NIS 2 : Votre PME est-elle concernée sans le savoir?

Quelles entreprises entrent dans le champ d'application de NIS 2 ?

Contrairement à la précédente directive NIS, qui concernait un nombre limité d'acteurs stratégiques, NIS 2 vise désormais plusieurs milliers d'entreprises en France.

La directive distingue deux catégories d'organisations :

• Les entités essentielles correspondant principalement aux grandes entreprises ;
  Les entités importantes, qui incluent notamment de nombreuses PME et ETI.

 De manière générale, une entreprise est susceptible d'être concernée lorsqu'elle exerce son activité dans l'un des secteurs couverts par la directive et qu'elle emploie au moins 50 salariés ou réalise un chiffre d'affaires supérieur à 10 millions d'euros.

Les grandes entreprises de plus de 250 salariés ou réalisant plus de 50 millions d'euros de chiffre d'affaires relèvent généralement de la catégorie des entités essentielles.

Quels sont les secteurs d'activités concernés par la directive ?

La directive couvre 18 secteurs considérés comme critiques ou hautement critiques pour l'Union européenne. Parmi eux figurent notamment :

Quelles obligations de cybersécurité s'imposent aux entreprises concernées ?

Les entreprises concernées devront mettre en place une véritable démarche de gestion des risques cyber. Cela implique notamment :

• L’identification et l'évaluation régulière des risques ;
• La mise en œuvre de mesures techniques et organisationnelles adaptées ;
• La sécurisation des accès aux systèmes d'information ;
• La gestion des incidents de sécurité ;
• L’élaboration de plans de continuité et de reprise d'activité ;
• La maîtrise des risques liés aux fournisseurs et sous-traitants ;
• La formation et la sensibilisation des collaborateurs
• La gouvernance occupe également une place centrale dans le dispositif. Les dirigeants sont appelés à jouer un rôle actif dans la supervision des mesures de cybersécurité mises en œuvre au sein de leur organisation.

Les PME non assujetties sont-elles également concernées ?

Même lorsqu'elles ne remplissent pas les critères d'assujettissement, certaines PME peuvent être impactées par NIS 2. Les entreprises soumises à la directive doivent en effet s'assurer que leurs fournisseurs, prestataires et sous-traitants présentent un niveau de sécurité suffisant.
Ainsi, de nombreuses PME pourraient être amenées à répondre à des questionnaires de sécurité, à se soumettre à des audits ou à renforcer leurs pratiques de cybersécurité pour conserver leurs relations commerciales avec des clients assujettis à NIS 2.

Quelles démarches entreprendre dès maintenant ?

Afin d'anticiper les futures exigences réglementaires, il est recommandé de :

• Vérifier si l'entreprise relève du champ d'application de NIS 2 en examinant son secteur d’activité, sa taille, les éventuelles exceptions applicables ;
• Réaliser un audit de cybersécurité ;
• Identifier les actifs numériques critiques ;
• Cartographier les risques et les dépendances essentielles ;
• Évaluer les risques liés aux fournisseurs ;
• Formaliser un plan de gestion des incidents ;
• Sensibiliser les collaborateurs et les dirigeants aux enjeux cyber.