La Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union dite NIS 2 (pour « Network and Information system Security » ou « Sécurité des réseaux des systèmes d’information ») fait suite à une première Directive, la Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union, dite NIS1.
La Directive NIS 1 visait déjà à renforcer la coopération entre Etats membres à l’échelle européenne et à imposer des obligations à des grands acteurs économiques du marché de l’Union européenne ciblés au regard des impacts économiques et sociétaux des services fournis. Transposée par la loi n°2018-133 du 26 février 2018 et par le décret n°2018-384 du 23 mai 2018, environ 300 entités avaient été désignées, par arrêté, en tant qu’ « Opérateur de services essentiels » (OSE) soumis aux obligations de la Directive NIS 1.
Pourquoi une nouvelle Directive ?
La Directive NIS2 a été introduite sur la base de deux constats. D’une part, comme souvent, la Directive NIS 1 a été mise en œuvre de manière hétérogène dans les différents Etats membres de l’Union européenne, ce qui rendait nécessaire une harmonisation plus importante des règles au niveau européen. D’autre part, l’évolution de la menace et des impacts sur la société nécessite une prise de conscience massive des risques liés à la cybersécurité, tant au regard des nouvelles cibles visées (PME, ETI, collectivités territoriales, fournisseurs), des conséquences dramatiques des attaques, et notamment des rançongiciels et de l’impact des attaques touchant la chaîne d’approvisionnement sur les entités critiques.
La Directive NIS2 étend donc tout d’abord les obligations imposées aux Etats membres quant à la mise en place de stratégies nationales en matière de sécurité et d’autorités en charges de la cybersécurité et de supervision des mesures.
De façon plus importante, le périmètre des entités visées par les obligations qu’elle prévoit est également étendu afin de massifier la cybersécurité au-delà de la cybersécurité des opérateurs déjà visés par la Directive NIS 1. Des milliers d’entités pourraient ainsi être désormais concernées en France. La directive NIS2 est en outre plus prescriptive que la directive NIS1, et prévoit l’application de sanctions.
Cette nouvelle directive s’inscrit dans un contexte réglementaire européen plus vaste, comprenant notamment le Règlement (UE) 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (« DORA »), qui entrera en vigueur le 17 janvier 2025, et la Directive (UE) 2022/2557 du 14 décembre 2022 sur la résilience des entités critiques (« REC »), dont le délai de transposition a également expiré le 17 octobre 2024, visant plus spécifiquement la sécurité physique de ces entités.
Quand la Directive NIS 2 sera-t-elle transposée ?
Un projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été déposé le 15 octobre dernier sur les bureaux de l’Assemblée Nationale et du Sénat.
Ce projet vise à transposer non seulement la Directive NIS 2 mais également la directive REC et la directive n°2022/2556 du 14 décembre 2022 accompagnant le Règlement DORA.
Compte-tenu de l’examen des lois de financement et de la censure du gouvernement, ce projet n’est toujours pas en cours d’examen et son calendrier d’adoption n’est pas - à cette date - prévisible.
En pratique, il est cependant fortement recommandé de ne pas attendre la transposition de la Directive NIS 2 par la loi et les décrets prévus pour s’informer et, le cas échéant, d’anticiper sa mise en œuvre :
- Les entités qui sont directement visées, et qui ne disposaient pas déjà d’une maturité suffisante en matière de cybersécurité auront à mener un chantier d’ampleur à mener pour se conformer à leurs nouvelles obligations ;
- Les prestataires et fournisseurs de ces entités directement visées, y compris les avocats, doivent maîtriser ces nouvelles règles, sans attendre qu’elles puissent donner lieu à des sanctions en droit interne, car la maîtrise de ces règles est un enjeu concurrentiel face à des concurrents situés dans des Etats membres ayant déjà transposé la directive NIS 2, par exemple dans le cadre de la négociation de contrats ou dans le cadre de projets importants.
Qui sont les entités visées par la Directive NIS 2 ?
La Directive NIS 2 vise principalement deux catégories d’entités régulées en fonction de leur niveau de criticité, conformément à un mécanisme de proportionnalité, en fonction des différents niveaux d’exposition aux risques de ces catégories et à l’impact sociétal et économique potentiel d’un incident.
De manière générale, les entités directement visées par la Directive NIS 2 sont les entités qui fournissent ou exercent leurs activités au sein de l’Union européenne définies en fonction de deux critères :
- La criticité de leurs activités : l’annexe I vise ainsi les types d’entités visées relevant des secteurs hautement critiques et l’annexe II liste les types d’entités visées relevant d’autres secteurs critiques ;
- La taille des entités (sauf exception).
Le périmètre couvert par la Directive NIS 2 est étendu par rapport à la Directive NIS 1 en intégrant au sein de la liste des activités hautement critiques de nouveaux secteurs, comme par exemple le secteur des eaux usées, l’extension des infrastructures numériques concernées, l’introduction de la gestion des services TIC, de l’administration publique ou de l’espace. L’introduction de l’annexe II permet également de viser les services postaux, la gestion des déchets, les produits chimiques, certains opérateurs du secteur agro-alimentaire, la fabrication de certains produits, les fournisseurs numériques (fournisseurs de place de marché en ligne, de moteurs de recherches ou de réseaux sociaux) et les organismes de recherche. Cette extension du périmètre permet notamment de viser des acteurs de la chaîne d’approvisionnement des entités les plus critiques.
Les obligations différeront ensuite en fonction de la combinaison entre l’activité de l’entité et de sa taille. L’objectif poursuivi est de ne pas imposer d’obligations disproportionnées en tenant compte des différents niveaux d’exposition aux risques d’une entité, en fonction de sa criticité, des risques, y compris sociétaux, auxquels elle est exposée, de sa taille et de la probabilité de survenance d’un incident et de leur gravité.
L’article 3 de la Directive NIS 2 distingue ainsi entre :
- Les entités essentielles visant tout d’abord les entités de taille intermédiaire ou grande des secteurs hautement critiques (annexe I) dépassant les plafonds de définition des moyennes entreprises, i.e. employant plus de 250 personnes ou dont le CA excède 50M€ ou dont le bilan excède 43 millions d’euros. D’autres entités sont également considérées comme des entités essentielles, quelle que soit leur taille, comme les prestataires de service DNS, les fournisseurs de réseaux de communication électroniques ou de services de communication électriques, certaines administrations publiques centrales, les entités critiques ou les opérateurs de services essentiels déjà définis.
L’article 8 du projet de loi vient préciser cette liste en y ajoutant les EPIC des secteurs hautement critiques employant au moins 250 personnes ou dont les produits d’exploitation excèdent 50 millions ou dont le total du bilan annuel excède 43 millions d’euros, les administrations et collectivités locales dont les activités s’inscrivent dans les secteurs hautement critiques ou critiques visées.
- Les entités importantes visent les entités dont l’activité relève soit des activités hautement critiques de l’Annexe I soit des autres activités critiques de l’Annexe II qui ne sont pas des entités essentielles, c’est-à-dire :
- Les entités de taille intermédiaire ou grande dont l’activité relève de l’Annexe II
- Les entités de taille moyenne dont les activités relèvent de l’annexe I ou de l’Annexe II
Les micro-entreprises et les petites entreprises ne sont en principe pas soumises aux obligations de la Directive NIS 2.
En vertu de l’article 10 du projet de loi, le Premier Ministre pourrait désigner des entités comme essentielle ou importante, quelle que soit sa taille, lorsque :
- L’entité est le seul prestataire sur le territoire national d’un service qui est essentiel au maintien du fonctionnement de la société et d’activités économiques critiques ;
- Une perturbation du service fourni par cette entité pourrait avoir un impact important pour la sécurité publique, la sûreté publique ou la santé publique ;
- Une perturbation du service fourni par cette entité pourrait induire un risque systémique important, notamment en cas d’impact transfrontalier ;
- L’entité est critique en raison de son importance spécifique au niveau national ou local dans le secteur donné ou pour d’autres secteurs interdépendants.
L’Agence Nationale de la sécurité des systèmes d’informations (ANSSI) met à disposition un outil permettant de faire un premier diagnostic [1].
Cet outil ne permet pas de se dispenser d’une analyse juridique détaillée, notamment des textes de transposition, mais sera certainement utile aux plus petits opérateurs non familiers de la lecture des directives européennes.
Il permet également aux prestataires et fournisseurs non directement concernés par la Directive NIS 2 de se renseigner sur le statut de leurs clients, et donc sur le risque de répercussion des obligations en cascade.
Quelles sont les obligations imposées aux entités essentielles et entités importante ?
La Directive NIS 2 prévoit un principe d’auto-désignation, qui implique que les entités visées doivent elles-mêmes s’enregistrer auprès de l’ANSSI en communiquant ses coordonnées (y compris les adresses électroniques et plages d’IP), le ou les secteur(s) et sous-secteur(s) concerné(s) et la liste des Etats membres dans lesquels elle fournit des services. Les entités visées devront donc tout d’abord s’enregistrer auprès de l’ANSSI en communiquant leurs noms, adresses et coordonnées actualisées, leurs secteurs d’activités et la liste des Etats membres de l’Union européenne dans lesquels sont fournis les services. Les modalités et délais de communication devraient être précisés dans un décret à venir.
Obligations de notification des incidents : les entités essentielles et importantes devront ensuite notifier, sans retard injustifié, tout incident ayant un impact important sur leurs services, c’est-à-dire tout incident :
- Ayant causé ou étant susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée ;
- Ayant affecté ou étant susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages immatériels, corporels ou moraux considérables.
Les entités essentielles et importantes devront également notifier, sans retard injustifié, aux destinataires de leurs services les incidents importants susceptibles de nuire à la fourniture de ces services ainsi que de communiquer aux destinataires de leurs services potentiellement affectés par une cybermenace importante toutes les mesures ou corrections que leurs clients peuvent appliquer en réponse à cette menace.
L’ANSSI pourra exiger une information du public de l’incident lorsque la sensibilisation du public sera nécessaire pour prévenir un incident important ou pour faire face à un incident important en cours, ou lorsque la divulgation de l’incident important est par ailleurs dans l’intérêt public.
Les critères d’appréciation des caractères importants et critiques des incidents devraient également être précisés dans un décret à venir.
Cependant, la Directive NIS 2 prévoit une notification en trois temps :
- Une alerte précoce dans les 24 heures de la découverte de l’incident important ;
- Une notification dans les 72 heures mettant à jour les informations et fournissant une évaluation initiale,
- La fourniture d’un rapport intermédiaire sur les mises à jour pertinentes,
- La fourniture d’un rapport final au plus tard 1 mois après la notification initiale.
Compte tenu de la brièveté des délais de réaction, il est essentiel d’identifier les acteurs et process au sein de chaque entité concernée, afin de fluidifier la notification des incidents (y compris le week-end ou les jours fériés).
Par ailleurs, la Commission a adopté un projet de règlement d’exécution relatif aux exigences techniques et méthodologiques liés aux mesures de gestion des risques, détaillant plus particulièrement les cas dans lesquels un incident est considéré comme important pour les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les fournisseurs de cloud, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux, et les prestataires de services de confiance.
Enfin, les modalités de cette obligation de notification, visée par l’article 17 du projet de loi, seront également précisées par décret.
Mise en place de mesures de gestion des risques : c’est le point essentiel des obligations de la Directive NIS 2. Ainsi, les entités essentielles et importantes devront mettre en place des mesures de gestion des risques en matière de cybersécurité. Il s’agit de mesures techniques, opérationnelles et organisationnelles pour « gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services ».
Ces mesures doivent permettre de garantir, pour les réseaux et les systèmes d’information, un niveau de sécurité adapté au risque existant, en tenant compte de l’état des connaissances, et proportionné au degré d’exposition de l’entité aux risques, de la taille de l’entité et de la probabilité de survenance d’incidents et de leur gravité, y compris de leurs conséquences sociétales et économiques.
L’article 21 de la Directive NIS 2 vise ainsi dix catégories de mesures, allant de la définition de politiques d’analyse des risques et de la sécurité des systèmes d’information, de la gestion des incidents, de la continuité des activités, de la sécurité de l’acquisition, du développement et de la maintenance des réseaux etc. à la sécurité de la chaîne d’approvisionnement et des ressources humaines.
Ces mesures devront être basées sur une « approche tous risques » visant à protéger les réseaux et systèmes d’information et leur environnement physique contre les incidents.
L’article 14 du projet de loi synthétise les objectifs de ces mesures comme :
- La mise en place d’un pilotage de la sécurité des réseaux et système d’informations, comprenant la formation à la cybersécurité de la direction et des personnes physiques exposées aux risques ;
- La protection des réseaux et systèmes d’informations, y compris en cas de sous-traitance ;
- La mise en place d’outils et de procédures de défense et de gestion des incidents ;
- La garantie de la résilience des activités.
Comme toute démarche de mise en conformité, la mise en œuvre de ces mesures passera par l’humain, à savoir la formation des dirigeants et la sensibilisation des ressources humaines, une cartographie des activités et services de l’entité, de son système d’information et de sa chaîne d’approvisionnement pour définir une cartographie des risques et anticiper les mesures de sécurité.
Le décret à venir devraient préciser les mesures à adopter pour atteindre ces objectifs en distinguant, conformément au principe de proportionnalité, entre les entités essentielles et les entités importantes. L’ANSSI a également déjà travaillé sur les mesures techniques à mettre en œuvre. L’ANSSI a, par ailleurs, d’ores et déjà annoncé que des délais seraient accordés pour la mise en œuvre des différentes mesures visées par la Directive NIS 2.
En pratique, les mesures visées par la Directive NIS 2 présentent de nombreux points communs avec des normes existantes, telles que la norme ISO27001 relative à la sécurité des systèmes d’information, que ce soit pour la gestion des risques, des incidents, les contrôles de sécurité, la conformité, l’amélioration continue, les audits réguliers et la sensibilisation et formation.
Rappelons que la Directive NIS 2 requiert de sécuriser la chaîne d’approvisionnement, ce qui impliquera tout d’abord de cartographier les prestataires et les fournisseurs intervenants dans la réalisation des activités ou la fourniture des services de l’entité puis de sécuriser les prestations correspondantes en s’assurant de la conformité de celles-ci aux exigences de la directive NIS 2 dans le cadre des contrats avec ceux-ci et de la possibilité de réaliser des audits.
Il convient d’insister sur la nécessité de documenter l’ensemble des mesures mises en place, afin de pouvoir en justifier en cas de contrôle des autorités compétentes, mais également vis-à-vis de ses partenaires, par exemple en cas d’audit prévu contractuellement entre les parties.
Quelles sanctions ?
La Directive NIS 2 prévoit tout d’abord une série de mesures de supervision, allant notamment des inspections et audits de sécurité aux demandes d’accès ou de preuves, et de mesures d’exécution, allant notamment de l’avertissement aux sanctions financières, en passant par les injonctions de mise en conformité. En vertu du principe de proportionnalité, ces mesures sont plus lourdes lorsqu’elles concernent des entités essentielles (article 32) que lorsqu’elles concernent des entités importantes (article 33). Il convient de noter que ces mesures pourront aller jusqu’à la suspension de la certification ou de l’autorisation d’une entité essentielle en l’absence d’adoption des mesures d’exécution.
Des amendes administratives substantielles pourront également être prononcées en cas de violation des dispositions de la directive NIS 2 (article 34). Plus particulièrement, en cas de violation des obligations relatives aux mesures de sécurité (article 23) ou de notification (article 23), les entités concernées pourront se voir infliger une amende pouvant aller jusqu’à :
- Pour les entités essentielles, au montant le plus élevé entre 10 millions d’euros et 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise à laquelle l’entité essentielle appartient ;
- Pour les entités importantes, au montant le plus élevé entre 7 millions d’euros et 1,4% du chiffre d’affaires annuel de l’exercice précédent de l’entreprise à laquelle l’entité essentielle appartient (article 37 du projet de loi).
Ces sanctions étant significatives, l’enjeu de la mise en conformité ne sera pas négligeable pour les entités concernées.
En conclusion : pourquoi anticiper les mesures de transposition ?
S’informer et agir en conséquence.
La démarche du juriste ou du dirigeant dans l’appréhension des obligations de la directive NIS2 n’est pas différente des autres démarches de mise en conformité (ou « compliance ») et dépasse la question de la mise en œuvre des sanctions, qui ne s’appliqueront en principe qu’une fois les textes transposés.
En effet, la première étape, qui consiste à s’informer sur ces nouvelles obligations, sur le champ d’application de la directive et à apprécier si son entreprise est directement ou indirectement concernée permet de prendre conscience quant à la criticité de ses activités en cas de cyberattaque.
La deuxième étape, qui consiste à cartographier ses activités ou ses clients et son système d’information, ne peut qu’être recommandée à tout acteur économique (avocat compris), et pas seulement aux entités visées par la Directive NIS 2. Cet exercice a plusieurs avantages :
- Permettre d’identifier les activités critiques à sécuriser le cas échéant ;
- Permettre de sécuriser ses clients si on est prestataire d’entités visées ;
- Adopter les mesures préconisées pour définir ses actions en matière de cybersécurité.
La tâche du juriste ou de l’avocat sera non seulement d’assister les entités ou prestataires concernés dans l’identification de leurs obligations directes ou indirectes, mais également d’assister ces entités ou prestataire dans le processus de notification des incidents de cybersécurité et de documentation des mesures de cybersécurité mises en œuvre, par exemple dans les contrats avec les prestataires ou les cahiers des charges des appels d’offres. Plus généralement, les référentiels de cybersécurité élaborés par l’ANSSI forment une base très utile dans la réflexion à la gestion des cybermenaces par tous les opérateurs, à laquelle les juristes et avocats doivent s’atteler pour leurs clients mais également pour leurs cabinets.
