Les cybercriminels peuvent pénétrer dans 93 % des réseaux d'entreprise. Il n'est donc pas surprenant que l'Europe ait créé la nouvelle directive NIS2. Cette directive sur la sécurité vise à renforcer la cybersécurité et la résilience des entreprises essentielles de l'UE. Il y a quelque temps, nous avons écrit un blog sur l'essence de NIS2. Entre-temps, on en sait plus sur la nouvelle directive. Par exemple, le gouvernement néerlandais a indiqué qu'il ne respecterait pas le délai fixé pour la législation NIS2. Curieux de connaître les derniers développements ? Alors lisez vite !
Aviez-vous entendu parler de la ligne directrice NIS2 il y a un an ? Votre organisation y travaillait-elle activement à l'époque ? Il y a de fortes chances que la réponse soit "non", mais c'était le cas de la plupart des organisations à l'époque. Entre-temps, la directive sur la cybersécurité fait régulièrement la une de l'actualité. Ces articles vous ont-ils échappé ? Nous récapitulons brièvement pour vous les principaux éléments de base de la NIS2 :
Bon à savoir : de nombreuses mesures NIS2 font partie des mesures de sécurité de l'information de base que votre organisation applique probablement déjà. Ces mesures sont également incluses dans d'autres normes (inter)nationales, telles que ISO27001.
Vous voulez en savoir plus sur la ligne directrice NIS2, sur vos obligations et sur les personnes concernées ? Vous pouvez lire ces informations ici.
Que signifie la ligne directrice NIS2 pour les Pays-Bas ? Comme nous l'avons brièvement évoqué plus haut, les États membres de l'Union européenne auront jusqu'au 17 octobre 2024 pour transposer la ligne directrice NIS2 dans leur législation nationale. Fin février, le ministre sortant de la Justice et de la Sécurité, Dilan Yeşilgöz-Zegerius, a fait savoir que les Pays-Bas ne respecteraient pas ce délai. La raison ? Le processus législatif est plus complexe que prévu.
C'est l'une des raisons pour lesquelles, en tant qu'organisation "importante" ou "essentielle", vous devriez considérer cela comme un signal de ne pas rester les bras croisés : la complexité. Le ministre sortant Yeşilgöz invite également les organisations à poursuivre leurs préparatifs. Il vaut mieux commencer aujourd'hui et maintenir le rythme, car les bonnes préparations prennent du temps.
De nombreuses entreprises néerlandaises n'ont "aucune idée" de ce qui les attend. Selon Samen Digitaal Veilig, la nouvelle directive européenne concerne plus de 50 000 entreprises néerlandaises. Seule une petite minorité est au courant des nouvelles exigences. Cela pourrait avoir des conséquences majeures pour les entreprises néerlandaises. Des milliers d'entreprises risquent de perdre des clients si elles commencent à travailler sur la mise en œuvre de NIS2 trop tard. L'Allemagne, en particulier, montre la voie et attache une grande importance à la conformité.
Une raison supplémentaire de commencer à travailler sur la législation NIS2 (si vous en aviez encore besoin)... Au niveau international, la législation européenne est tout simplement mise en œuvre comme prévu. N'attendez donc pas si votre organisation a des bureaux ou des clients internationaux.
Selon Thierry van Delden, Compliancy & Privacy Offer chez Infoland, anticiper la directive NIS2 n'est pas seulement une question de volonté de se conformer à une nouvelle législation. "La conformité est une étape stratégique pour s'armer correctement en tant qu'organisation contre les cybermenaces. Et même si le niveau de votre cybersécurité est aussi bon qu'il l'est, si vous tombez sous le coup de la directive NIS2, vous devrez prendre beaucoup de mesures supplémentaires".
Pensez à mettre en place les politiques et les procédures avec lesquelles vous concrétisez l'obligation de déclaration, mais aussi l'identification et la sauvegarde des risques. Il ne s'agit pas seulement des risques de sécurité au sein de votre propre organisation - la ligne directrice NIS2 décrit clairement que vous devez également assurer la sécurité au sein de votre chaîne de fournisseurs.
Les mesures à prendre lorsque la directive entrera en vigueur dépendent du label attribué à votre organisation : "essentiel" ou "important". Ces labels n'étaient pas encore inclus dans l'ancienne directive NIS de 2016.
Le nombre de secteurs a été élargi, car les cyberattaques sont beaucoup plus nombreuses aujourd'hui qu'en 2016.Par exemple, le Centre national de cybersécurité (NCSC) indique que plus de 10 000 cyberincidents ont été signalés entre mars 2022 et février 2023. La ligne directrice du NIS devait donc être renforcée, les labels "essentiel" et "important" aidant.
Les organisations essentielles au fonctionnement de la société néerlandaise sont qualifiées d '"essentielles". Si une telle organisation était paralysée à la suite d'une cyberattaque, cela aurait un impact sérieux sur le pays. Prenons l'exemple des centrales électriques, des aéroports, des banques ou des hôpitaux.
Si les organisations qualifiées d'"importantes" devaient abandonner, cela n'aurait peut-être pas d'impact direct sur la société, mais cela pourrait avoir un impact majeur sur nos vies et sur l'économie néerlandaise. Des exemples d'organisations "importantes" sont les fournisseurs de télécommunications ou d'Internet, les services postaux et de colis ou les entreprises de gestion des déchets.
"Les organisations essentielles ou clés seront bientôt soumises aux mêmes exigences en matière de gestion de la cybersécurité ; elles ont toutes un devoir de diligence", déclare Thierry. "La principale différence entre les deux labels est le niveau de contrôle de la conformité.
Ainsi, lorsque vous ne respectez pas les règles en tant qu'organisation essentielle, les conséquences sont plus importantes. Par exemple, vous risquez des amendes d'au moins 10 millions d'euros ou 2 % de votre chiffre d'affaires annuel. Vous ne respectez pas les lignes directrices NIS2 en tant qu'entreprise clé ? Dans ce cas, vous risquez une amende pouvant atteindre 7 millions d'euros ou 1,4 % de votre chiffre d'affaires annuel mondial.
Une connaissance insuffisante de la nouvelle directive pourrait coûter cher aux entreprises néerlandaises. Pour éviter cela, Digital Secure Together (SDV) a été créé. Grâce à cette collaboration, 63 organisations sectorielles et parapluies se donnent la main. L'objectif de SDV est d'aider les fournisseurs des organisations NIS2 à mettre de l'ordre dans leur cybersécurité. Selon SDV, vous ne pouvez plus attendre pour vous lancer dans le NIS2. Selon eux, les Pays-Bas font partie des pays en retard. Un effort concerté s'impose !
Le gouvernement central conseille également aux organisations de prendre des mesures pour mieux assurer la continuité des processus d'entreprise. Il s'agit en partie des mesures incluses dans la législation NIS2 en tant que devoir de diligence et de notification.
Bien que Zenya ne soit pas une solution de sécurité, notre logiciel peut effectivement aider votre organisation à sécuriser les mesures. Zenya RISK peut être utilisé pour cartographier vos risques de cybersécurité. Il vous permet de les identifier, de les contrôler, de les surveiller et de les démontrer facilement. Zenya CHECK vous permet d'auditer les fournisseurs clés pour vérifier leur conformité avec la directive NIS2. La mesure dans laquelle vous devrez le faire dépend du label dont relèvent votre organisation et vos fournisseurs (essentiel ou important).
Nos experts sont heureux de travailler avec vous sur la façon dont vous pouvez appliquer Zenya à la sécurité de l'information.
Demandez la brochure pour avoir toutes les informations à portée de main.
Vous voulez voir ce que Zenya peut faire pour votre organisation ? Demandez une démonstration gratuite.
Contactez nos experts sans engagement. Nous serons heureux de réfléchir avec vous.
