La directive NIS 2 fait évoluer l’approche européenne de la cybersécurité. Elle élargit le périmètre des organisations concernées et encourage une gestion des risques plus structurée, de la prévention à la réponse aux incidents.
Mais que signifie concrètement cette évolution pour les entreprises, les collectivités et les organisations qui exploitent des sites, des équipements ou des systèmes sensibles ? Qui peut être concerné ? Quelles démarches faut-il anticiper ? Et quelle place la sécurité physique doit-elle prendre dans cette réflexion ?
SPAC Alliance : une approche européenne de la sécurité
Fondée en 2020, SPAC Alliance réunit des acteurs de la sécurité physique et logique autour d’une vision commune : favoriser des solutions de sécurité fiables, interopérables et adaptées aux nouveaux enjeux européens.
L’alliance travaille notamment sur la standardisation, la certification, la diffusion de connaissances et l’accompagnement des professionnels face aux évolutions réglementaires. ELSYLOG figure parmi les membres fondateurs de SPAC Alliance.
Les ressources de SPAC Alliance, dont le guide pédagogique consacré à la NIS 2, abordent la résilience des organisations et les interactions entre la sécurité numérique et la sécurité des sites.
La NIS 2, de quoi parle-t-on ?
NIS 2 — pour Network and Information Security 2 — est une directive européenne destinée à élever le niveau global de cybersécurité dans l’Union européenne. Elle s’inscrit dans un contexte de menace croissante et vise un périmètre plus large que la précédente directive NIS 1.
Son approche repose notamment sur :
- une extension du nombre de secteurs et d’organisations concernés ;
- des mesures de gestion des risques adaptées à la criticité de l’entité ;
- une attention renforcée portée à la chaîne d’approvisionnement et aux prestataires ;
- une coopération accrue entre les autorités et les organismes de réponse aux incidents ;
- une responsabilisation plus importante de la gouvernance des organisations.
La NIS 2 ne se résume donc pas à un sujet informatique. Elle invite à examiner les dépendances, les accès, les équipements, les processus et la capacité de l’organisation à continuer son activité en cas d’incident.
Qui peut être concerné ?
Le périmètre dépend de l’activité exercée, du secteur, de la taille de l’entité et de certaines situations particulières. La directive distingue principalement deux catégories :
- les entités essentielles, qui relèvent des activités et secteurs les plus critiques ;
- les entités importantes, qui appartiennent à des secteurs concernés sans relever de la catégorie essentielle.
Les secteurs couverts comprennent notamment l’énergie, les transports, la santé, l’eau potable et les eaux usées, les infrastructures numériques, les services TIC, les administrations publiques, l’espace, le secteur bancaire, les infrastructures de marchés financiers, la fabrication, les fournisseurs numériques, la gestion des déchets, l’agroalimentaire, les services postaux et la recherche.
L’appartenance à un secteur ne suffit pas toujours à déterminer le statut exact. Les critères de taille, les activités réellement exercées et les exceptions prévues par les textes doivent être examinés. Une organisation doit donc vérifier sa situation auprès des ressources officielles et de l’autorité nationale compétente.
Quelles sont les principales attentes ?
Sans remplacer l’analyse de la situation propre à chaque organisation, trois axes peuvent être retenus pour commencer :
Évaluer et réduire les risques
L’organisation doit identifier les risques qui pèsent sur ses réseaux, ses systèmes d’information, ses données, ses activités et son écosystème. Cette démarche peut conduire à revoir les mesures de prévention, de détection, de protection et de reprise.
Organiser la gouvernance et les responsabilités
La sécurité numérique concerne la direction, les équipes opérationnelles, les utilisateurs et les prestataires. Les rôles, les règles, les plans d’action et les modalités de suivi doivent être suffisamment clairs pour être appliqués dans la durée.
Préparer la réponse aux incidents
Les entités concernées doivent être en mesure de détecter, traiter et notifier les incidents importants selon les modalités applicables. La préparation passe notamment par des procédures connues, des contacts identifiés, des sauvegardes et des exercices adaptés.
Pourquoi parler de contrôle d’accès physique dans un sujet cyber ?
Un système d’information ne fonctionne pas dans un environnement abstrait. Il est installé dans des bâtiments, des locaux techniques, des salles informatiques et des zones dont l’accès doit être maîtrisé.
Un accès physique non autorisé peut exposer des équipements, permettre une manipulation ou contourner certaines mesures numériques. À l’inverse, un contrôle d’accès bien pensé contribue à limiter l’accès aux zones sensibles, à appliquer des règles adaptées aux profils et à conserver une traçabilité utile.
La sécurité physique ne remplace pas les mesures de cybersécurité. Elle en constitue un niveau complémentaire, à articuler avec la gouvernance, la gestion des identités, la protection des réseaux, la surveillance, la formation et la continuité d’activité.
Cette approche « de bout en bout » est au cœur du guide pédagogique partagé par SPAC Alliance : comprendre les textes, identifier les risques, prendre en compte les interactions entre menaces physiques et logiques et construire une démarche proportionnée.
Par où commencer ?
Pour préparer une première évaluation, une organisation peut se poser quelques questions :
- Quelles activités et quels services sont réellement critiques pour notre fonctionnement ?
- Quels systèmes, locaux, équipements et accès les supportent ?
- Qui peut accéder aux zones sensibles, et selon quelles règles ?
- Que se passe-t-il si un équipement, un site ou un prestataire devient indisponible ?
- Les responsabilités et les contacts sont-ils connus en cas d’incident ?
- Les mesures prévues sont-elles testées, suivies et améliorées ?
La réponse dépendra du secteur, de la taille, de la criticité et du cadre national applicable. La NIS 2 constitue un cadre de travail, pas une certification unique ni une garantie automatique de conformité.
Pour aller plus loin
SPAC Alliance met à disposition un guide pédagogique consacré à la NIS 2 et aux enjeux de résilience cyber. Il aborde notamment :
- les organisations et secteurs potentiellement concernés ;
- les catégories d’entités essentielles et importantes ;
- l’analyse des risques physiques et logiques ;
- la gestion des accès et des zones sensibles ;
- la chaîne d’approvisionnement ;
- la préparation et la déclaration des incidents ;
- les ressources et organismes à consulter.
La NIS 2 doit être abordée comme une démarche progressive : comprendre son périmètre, identifier les activités et les systèmes critiques, évaluer les risques, clarifier les responsabilités et préparer la réponse aux incidents.
Pour approfondir ces notions, téléchargez le guide pédagogique de SPAC Alliance depuis le site ELSYLOG et consultez les ressources officielles de l’ANSSI consacrées à la NIS 2.