échange de trafic internet
• Autres secteurs et entreprises :
• Administrations publiques et leurs sous-traitants
• Entreprises dans le domaine de l’espace
• Fabricants d’appareils médicaux critiques
• Entreprises dans le secteur des produits chimiques
• Entreprises dans le secteur alimentaire
• Entreprises dans le secteur postal et de courrier
• Entreprises dans le secteur de la gestion des déchets
• Entreprises dans le secteur de la fabrication numérique

La Directive NIS 2 introduit également des catégories plus larges pour inclure des entités de taille moyenne et grande qui fournissent des services essentiels dans ces secteurs, étendant ainsi la responsabilité de la mise en œuvre des mesures de cybersécurité.

La Directive NIS 2 a élargi le champ d’application par rapport à sa prédécesseure, la Directive NIS, pour inclure un plus grand nombre d’entités, y compris potentiellement certaines PME (Petites et Moyennes Entreprises) et TPE (Très Petites Entreprises), en fonction de leur rôle dans les secteurs considérés comme essentiels ou importants. Cependant, l’application de la directive aux PME et TPE dépend de plusieurs critères, notamment :

1. Secteur d’activité : Les entreprises opérant dans les secteurs identifiés comme essentiels ou importants par la directive sont plus susceptibles d’être concernées. Cela inclut l’énergie, les transports, la santé, les infrastructures numériques, et d’autres secteurs clés.
2. Importance pour l’économie : Les PME et TPE qui fournissent des services ou exercent des activités considérés comme vitaux pour le maintien des services sociaux et économiques critiques peuvent être incluses.
3. Risque et impact : Les entreprises dont l’interruption des services ou des activités pourrait avoir un impact significatif sur la sécurité publique, la santé, ou l’économie sont plus susceptibles d’être concernées par la directive.
4. Taille de l’entreprise : Bien que la directive cible principalement les opérateurs d’importance vitale et les fournisseurs de services numériques, des critères spécifiques peuvent être appliqués pour déterminer si les PME et TPE sont soumises à certaines obligations, surtout si elles jouent un rôle crucial dans la chaîne d’approvisionnement ou dans la prestation de services essentiels.
5. Critères spécifiques nationaux : Les États membres de l’UE ont la possibilité d’adapter certains critères de la directive pour mieux correspondre à leur contexte national. Cela pourrait inclure des ajustements spécifiques relatifs à l’application de la directive aux PME et TPE.

En résumé, bien que la Directive NIS 2 soit principalement axée sur les entités plus grandes et celles qui sont critiques pour les infrastructures nationales et européennes, certaines PME et TPE peuvent être concernées si elles remplissent les critères définis au niveau européen ou national.

La directive (UE) 2022/2555, dite NIS 2, est un texte européen qui renforce le niveau de cybersécurité des réseaux et systèmes d’information dans l’Union. Elle élargit les secteurs concernés et impose des obligations de gestion des risques et de notification des incidents à un plus grand nombre d’organisations.

NIS 2 distingue deux catégories : les entités essentielles et les entités importantes, selon leur secteur et leur taille. Toutes deux doivent respecter des obligations de cybersécurité, mais elles relèvent de régimes de supervision et de contrôle distincts. La formation vous aide à déterminer la catégorie de votre organisation.

Les organisations concernées doivent mettre en œuvre des mesures techniques et organisationnelles de gestion des risques, notifier les incidents importants aux autorités, sécuriser leur chaîne d’approvisionnement et impliquer leurs organes de direction dans la gouvernance de la cybersécurité.

La directive prévoit une notification rapide des incidents importants : une alerte précoce dans un délai de 24 heures, une notification plus complète sous 72 heures, puis un rapport final généralement dans un délai d’un mois. La formation détaille ces étapes et les protocoles associés.

Oui. NIS 2 responsabilise les organes de direction, qui doivent approuver les mesures de gestion des risques, en superviser la mise en œuvre et se former à la cybersécurité. La formation aide dirigeants et cadres à assumer ce rôle.

Comme toute directive européenne, NIS 2 est transposée dans le droit de chaque État membre. En France, l’ANSSI accompagne les entités concernées et publie des ressources dédiées. La formation vous aide à situer vos obligations dans ce cadre.

Elle s’adresse aux dirigeants, cadres et directeurs, aux services informatiques, aux responsables et référents cybersécurité (RSSI), ainsi qu’aux collaborateurs impliqués dans la conformité et la gestion des risques.

Aucun prérequis n’est exigé. Une sensibilité aux enjeux de cybersécurité ou une première approche de NIS 2 facilite toutefois l’assimilation des contenus avancés.

La formation se déroule sur une journée, en présentiel à Paris ou à distance. Elle peut également être organisée en intra-entreprise et adaptée à votre secteur et à votre niveau de maturité.

Selon votre situation, la formation peut faire l’objet d’une prise en charge, par exemple via votre OPCO dans le cadre du plan de développement des compétences. Nous vous accompagnons pour identifier les dispositifs mobilisables.