Directive NIS2 — Exigences de cybersécurité de l'UE pour...

Vue d'ensemble

Le Directive NIS2 (Directive 2022/2555) élargit massivement les obligations en cybersécurité à travers l'Union européenne. L'article 21 impose explicitement "cryptographie et chiffrement" comme mesure de sécurité de base, faisant de la gestion des certificats et des clés une exigence réglementaire plutôt qu'une simple bonne pratique.

La directive s'applique à environ 160,000 entités dans 18 secteurs critiques, notamment l'énergie, les transports, la banque, la santé, l'infrastructure numérique, l'administration publique, et plus encore. Les organisations doivent mettre en œuvre des mesures complètes de gestion des risques, signaler les incidents significatifs dans les 24 heures, et garantir la sécurité de la chaîne d'approvisionnement.

NIS2 introduit responsabilité de la direction — les dirigeants seniors doivent approuver et superviser les mesures de cybersécurité, et peuvent être tenus personnellement responsables en cas d'échecs. Avec des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, les enjeux du non‑respect sont importants.

Clé Exigences

Mesures de gestion des risques (Art. 21)

Les entités doivent mettre en œuvre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques de cybersécurité affectant leurs réseaux et systèmes d’information.

Cryptographie & chiffrement (Art. 21.2.h)

L'article 21(2)(h) exige explicitement l'utilisation de la cryptographie et, le cas échéant, du chiffrement comme mesure de cybersécurité de base pour toutes les entités essentielles et importantes.

Déclaration d'incident (24h/72h)

Les incidents significatifs doivent être signalés au CSIRT dans les 24 heures (alerte précoce), avec une notification complète dans les 72 heures et un rapport final dans un mois.

Sécurité de la chaîne d'approvisionnement

Les organisations doivent prendre en compte les risques de cybersécurité dans leurs chaînes d'approvisionnement et leurs relations avec les fournisseurs, y compris les exigences de sécurité pour les fournisseurs directs et les prestataires de services.

Responsabilité de la direction

Les organes de direction doivent approuver les mesures de gestion des risques de cybersécurité, en superviser la mise en œuvre et peuvent être tenus personnellement responsables des infractions.

Continuité des activités & Gestion de crise

Les entités doivent mettre en œuvre des plans de continuité des activités, des procédures de récupération après sinistre et des protocoles de gestion de crise afin d’assurer la résilience face aux incidents de cybersécurité.

Clé Jalons

2020

Proposé

La Commission européenne propose le NIS2 en décembre 2020 pour remplacer la directive NIS originale et élargir considérablement son champ d’application ainsi que ses pouvoirs d’exécution.

2022

Adopté

La directive (UE) 2022/2555 est officiellement adoptée en décembre 2022, établissant des exigences de cybersécurité harmonisées dans 18 secteurs critiques.

2024

Date limite de transposition

Les États membres doivent transposer la NIS2 en droit national d'ici le 17 octobre 2024. Les entités doivent commencer à se conformer aux nouvelles obligations.

2025

Enregistrement des entités & premiers audits

Les entités essentielles et importantes s'enregistrent auprès des autorités nationales. Les premiers audits de conformité et les actions de supervision débutent dans les États membres.

2025 Actuel

Application complète & sanctions

Régime d'application complet avec des sanctions allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le plus élevé étant retenu, pour les organisations non conformes.

Impact sur PKI & Certificates

Avec la cryptographie et le chiffrement explicitement imposés par l'article 21, NIS2 place la PKI et la gestion des certificats au cœur de la conformité. Voici les domaines critiques :

Les exigences de chiffrement nécessitent une couverture complète

L'exigence explicite de cryptographie signifie que les organisations doivent garantir une couverture TLS/certificat complète sur tous les systèmes, y compris les communications internes et les données au repos.

Hygiène des certificats comme gestion des risques

Les certificats expirés, mal configurés ou faibles représentent des risques de cybersécurité. Une gestion appropriée du cycle de vie des certificats est désormais une mesure de gestion des risques démontrable dans le cadre de la NIS2.

Validation des certificats de la chaîne d'approvisionnement

Les exigences de sécurité de la chaîne d'approvisionnement s'étendent à la validation des certificats — TLS mutuel pour les communications partenaires, vérification des certificats de signature de code et évaluations de la posture des certificats des fournisseurs.

Réponse aux incidents pour les compromissions de certificats

Les compromissions de certificats (fuites de clés privées, violations d'autorités de certification) sont des incidents déclarables. Les organisations ont besoin de capacités de révocation rapides et de procédures de réponse aux incidents claires pour les événements PKI.

Evertrust & NIS2

Inventaire complet des certificats — Horizon découvre et recense tous les certificats de votre infrastructure, fournissant l'évaluation de la posture de chiffrement exigée par l'article 21 de la NIS2.

Le renouvellement automatisé évite les pannes — Le renouvellement automatisé des certificats élimine les pannes liées à l'expiration, ce qui, selon la NIS2, pourrait déclencher des obligations de déclaration d'incident et une responsabilité de gestion.

Application des politiques pour les normes cryptographiques — Appliquer des tailles de clé minimales, des algorithmes approuvés et des configurations de certificats dans toute votre organisation afin de répondre aux exigences cryptographiques de la NIS2.

Surveillance et alertes en temps réel — Détecter les anomalies de certificats, les émissions non autorisées et les expirations imminentes en temps réel afin de soutenir les exigences de détection d'incidents de la NIS2.

PKI

CLM

Cas d’utilisation

Secteurs

Conformité

Apprendre

Outils & analyses

Événements & Communauté

NIS2 Directive

Faits rapides