- NIS2 s'applique aux entités essentielles et importantes dans 18 secteurs — moyennes et grandes entreprises dans les domaines de l'énergie, des finances, de la santé, de l'infrastructure numérique, etc
- Principales obligations : 72 heures de compte rendu des incidents, cadres de gestion des risques, sécurité de la chaîne d'approvisionnement, gouvernance et responsabilisation au niveau des conseils
- HubSecure couvre: le module Incidents (ITIL + DFARS/CISA 72h), les cadres de risque QMS, le chiffrement post-quantique, les contrôles d'accès, la piste de vérification, la ligne de temps des preuves
- Utilisez la liste de contrôle ci-dessous pour cartographier vos lacunes actuelles par rapport aux exigences NIS2
Aperçu NIS2 : à qui et ce qu'il exige
La directive NIS2 (UE 2022/2555), qui est devenue applicable aux États membres en octobre 2024, a considérablement élargi le champ d'application et la gravité des exigences de l'UE en matière de cybersécurité par rapport à la directive NIS initiale.
Les NIS2 s'appliquent aux entités de 18 secteurs classés soit comme « essentiels » (énergie, transport, banque, infrastructure des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC, administration publique et espace) soit comme « importants » (services postaux et de messagerie, gestion des déchets, fabrication de certains produits, aliments, produits chimiques, fournisseurs numériques et recherche). Les moyennes entreprises (50 salariés ou plus) de ces secteurs ont une portée. Les grandes entreprises sont soumises à une surveillance plus stricte.
Sanctions en vertu de NIS2: Les entités essentielles sont passibles d'amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel global (selon le chiffre d'affaires le plus élevé). Les entités importantes sont passibles d'amendes allant jusqu'à 7 millions d'euros, soit 1,4 % du chiffre d'affaires mondial. Les organes de gestion peuvent être tenus personnellement responsables des manquements à la conformité — un changement important par rapport aux NIS1.
Les quatre piliers de la conformité aux NIS2 sont les suivants :
- Signalement des incidents: Les incidents importants doivent être signalés à l'autorité nationale compétente dans les 72 heures suivant leur prise de conscience. Un rapport final doit suivre dans un délai d'un mois.
- Gestion des risques: les entités doivent mettre en œuvre des mesures techniques et organisationnelles appropriées et proportionnées pour gérer les risques de cybersécurité, sur la base d'une évaluation formelle des risques.
- Sécurité de la chaîne d'approvisionnement : Les entités doivent s'attaquer aux risques de sécurité découlant des relations avec les fournisseurs et les fournisseurs de services, y compris les exigences en matière de sécurité dans les contrats.
- Gouvernance et responsabilisation : Les organismes de gestion doivent approuver et superviser les mesures de gestion du risque de cybersécurité. Les membres des organes de gestion doivent suivre une formation en cybersécurité.
Comment HubSecure couvre chaque exigence NIS2
1. Déclaration des incidents (fenêtre de 72 heures)
HubSecure's Incidents module est construit sur la gestion des incidents ITIL combiné avec les exigences de rapport 72 heures DFARS/CISA. Lorsqu'un incident important est identifié, le module lance automatiquement l'horloge de notification de 72 heures, assigne le propriétaire de l'incident et exécute le processus de notification, y compris le rapport initial à l'autorité nationale et le rapport final de suivi dans les 30 jours.
Chaque dossier d'incident comprend : la classification de l'incident, les biens touchés, le calendrier des mesures de découverte et d'intervention, la preuve des mesures de confinement et le registre de vérification complet de toutes les mesures prises pendant l'incident. Le calendrier des preuves fournit le dossier complet nécessaire au rapport final sans reconstruction manuelle.
2. Cadres de gestion des risques
Le module SGQ (Système de gestion de la qualité) de HubSecure fournit le cadre de gestion des risques requis par NIS2. Les registres des risques, les évaluations des risques, les plans de traitement des risques et les cycles d'examen périodique sont intégrés au flux de travail. Les propriétaires des risques sont désignés à partir du dossier client, et les mesures de traitement des risques sont suivies jusqu'à leur achèvement, les éléments de preuve étant saisis automatiquement.
Le processus d'évaluation des risques est conforme à la norme ISO 27005 et couvre l'exigence de NIS2 pour les mesures couvrant: les politiques sur l'analyse des risques et la sécurité des systèmes d'information, le traitement des incidents, la continuité des opérations, la sécurité de la chaîne d'approvisionnement, l'acquisition et la maintenance des réseaux et des systèmes d'information, la sécurité des ressources humaines et le contrôle de l'accès.
3. Sécurité de la chaîne d ' approvisionnement
NIS2 exige que les entités évaluent et gèrent les risques pour la sécurité des fournisseurs et des fournisseurs de services. HubSecure appuie cette démarche par le biais du workflow de gestion des fournisseurs dans le module QMS, qui comprend : les évaluations de la sécurité des fournisseurs liées aux dossiers contractuels, le suivi des exigences de sécurité par fournisseur et la saisie des preuves pour les cycles d'examen des fournisseurs.
Le chiffrement post-quantique de la suite de chiffrement HydraShield de HubSecure répond également directement à l'exigence de NIS2 de considérer « la sécurité des systèmes de réseau et d'information », y compris la protection contre les menaces futures comme l'informatique quantique.
4. Gouvernance et responsabilité
NIS2 exige que les organismes de gestion approuvent les mesures de gestion des risques de cybersécurité et soient responsables de la conformité. La piste de vérification et les données probantes de HubSecure fournissent les preuves de gouvernance nécessaires pour démontrer que la surveillance de la gestion est en cours : les flux de travail d'approbation sont consignés avec l'identité et l'horodatage d'approbation, les examens d'évaluation des risques sont attribués à des rôles précis de gestion, et l'historique complet des décisions de gouvernance est disponible pour examen réglementaire.
Le système de contrôle d'accès fondé sur le rôle garantit que les responsabilités en matière de gouvernance sont attribuées à des rôles spécifiques et que l'accès à des fonctions sensibles est limité au personnel autorisé, ce qui crée les preuves de contrôle d'accès nécessaires aux NIS2.
Liste de contrôle de conformité NIS2
Gestion des incidents
Gestion des risques
Sécurité de la chaîne d'approvisionnement
Gouvernance et responsabilité
Note importante: HubSecure fournit les capacités techniques et opérationnelles requises par NIS2, mais la conformité NIS2 nécessite également des mesures juridiques et organisationnelles spécifiques à chaque entité. Nous vous recommandons de travailler avec un conseiller qualifié NIS2 pour compléter votre programme de conformité. HubSecure soutient la couche de conformité technique, et non l'analyse complète de conformité juridique.
Parlez à notre équipe de conformité
Nous vous expliquerons comment HubSecure cartographie vos obligations NIS2 spécifiques et identifierons les lacunes dans votre configuration actuelle.
Réserver un examen de conformitéPostes connexes
Preuve par défaut : Comment la création automatique de preuves remplace l'audit Scrambles · Pourquoi les entreprises réglementées ont besoin de l'IA, pas seulement de l'IA · cryptage post-Quantum: Pourquoi vos données d'entreprise en ont besoin maintenant · Pourquoi les entreprises européennes devraient cesser d'envoyer des données client via US Cloud Outils