NIS 2 : la cybersécurité change de dimension pour les entreprises

Cette époque est révolue.

Aujourd'hui, aucune organisation n'est réellement à l'abri. Une PME industrielle, un transporteur, une entreprise de maintenance, un fournisseur de solutions numériques ou une collectivité peuvent être victimes d'une attaque capable de bloquer leur activité pendant plusieurs jours, voire plusieurs semaines. Dans un contexte où les chaînes de production sont de plus en plus connectées, où les données circulent en permanence entre partenaires et où les infrastructures critiques reposent sur des systèmes numériques, une simple faille informatique peut avoir des conséquences bien réelles sur l'économie d'un territoire.

Un sujet qui a d'ailleurs été au cœur des échanges lors de la dernière Assemblée générale d'INCASE, organisée en juin dernier. À cette occasion, les entreprises adhérentes ont pu découvrir les grands principes de la directive européenne NIS 2 et mesurer les enjeux qu'elle représente pour le monde industriel. Une preuve supplémentaire que la cybersécurité est devenue une préoccupation partagée par l'ensemble des acteurs économiques, quel que soit leur milieu.
Face à cette évolution, l'Union européenne a décidé de changer d'échelle avec la directive NIS 2 (Network and Information Security 2). Bien plus qu'une nouvelle réglementation, ce texte marque une évolution profonde de la manière dont les entreprises devront désormais appréhender la cybersécurité : non plus comme une dépense informatique, mais comme un véritable enjeu stratégique.

Une réponse à une menace qui ne cesse de croître

Les chiffres parlent d'eux-mêmes. Chaque année, les cyberattaques gagnent en nombre, mais aussi en sophistication. Les groupes criminels disposent désormais de moyens comparables à ceux de véritables entreprises : ils développent leurs propres outils, proposent des services de rançongiciels "clé en main", ciblent leurs victimes avec précision et exploitent les failles de sécurité en quelques heures seulement après leur découverte.
Les conséquences dépassent largement le cadre informatique. Une cyberattaque peut interrompre une chaîne de production, empêcher une entreprise de facturer ses clients, bloquer une plateforme logistique ou rendre indisponibles des services essentiels à la population.

Ces dernières années, plusieurs attaques très médiatisées ont démontré que l'industrie figurait parmi les secteurs les plus exposés. Les sites de production automatisés, les systèmes de supervision industrielle, les infrastructures énergétiques ou encore les plateformes portuaires représentent aujourd'hui des cibles privilégiées. Lorsqu'une activité s'arrête, ce sont parfois des dizaines d'entreprises partenaires qui sont impactées en cascade.
C'est précisément cette interdépendance qui a conduit l'Union européenne à revoir entièrement sa stratégie de cybersécurité. La première directive NIS, adoptée en 2016, avait permis de poser les bases d'une coopération entre les États membres. Mais face à l'évolution des menaces, son périmètre était devenu insuffisant. La directive NIS 2 ambitionne donc de renforcer la résilience numérique de l'ensemble de l'économie européenne.

Une directive qui concerne beaucoup plus d'entreprises

L'un des principaux changements introduits par NIS 2 est l'élargissement considérable de son champ d'application.
Alors que la première version concernait principalement les opérateurs d'importance vitale et quelques fournisseurs de services numériques, la nouvelle directive vise désormais plusieurs milliers d'organisations supplémentaires dans toute l'Europe.
Sont notamment concernés les secteurs de l'énergie, des transports, de la santé, des télécommunications, de l'eau, du numérique, de la gestion des déchets, de l'administration publique, mais également une grande partie de l'industrie manufacturière et de la chimie.

Autrement dit, un grand nombre d'entreprises présentes sur le territoire de Caux Seine agglo pourraient être concernées, directement ou indirectement.
Même lorsqu'une entreprise n'entre pas officiellement dans le périmètre de NIS 2, elle peut être amenée à répondre aux exigences de ses donneurs d'ordre. Les grands groupes industriels exigent déjà de leurs fournisseurs un niveau élevé de cybersécurité afin de limiter les risques sur l'ensemble de leur chaîne d'approvisionnement.

Cette logique de chaîne est au cœur de la directive. Une entreprise parfaitement protégée reste vulnérable si l'un de ses prestataires constitue une porte d'entrée pour les cybercriminels.

La cybersécurité ne se résume plus aux équipes informatiques

Pendant de nombreuses années, la cybersécurité relevait essentiellement du service informatique. Les dirigeants intervenaient rarement dans ces questions très techniques.
NIS 2 change profondément cette approche.

La directive considère désormais que le risque cyber est un risque d'entreprise, au même titre qu'un risque industriel, environnemental ou financier. Les dirigeants devront être en mesure de démontrer qu'ils connaissent les risques auxquels leur organisation est exposée et qu'ils mettent en œuvre les moyens nécessaires pour les maîtriser.
Cette évolution est loin d'être symbolique.

Elle signifie que la cybersécurité devra être intégrée dans les décisions stratégiques, les investissements, la gestion des ressources humaines, les relations avec les fournisseurs ou encore les plans de continuité d'activité.
Les collaborateurs deviennent également des acteurs essentiels de cette stratégie. Car dans une grande majorité des incidents, la faille initiale n'est pas technologique : elle est humaine. Un courriel frauduleux ouvert par mégarde, un mot de passe insuffisamment sécurisé ou un téléchargement imprudent peuvent suffire à compromettre tout un système d'information.
Former, sensibiliser et accompagner les équipes devient donc une composante indispensable de la résilience numérique.

Prévenir plutôt que subir

Contrairement à certaines idées reçues, NIS 2 n'impose pas un catalogue de solutions techniques identiques pour toutes les entreprises.
Chaque organisation doit analyser ses propres risques et mettre en place des mesures adaptées à son activité.
Cela passe notamment par une meilleure gestion des accès informatiques, la sécurisation des réseaux, la sauvegarde régulière des données, la capacité à détecter rapidement une intrusion, mais aussi par la préparation à une éventuelle crise.
Car la véritable question n'est plus de savoir si une entreprise sera un jour confrontée à une tentative d'attaque.

La question est désormais de savoir comment elle réagira lorsque cela arrivera.
Disposer d'un plan de continuité d'activité, identifier les personnes à mobiliser, savoir communiquer avec ses partenaires ou restaurer rapidement ses systèmes deviennent des éléments déterminants pour limiter les conséquences économiques d'un incident.
Un enjeu majeur pour les territoires industriels
La Normandie fait partie des régions françaises les plus industrialisées. Raffineries, plateformes pétrochimiques, industries chimiques, agroalimentaires, logistiques ou énergétiques composent un tissu économique particulièrement stratégique.
À Caux Seine agglo, cette concentration d'activités fait la richesse du territoire, mais implique également une responsabilité particulière en matière de cybersécurité.

Les entreprises travaillent quotidiennement avec des dizaines de partenaires. Elles échangent des données techniques, pilotent des équipements à distance, supervisent des installations automatisées et s'appuient sur des prestataires spécialisés.
Dans un tel environnement, la sécurité numérique ne peut plus être pensée à l'échelle d'une seule entreprise. Elle devient un enjeu collectif.
Une cyberattaque visant un acteur de la chaîne industrielle peut rapidement avoir des répercussions sur plusieurs entreprises, ralentir des opérations de maintenance, perturber des livraisons ou retarder des productions.
La résilience du territoire dépend donc aussi de la capacité de chaque acteur à renforcer son propre niveau de protection.

Anticiper dès aujourd'hui

La transposition de la directive NIS 2 dans le droit français s'accompagnera progressivement d'obligations précises pour les organisations concernées.
Pour autant, attendre d'être officiellement notifié serait une erreur.
Les entreprises qui prennent dès aujourd'hui le temps d'évaluer leurs pratiques disposent d'une longueur d'avance. Réaliser un diagnostic, cartographier ses systèmes d'information, identifier les données sensibles, renforcer les procédures internes ou sensibiliser les collaborateurs constituent autant d'actions qui produisent des bénéfices immédiats, indépendamment de toute obligation réglementaire.
L'Agence nationale de la sécurité des systèmes d'information (ANSSI) met d'ailleurs à disposition des entreprises un service permettant de vérifier si elles sont susceptibles d'être concernées par NIS 2. Cette plateforme propose également de nombreuses ressources pour mieux comprendre les nouvelles exigences et préparer leur mise en œuvre.
Au-delà de la conformité, cette démarche participe à renforcer la confiance entre partenaires, clients et fournisseurs. Dans un environnement économique où les échanges numériques sont omniprésents, démontrer sa maturité en matière de cybersécurité devient progressivement un véritable avantage concurrentiel.

Une nouvelle culture de la cybersécurité

NIS 2 ne constitue pas uniquement un nouveau texte réglementaire. Elle traduit une évolution profonde des mentalités.

La cybersécurité n'est plus un sujet réservé aux experts informatiques. Elle concerne désormais la stratégie des entreprises, leur gouvernance, leur organisation et leur capacité à poursuivre leur activité dans un monde toujours plus connecté.
Pour les entreprises industrielles comme pour l'ensemble des acteurs économiques du territoire, cette évolution représente certes un défi, mais également une opportunité : celle de renforcer leur résilience, de sécuriser leurs relations avec leurs partenaires et de construire un environnement économique plus robuste face aux menaces numériques. 

Dans un contexte où la transformation digitale continue de s'accélérer, investir dans la cybersécurité revient finalement à investir dans la pérennité de son activité. Et c'est sans doute là le principal message porté par la directive NIS 2 : protéger les systèmes d'information, c'est désormais protéger l'entreprise elle-même.

Pour savoir si votre structure est concernée

L'ANSSI met gratuitement à disposition un service en ligne permettant aux entreprises, collectivités et organismes publics d'évaluer leur situation vis-à-vis de la directive NIS 2 et d'accéder à une documentation complète pour préparer leur mise en conformité.

À consulter :
https://messervices.cyber.gouv.fr/nis2
https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/