La directive NIS2 : ce qui change pour votre organisation
La directive NIS2 (Network and Information Security 2) étend fortement le périmètre des organisations soumises à des obligations de cybersécurité en Europe. Avec des sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, la conformité NIS2 devient une priorité de direction. Une plateforme GRC IA comme Vailor aide à structurer la démarche et à la tenir dans la durée.
Les exigences NIS2 couvertes par la GRC IA
NIS2 impose des mesures de gestion des risques dans plusieurs domaines : analyse de risque et politiques de sécurité, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, évaluation de l'efficacité des mesures. Vailor couvre l'analyse de risque (EBIOS RM ou analyse flash, préremplies par l'IA à partir de vos documents), le suivi de conformité avec le référentiel NIS2 et ReCyF de l'ANSSI, et le registre des tiers relié à votre organisation et à vos actifs. La gestion opérationnelle des incidents reste dans vos outils de réponse.
Stratégie de mise en conformité avec Vailor
Étape 1 : cadrer le périmètre et évaluer vos contrôles face au référentiel NIS2 et ReCyF pour identifier les écarts. Étape 2 : mener les analyses de risque en EBIOS RM, ou en analyse flash pour les projets moins critiques. Étape 3 : suivre le plan d'action, avec des mesures chiffrées en effort et en coût, priorisées de P1 à P4. Étape 4 : collecter chaque preuve une fois, la rattacher au contrôle et la réutiliser pour vos autres référentiels, comme DORA. Étape 5 : piloter avec des tableaux de bord, des relances et une synthèse pour l'organe de direction.
Calendrier et sanctions NIS2
Les États membres devaient transposer la directive au plus tard le 17 octobre 2024. Le calendrier applicable dépend ensuite de chaque loi nationale et de ses textes d'application : vérifiez celui de chaque pays où vous opérez. Les sanctions sont significatives : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles, jusqu'à 7 M€ ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. N'attendez pas la dernière échéance pour démarrer votre projet de conformité.
Êtes-vous concerné, et comme entité essentielle ou importante ?
Le premier chantier n'est pas technique, il est juridique. NIS2 s'applique par secteur et par taille : la directive vise en principe les entités qui atteignent le seuil de l'entreprise moyenne, avec des exceptions qui embarquent certains acteurs quelle que soit leur taille, notamment dans les infrastructures numériques. Le classement en entité essentielle ou en entité importante change ensuite tout le reste : le régime de supervision diffère (contrôle exercé en amont d'un côté, intervention déclenchée par un indice de manquement de l'autre) et les plafonds de sanction ne sont pas les mêmes. Deux erreurs reviennent souvent. La première consiste à attendre un courrier de l'autorité nationale, alors que le texte repose sur une démarche d'identification et d'enregistrement portée par l'entité elle-même. La seconde consiste à raisonner au niveau du groupe, alors que l'obligation se lit filiale par filiale et pays par pays. Avant tout projet outillé, produisez donc une note de périmètre datée, validée par la direction juridique, qui liste les entités retenues, celles écartées et le motif de chaque décision.
Signalement d'incident : préparer la chaîne de décision, pas le formulaire
La directive impose une cadence de signalement courte pour les incidents significatifs : une alerte précoce dans les vingt-quatre heures, une notification plus étayée dans les soixante-douze heures, puis un rapport final dans le mois. Ce qui bloque en pratique n'est presque jamais le formulaire, c'est la décision. Qui, un dimanche à deux heures du matin, a le mandat de qualifier un incident de significatif et d'engager l'organisation auprès de l'autorité ? Trois éléments doivent exister avant le premier incident : des critères de qualification écrits, applicables par l'astreinte sans arbitrage juridique ; une liste nominative de personnes habilitées à déclarer, avec leurs suppléants ; des modèles de notification préremplis pour la partie stable (identité de l'entité, périmètre, contacts techniques et juridiques). Testez ensuite la chaîne sur un exercice sur table, chronomètre en main. L'indicateur utile n'est pas le nombre d'incidents, c'est le délai entre la détection et la qualification : c'est lui qui consomme le budget des vingt-quatre heures.
Tenir la conformité dans la durée : gouvernance, preuves, mesure
NIS2 ne se satisfait pas d'un dossier constitué une fois. Le texte engage l'organe de direction, qui doit approuver les mesures de gestion des risques, en superviser la mise en œuvre et suivre lui-même une formation, avec une responsabilité personnelle possible en cas de manquement. Il demande aussi que l'organisation se dote de moyens d'évaluer l'efficacité de ses propres mesures, ce qui suppose des preuves qui vieillissent bien. Quatre indicateurs suffisent à piloter le sujet : la part des mesures dotées d'un responsable nommé et d'une échéance, l'âge médian des preuves versées au dossier, le délai entre une analyse de risque et la mise à jour effective du plan de traitement, et la part des fournisseurs critiques réévalués dans l'année. C'est là que l'outillage change l'économie du dossier : un contrôle maintenu à un seul endroit, une preuve datée réutilisée partout, et le temps repart vers l'arbitrage et le traitement plutôt que vers la mise en forme de documents.
Conclusion : l'IA au service de votre conformité NIS2
La conformité NIS2 est un chantier de fond. L'IA le rend plus abordable en réduisant le temps passé à collecter et à rédiger les analyses de risque, et un référentiel structuré par contrôle évite de refaire le même travail d'un texte à l'autre. Réservez 30 minutes : on écoute votre contexte NIS2 et vos priorités, et on vous dit concrètement comment Vailor y répond.