NIS2, Cyberscore : les obligations cyber qui arrivent pour les entreprises françaises
· Par NumActu · 1 min de lecture
Des milliers d'entités françaises entrent dans le champ de la directive européenne NIS2. Gouvernance, notification d'incidents, sanctions : ce qui attend les organisations.
La directive européenne NIS2 change l'échelle de la cybersécurité réglementaire : là où la première mouture visait quelques centaines d'opérateurs critiques, la nouvelle englobe des milliers d'entités françaises — collectivités, ETI, santé, transports, numérique — réparties entre entités « essentielles » et « importantes ».
Ce que NIS2 impose
Au menu : analyse de risques formalisée, mesures techniques minimales, sécurisation de la chaîne d'approvisionnement, notification des incidents significatifs à l'ANSSI sous 24 puis 72 heures, et — nouveauté qui fâche — la responsabilisation personnelle des dirigeants, qui doivent approuver les mesures et se former.
Une transposition française attendue
La France transpose la directive via son projet de loi résilience, dont les décrets d'application dessineront le calendrier réel des contrôles. L'ANSSI a promis une montée en charge progressive et accompagnée — mais les sanctions prévues (jusqu'à 2 % du chiffre d'affaires mondial pour les entités essentielles) posent le décor.
Par où commencer
Se demander si l'on est dans le champ (le simulateur de l'ANSSI aide), cartographier ses actifs critiques, et traiter les fondamentaux : MFA, sauvegardes testées, gestion des accès prestataires. La conformité suivra — la résilience, elle, n'attend pas le décret.