Que signifie la directive NIS2 pour votre organisation?
NIS2 peut sembler être avant tout une question technique de cybersécurité, mais il s’agit également, et surtout, d’une obligation juridique. Cette directive européenne détermine si, comment et à quelles obligations concrètes votre organisation doit satisfaire en matière de gestion des risques en matière de cybersécurité, de notification des incidents et de devoir de vigilance des dirigeants.
Vous trouverez ci-dessous tout ce qu’il faut savoir d’un point de vue juridique concernant NIS2.
Que'est-ce que NIS2?
NIS2 est la directive européenne en matière de cybersécurité qui remplace la directive NIS de 2016.
La première directive visait uniquement les secteurs critiques, tels que l’énergie, l’eau, … Il est rapidement apparu que cela n’était pas suffisant. Face à l’augmentation des incidents et des cyberattaques, il était nécessaire de revoir cette législation. Par conséquent, NIS2 impose désormais des obligations à un groupe d’organisations beaucoup plus large qu’auparavant, avec une attention accrue portée à la sécurité de la chaîne d’approvisionnement et aux mécanismes d’authentification.
Concrètement, cette législation repose essentiellement sur trois éléments :
- La maîtrise des risques en matière de cybersécurité au moyen de mesures concrètes ;
- La notification des incidents dans des délais stricts ;
- Un devoir de vigilance actif du conseil d’administration dans ce domaine.
Découvrez ci-dessous si votre organisation est couverte par ce champ d’application élargi.
Votre organisation est-elle soumise à NIS2?
NIS2 s’applique à un large éventail de secteurs. Votre organisation peut être concernée par la législation si elle exerce ses activités dans les secteurs suivants :
Outre votre secteur d’activité, la taille de votre organisation doit aussi être prise en compte. Les petites et microentreprises sont généralement exclues du champ d’application de NIS2, sauf si elles jouent un rôle critique.
Et si vous n’exercez pas vous-même vos activités dans l’un de ces secteurs, mais que vous fournissez des services à une organisation qui y exerce ses activités ? Ce client peut vous imposer contractuellement certaines exigences de sécurité, parce qu’il est lui-même tenu de veiller à la sécurité de sa chaîne d’approvisionnement.
Pour déterminer si vous êtes soumis à la NIS2, il est important de ne pas négliger les trois éléments suivants :
- Sociétés mères et filiales : leurs chiffres sont pris en compte lors du calcul de la taille de votre organisation.
- Droit applicable : même s’il est clair que vous entrez dans le champ d’application de NIS2, cela ne permet pas encore de savoir quelle législation nationale NIS2 s’applique. Cela dépend de la localisation de votre établissement principal.
- Responsabilité dans la chaîne d’approvisionnement : si vous êtes vous-même soumis à NIS2, vous assumez également une responsabilité concernant la sécurité de vos fournisseurs, avec des conséquences pour les contrats existants et les accords de collaboration.
Notre expert juridique Bernd vous l’explique dans la vidéo ci-dessous.
Vous n’êtes pas certain que votre organisation doive se conformer à NIS2 ?
Quelle est la prochaine échéance?
Un bref calendrier :
- 18 octobre 2024 : NIS2 entre en vigueur en Belgique ; les obligations s’appliquent depuis cette date.
- 18 avril 2026 : les entités essentielles devaient avoir réalisé une première évaluation de conformité.
- 18 avril 2027 : les entités essentielles doivent passer au niveau supérieur ; d’une première vérification limitée à une certification complète.
Vous souhaitez savoir si votre organisation est soumise à la directive NIS2 et quelles sont vos obligations légales ?
Qu’est-ce que cela signifie concrètement pour votre organisation ?
- Vous êtes une entité essentielle et avez déjà réalisé cette première évaluation ? L’étape suivante consiste, en principe, à être prêt au niveau de conformité requis d’ici le 18 avril 2027. Si ce n’est pas le cas, vous devrez pouvoir présenter un plan de mesures correctives d’ici le 18 avril 2028.
- Vous êtes une entité essentielle mais n’avez pas encore réalisé d’évaluation ? Vous n’êtes pas en conformité avec la législation et vous vous exposez à des sanctions.
- Vous êtes une entité importante ? Aucun délai fixe d’évaluation ne s’applique, mais les mesures de sécurité et l’obligation de notification sont déjà en vigueur depuis 2024. En cas d’incident grave, vous pouvez faire l’objet d’une évaluation et l’ensemble des obligations reste pleinement applicable.
- Vous êtes un fournisseur d’une entité essentielle, mais vous n’êtes pas vous-même soumis à NIS2 ? Votre client peut vous imposer des exigences de sécurité contractuelles.
Quelles sont les conséquences du non-respect de la législation NIS2?
De nombreuses organisations ne sont pas encore totalement en conformité avec NIS2. Vous n’êtes donc certainement pas seul si vous avez encore des mesures à mettre en place.
Les conséquences sont toutefois importantes. Pour les entités essentielles, les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu). Pour les entités importantes, elles peuvent atteindre 7 millions d’euros ou 1,4 %.
En outre, l’autorité de contrôle peut ordonner la suspension de services, rendre publique une violation et même engager la responsabilité personnelle des dirigeants lorsqu’ils ont manqué à leur devoir de supervision dans ce domaine. Dans les cas extrêmes, les dirigeants peuvent même être temporairement suspendus de leurs fonctions.
Bernd vous l’explique ci-dessous :
Savez-vous où vous vous situez juridiquement par rapport à NIS2 ?
Avant d’investir dans des mesures techniques, vous devez savoir où vous vous situez juridiquement. Êtes-vous soumis à NIS2 ? Et, dans l’affirmative, êtes-vous une entité essentielle ou importante ? Une mauvaise évaluation sur ce point entraîne des retards, des coûts supplémentaires ou, dans le pire des cas, des sanctions.
Notre solution à ce problème est le Digital Law Scan. Cette analyse détermine si et comment NIS2 s’applique à votre organisation et positionne votre situation juridique actuelle au regard des obligations légales.
Si vous savez où vous vous situez mais avez besoin d’aide pour préparer votre organisation afin qu’elle respecte l’ensemble de ces obligations, vous pouvez également faire appel à Cingulum, notre filiale spécialisée dans les parcours de cybersécurité.
Découvrez les spécialistes CRANIUM
Marie Manhaeve
Digital Law Consultant
Bernd Fiten
Head of Digital Law
Bram Goetry
Senior Digital Law Consultant
Faites analyser votre organisation
Demandez dès aujourd’hui votre Digital Law Scan et sachez où vous vous situez au regard de NIS2.
