Directive NIS2 — Exigences européennes de cyberséc...

Vue d'ensemble

La directive NIS2 (directive 2022/2555) élargit considérablement les obligations de cybersécurité dans l'ensemble de l'Union européenne. L'article 21 impose explicitement la « cryptographie et le chiffrement » comme mesure de sécurité de base, faisant de la gestion des certificats et des clés un impératif réglementaire et non plus une simple bonne pratique.

La directive s'applique à environ 160 000 entités réparties dans 18 secteurs critiques, dont l'énergie, le transport, la banque, la santé, l'infrastructure numérique, l'administration publique, etc. Les organisations doivent mettre en œuvre des mesures complètes de gestion des risques, signaler les incidents significatifs sous 24 heures et garantir la sécurité de leur chaîne d'approvisionnement.

NIS2 introduit la responsabilité des dirigeants : la direction générale doit approuver et superviser les mesures de cybersécurité, et peut être tenue personnellement responsable en cas de manquement. Avec des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, les enjeux de la non-conformité sont considérables.

Exigences clés

Mesures de gestion des risques (art. 21)

Les entités doivent mettre en œuvre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques de cybersécurité pesant sur leurs réseaux et systèmes d'information.

Cryptographie et chiffrement (art. 21.2.h)

L'article 21(2)(h) impose explicitement le recours à la cryptographie et, lorsque cela est approprié, au chiffrement, comme mesure de cybersécurité de base pour toutes les entités essentielles et importantes.

Signalement d'incidents (24 h / 72 h)

Les incidents significatifs doivent être signalés au CSIRT dans un délai de 24 heures (alerte précoce), avec une notification complète sous 72 heures et un rapport final sous un mois.

Sécurité de la chaîne d'approvisionnement

Les organisations doivent traiter les risques de cybersécurité dans leurs chaînes d'approvisionnement et leurs relations avec les fournisseurs, incluant les exigences de sécurité applicables aux fournisseurs directs et prestataires de services.

Responsabilité des dirigeants

Les organes de direction doivent approuver les mesures de gestion des risques de cybersécurité, superviser leur mise en œuvre et peuvent être tenus personnellement responsables des manquements.

Continuité d'activité et gestion de crise

Les entités doivent mettre en œuvre des plans de continuité d'activité, des procédures de reprise après sinistre et des protocoles de gestion de crise pour garantir la résilience face aux incidents de cybersécurité.

Jalons clés

2020

Proposition

La Commission européenne propose NIS2 en décembre 2020 pour remplacer la directive NIS originale et élargir significativement son périmètre et ses pouvoirs d'application.

2022

Adoption

La directive (UE) 2022/2555 est formellement adoptée en décembre 2022, établissant des exigences harmonisées de cybersécurité dans 18 secteurs critiques.

2024

Échéance de transposition

Les États membres doivent transposer NIS2 en droit national d'ici le 17 octobre 2024. Les entités doivent commencer à se conformer aux nouvelles obligations.

2025 Actuel

Enregistrement des entités et premiers audits

Les entités essentielles et importantes s'enregistrent auprès des autorités nationales. Les premiers audits de conformité et actions de supervision démarrent dans les États membres.

2025 Application

Pleine application et sanctions

Régime d'application complet avec des sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu, pour les organisations non conformes.

Impact sur la PKI et les certificats

Avec la cryptographie et le chiffrement explicitement imposés par l'article 21, NIS2 place la PKI et la gestion des certificats au cœur de la conformité. Voici les domaines critiques :

Les obligations de chiffrement exigent une couverture complète

L'exigence explicite de cryptographie signifie que les organisations doivent assurer une couverture TLS/certificats complète sur tous les systèmes, incluant les communications internes et les données au repos.

L'hygiène des certificats comme mesure de gestion des risques

Les certificats expirés, mal configurés ou faibles représentent des risques de cybersécurité. Une gestion appropriée du cycle de vie des certificats constitue désormais une mesure démontrable de gestion des risques au titre de NIS2.

Validation des certificats dans la chaîne d'approvisionnement

Les exigences de sécurité de la chaîne d'approvisionnement s'étendent à la validation des certificats : mTLS pour les communications partenaires, vérification des certificats de signature de code et évaluations de la posture de certificats des fournisseurs.

Réponse aux incidents pour les compromissions de certificats

Les compromissions de certificats (fuites de clés privées, violations d'AC) sont des incidents à signaler. Les organisations ont besoin de capacités de révocation rapides et de procédures claires de réponse aux incidents liés à la PKI.

Evertrust & NIS2

Inventaire complet des certificats — Horizon découvre et inventorie tous les certificats à travers votre infrastructure, fournissant l'évaluation de la posture de chiffrement qu'exige l'article 21 de NIS2.

Renouvellement automatisé pour éviter les interruptions — Le renouvellement automatisé des certificats supprime les interruptions liées aux expirations, qui pourraient au titre de NIS2 déclencher des obligations de signalement d'incidents et engager la responsabilité des dirigeants.

Application des politiques pour les standards cryptographiques — Imposez des tailles de clé minimales, des algorithmes approuvés et des configurations de certificats sur l'ensemble de votre organisation pour répondre aux exigences cryptographiques de NIS2.

Surveillance et alertes en temps réel — Détectez les anomalies de certificats, les émissions non autorisées et les expirations imminentes en temps réel pour soutenir les exigences de détection d'incidents de NIS2.

PKI

CLM

Cas d'usage

Secteurs

Conformité

Apprendre

Outils & Analyses

Événements & Communauté

NIS2 Directive

En bref