NIS2 : ce que doit savoir une PME
En bref
La directive européenne NIS2 (2022/2555) étend les obligations de cybersécurité à des milliers d'entreprises de taille moyenne dans de nombreux secteurs. Même si votre PME n'est pas directement concernée, vos clients qui le sont vous demanderont de plus en plus de prouver votre niveau de sécurité. Un test d'intrusion régulier fait partie des preuves les plus parlantes.
Qui est concerné ?
NIS2 vise principalement les entreprises de taille moyenne et plus (en règle générale à partir de 50 salariés ou de 10 millions d'euros de chiffre d'affaires) qui opèrent dans des secteurs listés par la directive : énergie, transports, santé, eau, infrastructures numériques, services informatiques gérés, administration, alimentaire, industrie manufacturière, déchets, services postaux et bien d'autres. Certaines entités sont concernées quelle que soit leur taille.
Pour savoir si votre entreprise est concernée en France, l'ANSSI met à disposition un service en ligne, MonEspaceNIS2, qui permet de vérifier son statut. Les règles nationales précisent la directive : faites valider votre situation par un conseil si vous avez un doute.
Ce que NIS2 demande
La directive impose des mesures de gestion des risques (sécurité des systèmes, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, contrôle d'accès, chiffrement, formation) et demande aussi d'évaluer l'efficacité de ces mesures. Elle introduit une responsabilité accrue des dirigeants.
Le rôle du test d'intrusion
- Il prouve, de façon datée et signée, que vos mesures résistent à une attaque réaliste.
- Il fournit un plan d'action priorisé, utile pour piloter la conformité.
- Il répond aux questionnaires de sécurité de vos clients soumis à NIS2.
- Répété chaque année, il montre une amélioration continue.
Et si ma PME n'est pas concernée ?
Elle l'est souvent indirectement. Les entités soumises à NIS2 doivent gérer les risques liés à leurs fournisseurs : elles intègrent des clauses de sécurité dans leurs contrats et demandent des preuves. Anticiper avec un test de cybersécurité est un avantage commercial.