NIS2 : de quoi parle-t-on exactement ?
Adoptee en decembre 2022 par le Parlement europeen, la directive NIS2 remplace la premiere directive NIS de 2016. Son objectif : renforcer la resilience cyber de l'Union europeenne face a des menaces toujours plus sophistiquees. La France a transpose cette directive dans son droit national, avec des obligations desormais applicables a un nombre considerablement elargi d'entreprises.
La premiere directive NIS ne concernait qu'environ 300 entites en France (operateurs de services essentiels et fournisseurs de services numeriques). NIS2 etend cette portee a plus de 15 000 entites, incluant de nombreuses PME et ETI qui n'avaient jamais ete soumises a une reglementation cyber specifique.
Chiffre cle : NIS2 multiplie par 50 le nombre d'entites regulees en France, passant de 300 a plus de 15 000 organisations concernees.
Votre entreprise est-elle concernee par NIS2 ?
NIS2 distingue deux categories d'entites soumises a des obligations differenciees :
Les entites essentielles (EE)
Les grandes entreprises (plus de 250 salaries ou CA superieur a 50 millions d'euros) dans les secteurs critiques : energie, transports, sante, eau potable, infrastructures numeriques, administration publique, espace, banque et marches financiers.
Les entites importantes (EI)
Les entreprises de taille intermediaire (plus de 50 salaries ou CA superieur a 10 millions d'euros) dans les secteurs critiques, PLUS les entreprises de toute taille dans des secteurs dits "importants" : services postaux, gestion des dechets, industrie chimique, agroalimentaire, fabrication de dispositifs medicaux, electronique, automobile, recherche.
Le cas specifique des sous-traitants
Meme si votre entreprise ne depasse pas les seuils de taille, vous pouvez etre indirectement concerne si vous etes sous-traitant ou fournisseur d'une entite regulee. NIS2 impose en effet aux entites regulees de securiser leur chaine d'approvisionnement, ce qui se traduit par des exigences contractuelles envers leurs partenaires.
A retenir : Meme non directement soumise a NIS2, votre PME peut etre impactee si elle travaille avec des clients regules. C'est un argument supplementaire pour renforcer votre posture cyber et votre assurance.
Les obligations cles de NIS2
NIS2 impose un socle d'obligations en matiere de gestion des risques cyber. Voici les mesures principales :
1. Gouvernance de la cybersecurite
Les organes de direction doivent approuver les mesures de gestion des risques et suivre leur mise en oeuvre. Les dirigeants doivent etre formes a la cybersecurite. Leur responsabilite personnelle peut etre engagee en cas de manquement.
2. Gestion des risques
Les entites doivent mettre en place des mesures techniques et organisationnelles proportionnees : politiques de securite, gestion des incidents, continuite d'activite, securite de la chaine d'approvisionnement, securite des reseaux, gestion des vulnerabilites, evaluation de l'efficacite des mesures, pratiques de cyber-hygiene et formation, et chiffrement.
3. Notification des incidents
En cas d'incident significatif, les entites doivent :
- Emettre une alerte precoce sous 24 heures
- Fournir une notification detaillee sous 72 heures
- Remettre un rapport final sous 1 mois
4. Securite de la chaine d'approvisionnement
Les entites regulees doivent evaluer et gerer les risques lies a leurs fournisseurs et sous-traitants. Cela signifie contractualiser des exigences de securite avec l'ensemble de la supply chain.
5. Sanctions
Les sanctions sont considerablement renforcees par rapport a NIS1 :
- Jusqu'a 10 millions d'euros ou 2% du CA mondial pour les entites essentielles
- Jusqu'a 7 millions d'euros ou 1,4% du CA mondial pour les entites importantes
- Possibilite de suspension des autorisations d'exploitation
L'impact concret de NIS2 sur votre assurance cyber
La directive NIS2 modifie l'equation de l'assurance cyber a plusieurs niveaux :
Des questionnaires de souscription plus exigeants
Les assureurs integrent desormais les exigences NIS2 dans leurs criteres d'evaluation. Les questionnaires de souscription s'enrichissent de questions specifiques sur la gouvernance cyber, les procedures de notification, la securite de la supply chain. Si votre entreprise est soumise a NIS2 et ne peut pas demontrer sa conformite, les assureurs appliquent des surprimes significatives, voire refusent la couverture.
De nouvelles garanties a prevoir
Les sanctions NIS2 peuvent atteindre des montants considerables. Votre contrat d'assurance cyber doit etre revu pour integrer :
- La couverture des frais de notification : avec des delais raccourcis (24h/72h), les couts de mobilisation sont plus eleves
- L'assistance reglementaire : accompagnement juridique face aux autorites de controle
- La couverture des amendes (dans les limites de l'assurabilite en droit francais)
- La responsabilite des dirigeants : NIS2 prevoit une responsabilite personnelle accrue
Un levier de negociation
A l'inverse, une conformite NIS2 demontree constitue un argument de poids pour negocier vos conditions d'assurance. Les assureurs valorisent les entreprises qui ont formalise leur gouvernance cyber, deploye les mesures techniques requises et forme leurs dirigeants. C'est un cercle vertueux : la conformite reduit le risque reel ET la perception du risque par l'assureur.
Conseil d'expert : Ne voyez pas NIS2 comme une contrainte subie, mais comme une opportunite de structurer votre demarche cyber. Les entreprises conformes obtiennent des conditions d'assurance nettement meilleures.
Le calendrier a retenir
Voici les dates cles pour les entreprises francaises :
| Echeance | Evenement |
|---|---|
| Decembre 2022 | Adoption de la directive NIS2 au niveau europeen |
| Octobre 2024 | Date limite de transposition en droit national |
| 2025 | Enregistrement des entites aupres de l'ANSSI et premiers controles |
| 2026 | Application pleine des obligations et des sanctions |
Le temps presse. Si vous n'avez pas encore initie votre demarche de conformite, il est urgent d'agir. Les assureurs anticipent deja ces echeances dans leurs conditions de souscription et de renouvellement.
Comment se preparer : le parcours MTP
Chez My Trust Partner, nous avons developpe un accompagnement specifique qui articule conformite NIS2 et optimisation de l'assurance cyber :
Etape 1 : Diagnostic NIS2
Nous evaluons votre situation actuelle par rapport aux exigences de la directive : perimetre d'application, ecarts identifies, risques prioritaires. Notre audit de maturite integre nativement les criteres NIS2.
Etape 2 : Plan de conformite
Sur la base du diagnostic, nous construisons un plan de mise en conformite priorise et realiste. Notre accompagnement conformite couvre la gouvernance, la documentation, les mesures techniques et la formation.
Etape 3 : Formation des dirigeants et des equipes
NIS2 impose la formation des organes de direction. Nos formations certifiees Qualiopi, accessibles via MTP Academy, repondent specifiquement a cette exigence. Elles sont financables par votre OPCO.
Etape 4 : Placement assurance optimise
Une fois la conformite NIS2 engagee, nous valorisons votre demarche aupres des assureurs pour obtenir des conditions optimales. Les assureurs de notre panel connaissent notre methodologie et valorisent les dossiers prepares par MTP.
L'avantage MTP : En combinant conformite NIS2 et courtage expert, nous transformons une obligation reglementaire en avantage concurrentiel pour votre assurance cyber.
Conclusion : NIS2, un accelerateur de maturite cyber
La directive NIS2 represente un changement de paradigme pour des milliers d'entreprises francaises. Au-dela de la contrainte reglementaire, elle offre un cadre structure pour renforcer durablement votre posture de securite.
Sur le plan de l'assurance cyber, NIS2 cree une double opportunite : les entreprises conformes accedent a de meilleures conditions, tandis que celles qui tardent voient leurs primes augmenter et leur assurabilite se degrader.
Nos recommandations :
- Verifiez si votre entreprise entre dans le perimetre NIS2 (directement ou via la supply chain)
- Realisez un diagnostic de votre maturite cyber actuelle
- Engagez un plan de conformite progressif avec un accompagnement expert
- Faites valoriser vos progres aupres des assureurs via un courtier specialise
N'attendez pas les sanctions pour agir. Chaque mois de retard se traduit par des conditions d'assurance moins favorables et un risque reglementaire croissant.
