La transformation numérique a entraîné une augmentation des cyberincidents. La mise en place d'un plan de cybersécurité est cruciale pour toute entreprise.
À partir d'octobre 2024, la directive européenne NIS2 deviendra une loi nationale en Belgique. Cette directive exige d'un plus grand nombre d'entreprises qu'elles se protègent mieux contre les cyberattaques. Qu'est-ce que cela signifie pour votre organisation ? Jetons un coup d'œil aux points clés :
1. Objectif du NIS2
- Le règlement NIS2 vise à renforcer la sécurité informatique des services essentiels, tels que l'énergie, les transports, la santé, l'industrie manufacturière, la finance, l'eau et les services numériques au sein de l'UE.
- Elle va au-delà des mesures technologiques et impose des principes de sécurité stricts et généralement acceptés ainsi que des mesures de gestion des risques.
2. Impact sur les entreprises
- Le NIS2 s'applique aux secteurs critiques, mais son impact sera plus large. Les entreprises qui ne sont pas directement couvertes par le NIS2 seront également touchées.
- S'applique aux moyennes et grandes entreprises (plus de 50 employés ou plus de 10 millions d'euros de chiffre d'affaires annuel).
- Les organisations qui coopèrent avec des entreprises couvertes par la directive NIS2 doivent prendre des mesures de sécurité similaires.
3. Les mesures
Les entités couvertes essentielles et clés doivent prendre des mesures appropriées et proportionnées pour gérer les risques qui pèsent sur la sécurité de leur réseau et de leurs systèmes d'information, et pour prévenir les incidents ou atténuer l'impact des incidents sur leurs bénéficiaires de services et sur d'autres services.
Ces mesures comprennent au moins
- analyse des risques et politique de sécurité des systèmes d'information
- traitement des incidents
- la continuité des activités, comme la gestion des sauvegardes et les plans d'urgence, et la gestion des crises
- la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité des relations entre chaque entité et ses fournisseurs directs ou prestataires de services la sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information, y compris la réponse aux vulnérabilités et leur divulgation
- les politiques et procédures permettant d'évaluer l'efficacité des mesures de gestion des risques liés à la cybersécurité
- les pratiques de base en matière d'hygiène cybernétique et la formation à la cybersécurité
- les politiques et procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement
- les aspects de sécurité concernant le personnel, la politique d'accès et la gestion des actifs
- le cas échéant, l'utilisation de solutions d'authentification multifactorielle ou d'authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes de communication d'urgence sécurisés au sein de l'entité
4. Amendes et responsabilité
Contrairement à son prédécesseur, le NIS1, les amendes et la responsabilité sont désormais également liées au NIS2.
Les infractions aux mesures de gestion des risques ou les rapports d'incidents peuvent être sanctionnés :
- pour les entités essentielles : amendes administratives pouvant aller jusqu'à 10 000 000 EUR ou au moins 2 % du chiffre d'affaires annuel mondial total réalisé au cours de l'exercice précédent par l'entreprise à laquelle appartient l'entité essentielle, le montant le plus élevé étant retenu.
- pour les entités importantes : amendes administratives pouvant aller jusqu'à 7 000 000 € ou au moins 1,4 % du chiffre d'affaires annuel mondial total réalisé au cours de l'exercice précédent par la société à laquelle appartient l'entité importante, le montant le plus élevé étant retenu.
Afin de sensibiliser les cadres supérieurs, les personnes physiques représentant des entités clés peuvent être tenues pour responsables du non-respect des obligations prévues par la présente directive.
N'attendez pas pour lancer un projet d'amélioration de la cybersécurité. Faites de la cybersécurité votre priorité également.
Pour plus d'informations sur NIS2, cliquez ici.
