NIS2 cyber law for essential businesses : quelle est la différence entre NIS1 et NIS2 ?

À partir du 16 janvier 2023, la directive européenne NIS2 s'applique aux entreprises essentielles. Aux Pays-Bas, nous connaissons la nouvelle directive cybernétique sous le nom de NIB2. Elle succède à la NIB1. Comme les autres pays de l'UE, les Pays-Bas ont jusqu'au 17 octobre 2024 pour adapter les règles nationales à la norme européenne. Qu'est-ce qui va changer ? Nous en dressons la liste pour vous.

La loi NIS cyber s'applique désormais aux entreprises essentielles. En d'autres termes, le NIS1 original s'applique à ces secteurs. À partir de 2024, les lignes directrices s'appliqueront également aux "entreprises clés". Cela permettra d'améliorer la cybersécurité aux Pays-Bas et en Europe pour un plus grand nombre d'entreprises de taille moyenne à grande.

Qu'est-ce que la ligne directrice NIS2 ?

NIS2 est le successeur de NIS1, qui a été introduit il y a plusieurs années pour les entreprises essentielles. La nouvelle directive NIS2 (officiellement : Directive (UE) 2022/2555) a été publiée par l'ENISA, l'Agence de l'Union européenne pour la cybersécurité. La directive prescrit des exigences minimales en matière de sécurité, ainsi que l'obligation de signaler les incidents (graves) à l'autorité nationale ou à l'équipe européenne de réponse aux incidents de sécurité informatique (CSIRT). La nouvelle directive remplace la première, entrée en vigueur en 2016.

Voici les principales différences entre le NIS1 et le NIS2 :

• La directive s'applique à un plus grand nombre de secteurs
  Le NIS2 s'applique aux entreprises essentielles ainsi qu'aux grandes entreprises. Davantage de moyennes et grandes entreprises doivent commencer à se conformer à la directive. En outre, le gouvernement néerlandais peut désigner des entreprises plus petites présentant un risque de sécurité élevé qui doivent également commencer à se conformer à la directive.
• Liste de sécurité minimale de base
  La directive est plus concrète, grâce à une liste de sécurité minimale de base que les entreprises doivent mettre en œuvre. La directive impose une approche de gestion des risques.
• Division en secteurs essentiels et clés
  La nouvelle directive NIS divise les entreprises en secteurs essentiels et clés. La distinction entre les opérateurs de services essentiels et les fournisseurs de services numériques disparaît.
• S'attaquer à la sécurité dans la chaîne
  Les entreprises doivent commencer à s'attaquer aux risques de sécurité dans leur chaîne d'approvisionnement. Cela inclut les risques créés par les relations avec les fournisseurs.
• Supervision plus stricte
  Les autorités nationales sont autorisées à exercer une surveillance et une application plus strictes. La nouvelle directive uniformise les régimes de sanctions et les exigences en matière de rapports dans tous les États membres.

Qu'est-ce qu'une entreprise essentielle ?

La directive NIS s'applique aux entreprises essentielles. Ces secteurs sont les suivants

• L'énergie
• Eau potable
• Eaux usées
• Transport
• Banque
• Marchés financiers
• Infrastructure numérique
• Administrations publiques
• Soins de santé
• L'espace

Conseil : Vous vous demandez quelles sont les entreprises "essentielles" ou "importantes" ? Téléchargez le tableau Secteurs couverts par le NIB2 de CBS.

La nouvelle directive NIS2 s'appliquera également aux grandes entreprises. Ces secteurs sont les suivants

• Services postaux et de messagerie
• Transformation et distribution
• Traitement des déchets
• Fournisseurs numériques
• Entreprises manufacturières
• Industrie chimique
• Industrie alimentaire

Différence de supervision entre les entreprises essentielles et les entreprises importantes

Les autorités locales surveilleront de manière proactive les entreprises clés. La surveillance des entreprises clés se fera après coup, s'il y a des preuves d'un incident.

Les entreprises clés et essentielles auront un devoir de signalement et un devoir de diligence. Elles doivent mettre en place des mesures de sécurité dans leur chaîne d'approvisionnement et communiquer clairement sur la manière dont elles gèrent les cyberincidents.

Pourquoi la nouvelle ligne directrice est-elle importante ?

La nouvelle directive NIS2 devrait renforcer la sécurité des réseaux et des systèmes d'information des entreprises. Les Pays-Bas et l'ensemble de l'Union européenne devraient ainsi devenir moins vulnérables aux cyberattaques.

Le ministre Dilan Yeşilgöz-Zegerius (Justice et sécurité) a déclaré: "Nous sommes de plus en plus dépendants des processus numériques, en particulier depuis Corona, nous travaillons de plus en plus à domicile. En outre, nous constatons une menace numérique croissante de la part des criminels et des acteurs étatiques qui, avec une guerre à la frontière orientale de l'Europe, ne va pas s'atténuer pour l'instant. Il est donc nécessaire de passer à l'étape suivante pour élever le niveau de cybersécurité dans l'UE. Ce faisant, nous empêcherons les incidents numériques de perturber notre société".

Le ministre Micky Adriaansens (Affaires économiques et climat) ajoute : "Nous devons être attentifs aux risques de cyberattaques. Les conséquences peuvent être importantes, comme des rayons vides dans les magasins ou des arrêts de production industrielle. La gestion de la sécurité numérique reste une responsabilité individuelle des entreprises et des consommateurs. Mais avec cette législation, nous pouvons faire un pas en avant pour garantir que le niveau de cyber security augmente parmi les parties (moyennes) dans les secteurs les plus importants."

Serez-vous condamné à une amende si vous ne respectez pas les règles ?

Les entreprises qui ne se conforment pas à la nouvelle directive recevront un avertissement, puis un rappel et risqueront ensuite une forte amende. L'amende maximale est de 10 millions d'euros ou de 2 % du chiffre d'affaires annuel total des moyennes et grandes entreprises.

Prévenir les dommages causés par la cybercriminalité : que pouvez-vous faire ?

Même en l'absence d'une loi sur la cybercriminalité telle que la NIB2 aux Pays-Bas, il est important de prendre la cybercriminalité au sérieux. Vous protégez votre entreprise avec, par exemple :

• La sécurité dès la conception
  Commencez chaque réunion par la sécurité (numérique). Quelles mesures prenez-vous pour éviter les abus et quels sont les risques et les vulnérabilités ? En considérant cette question comme une norme, vous mettez en place des systèmes (nouveaux) plus sûrs par défaut.
• Connexion sécurisée
  Utilisez une connexion sécurisée pour votre entreprise. Empêchez d'autres personnes de consulter les données à votre insu, voire de les voler. La connexion sécurisée est disponible dans le monde entier, à tout moment et en tout lieu.
• Former les employés à la cybersécurité
  Ceux qui ne connaissent pas les risques ne peuvent pas s'en protéger. Formez vos employés et assurez-vous qu'ils reconnaissent les vulnérabilités et ne tombent pas dans les pièges que leur tendent les cybercriminels.

Comment EyeOn utilise Guardey pour se conformer à NIS2

Les entreprises qui doivent se conformer au NIS2 sont tenues d'offrir à leurs employés une formation sur le sitesecurity awareness .

Notre client Gezamenlijke Brandweer Amsterdam (un service d'incendie néerlandais) est une organisation essentielle et doit donc se conformer à la réglementation NIS2. Pour s'assurer que leurs employés sont prêts à reconnaître les cyber-menaces, ils utilisent Guardey pour offrir une formation sur security awareness . Chaque semaine, l'équipe participe à un petit défi de 3 heures qui l'aide à développer progressivement ses connaissances sur cyber security .

Lire l'intégralité de l'article ici

Faciliter les choses avec Guardey

Chez Guardey, nous comprenons que vous puissiez avoir beaucoup de choses en tête. Comment vous conformer à NIS2, quelles sont les vulnérabilités de votre entreprise et comment prévenir un piratage, une atteinte à la protection des données ou toute autre forme de cybercriminalité ?

C'est pourquoi nous aimons vous faciliter la tâche. Avec Guardey, vous optez pour une solution cyber security complète en une seule fois. Nous sommes prêts à l'emploi, pour une connexion sécurisée, contre les logiciels malveillants et pour former vos employés de manière professionnelle (mais amusante !).

Vous souhaitez améliorer le site cyber security de votre entreprise et vous conformer à la nouvelle directive NIS2 ? Découvrez notre solution ou posez-nous vos questions. Nous nous ferons un plaisir de vous expliquer comment vous pouvez être protégé par Guardey de manière très accessible, simple et abordable.