La cybersécurité, priorité de l’Union européenne

Depuis plus de 10 ans, l’Union européenne structure sa stratégie cyber pour favoriser la coopération entre les États membres et renforcer leurs capacités.

En effet, dans un monde où le numérique est devenu omniprésent, les menaces se multiplient et la cybersécurité est compromise : vols de données, espionnage des utilisateurs, désactivations, manipulations, chantage… les attaques visent à la fois des personnes, des organisations, des pays. Elles détériorent l’équilibre et la stabilité des territoires et peuvent nuire à l’État de droit, aux droits de l’homme et aux valeurs démocratiques.

Pour contrer ces dérives, la stratégie de l’UE comporte trois axes :

• la résilience, la souveraineté technique et le leadership,
• la capacité opérationnelle de prévenir, de décourager et d’intervenir,
• la coopération pour faire progresser un cyberespace mondial et ouvert.

L’objectif est de réduire la surface d’attaque des systèmes et des réseaux d’information tout en augmentant le niveau global de sécurité de l’ensemble des acteurs. C’est dans ce cadre que la directive NIS 2 (Network and Information Security, directive (UE) 2022/2555) est entrée en vigueur en janvier 2023. Chaque État membre devait la transposer en droit national au plus tard le 17 octobre 2024.

En France, au 30 septembre 2026, la loi de transposition n’est pas encore adoptée : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025, et son examen en séance publique à l’Assemblée nationale est annoncé à partir du 7 octobre 2026. Restent ensuite le vote définitif, la promulgation et les décrets d’application.

Dans la lignée de la directive NIS 1, NIS 2 élargit son champ d’application et impose à un grand nombre d’entités et de secteurs de mettre en place un cadre complet de gestion des risques. En 2024, les estimations évoquaient près de 600 types d’entités regroupant plus de 10 000 ETI et groupes du CAC40, répartis en 18 secteurs ; le périmètre exact dépendra de la loi française. Ces secteurs sont répartis en deux annexes :

• les secteurs hautement critiques (annexe I), dont une perturbation significative impacterait sérieusement la santé, la sécurité, l’économie ou le fonctionnement social de l’UE ou de ses États membres (eau potable, santé, transports, énergie, banques et infrastructures de marchés financiers…) ;
• les autres secteurs critiques (annexe II), qui ont une portée économique ou sociétale notable (gestion des déchets, alimentation, fabrication, services postaux…).

Selon sa taille et son secteur, une entité concernée est classée « essentielle » ou « importante ».

NIS 2 impose à ces acteurs de garantir un niveau de sécurité de base sur toute la chaîne d’approvisionnement, incluant fournisseurs et sous-traitants, et à déclarer rapidement les incidents susceptibles d’avoir un impact sur la continuité ou la qualité de leurs services. La directive prévoit des sanctions en cas de non-conformité et rend les organes de direction responsables des mesures de gestion des risques cyber.

Dans l’attente de l’aboutissement du processus législatif et de la précision des exigences, certains se diront qu’il est urgent d’attendre… les organisations ont pourtant tout à gagner à anticiper : s’engager dans une démarche de cybersécurité aujourd’hui, c’est en effet réduire son risque cyber et éviter de subir la réglementation demain.

Les nombreuses PME et ETI pour qui l’acculturation à la cybersécurité est encore balbutiante peuvent se faire accompagner pour initier une démarche d’amélioration continue. Sensibiliser leur direction et leurs collaborateurs, mener une analyse de risque pour évaluer sa menace et ses risques, maintenir leur infrastructure au niveau recommandé par l’ANSSI, recenser et formuler les exigences envers leurs fournisseurs, sont des exemples concrets permettant de gagner en maturité cyber et donc de se préparer à NIS 2. Pour être accompagnés, contactez-nous !

Pour savoir si votre entreprise est concernée par la directive NIS 2, faites notre test indicatif ou consultez MonEspaceNIS2, le service en ligne de l’ANSSI.