NIS2 est une directive européenne sur la cybersécurité qui oblige les entreprises à renforcer leur résilience numérique. Même si votre organisation ne relève pas directement de la directive, il est judicieux de mettre en place les mesures de base : elles protègent votre site web, vos e-mails et les données clients contre les pannes et les abus. Cet article explique ce qu’implique NIS2, pour qui elle est pertinente et quelles démarches concrètes vous pouvez entreprendre.
Qu’est-ce que NIS2 ?
NIS2 est la directive révisée de l’Union européenne sur la sécurité des réseaux et de l’information. Son objectif est de mieux protéger les organisations contre les cybermenaces telles que les fuites de données, les rançongiciels et les interruptions de services numériques. La directive impose des exigences en matière de gestion des risques, de signalement des incidents et de responsabilité des dirigeants en matière de sécurité numérique.
Alors que la réglementation précédente visait surtout les grands secteurs critiques, le champ d’application de NIS2 est plus large. Cela signifie que davantage d’organisations sont concernées par des obligations en matière de cybersécurité, y compris les entreprises de taille moyenne et les fournisseurs de services essentiels.
Pour qui est-ce pertinent ?
Tous les entrepreneurs ne sont pas directement soumis aux obligations formelles de NIS2. Le fait que votre organisation soit concernée dépend de votre secteur et de votre taille. Pourtant, dans la pratique, la directive concerne bien plus d’entreprises qu’il n’y paraît à première vue :
- Les entreprises directement soumises à la directive doivent mener une politique démontrable en matière de cybersécurité.
- Les fournisseurs et partenaires de ces entreprises se voient souvent imposer des exigences par contrat, même s’ils ne relèvent pas eux-mêmes directement de la directive.
- Tout entrepreneur faisant des affaires en ligne profite des principes sous-jacents : un site web sécurisé, une messagerie protégée et un plan de reprise fonctionnel en cas d’incident.
En bref : même sans obligation légale, il est judicieux de mettre à niveau votre base numérique selon les principes de NIS2.
Quelles mesures sont liées à NIS2 ?
La directive demande une approche de la cybersécurité basée sur les risques. En pratique, cela se traduit par quelques éléments reconnaissables :
- Gestion des risques : identifier quels systèmes et données sont vulnérables, et adapter les mesures en conséquence.
- Sécurisation des accès : mots de passe robustes, authentification à deux facteurs si possible, et droits d’accès limités.
- Connexions chiffrées : utilisation de SSL/TLS pour les sites web et de protocoles sécurisés pour les e-mails.
- Sauvegardes et plan de reprise : des sauvegardes régulières et testées permettant une récupération rapide après un incident.
- Enregistrement des incidents : conserver une trace des pannes ou attaques afin d’en tirer des enseignements et de signaler si nécessaire.
- Responsabilité de la chaîne : prendre également en compte la sécurité des fournisseurs et prestataires.
Étapes concrètes pour votre site et votre hébergement
Pour les gestionnaires de sites et entrepreneurs, NIS2 se traduit surtout par une hygiène pratique en matière d’hébergement, d’e-mail et de gestion de domaine. Les étapes ci-dessous offrent un point de départ concret.
Dressez l’inventaire de votre environnement numérique
Notez quels sites web, domaines, boîtes e-mail et intégrations vous utilisez, et qui y a accès. Sans vue d’ensemble, la gestion des risques est impossible.
Vérifiez le SSL et les paramètres de sécurité
Assurez-vous que chaque site fonctionne par défaut en HTTPS et que les certificats sont renouvelés automatiquement. Avec un hébergement web incluant un SSL gratuit, vous n’avez pas à vous en soucier vous-même.
Sécurisez votre e-mail professionnel
Veillez à des enregistrements SPF, DKIM et DMARC corrects, afin de contrer le spoofing et le phishing via votre domaine. Cela fait partie d’un bon e-mail professionnel.
Mettez en place des sauvegardes automatiques
Veillez à ce que votre site et vos e-mails soient sauvegardés quotidiennement, et testez régulièrement qu’une restauration fonctionne réellement.
Vérifiez la gestion et la propriété du domaine
Assurez-vous que les noms de domaine sont enregistrés au nom de la bonne organisation, avec des coordonnées à jour et un verrouillage contre les transferts non désirés.
Formalisez les politiques et accords
Documentez qui est responsable de la sécurité, ce qui se passe en cas d’incident et comment vous évaluez vos fournisseurs en matière de sécurité numérique.
Dans le panneau de contrôle Plesk de votre hébergement, vous trouverez souvent directement des paramètres pour le SSL, les sauvegardes et la sécurité des e-mails, ce qui vous permet de vérifier ou d’activer rapidement ces mesures de base.
Questions fréquentes
Mon entreprise relève-t-elle automatiquement de NIS2 ?
Cela dépend de votre secteur et de la taille de votre organisation. En cas de doute, consultez un conseiller juridique ou votre fédération professionnelle pour une évaluation concrète.
NIS2 ne concerne-t-elle que les grandes entreprises ?
Non. Les petites entreprises faisant partie d’une chaîne avec des organisations plus grandes se voient souvent imposer des exigences via des contrats ou conditions d’achat.
Un certificat SSL et une sauvegarde suffisent-ils si je ne relève pas de la directive ?
C’est une bonne base, mais la gestion des risques, la sécurisation des accès et un processus de gestion des incidents font également partie d’une approche de sécurité mature, que vous soyez formellement obligé ou non.
Que se passe-t-il si je ne fais rien ?
Sans mesures de base, vous courez un risque accru de fuites de données, de pannes et d’atteinte à votre image, et il vous sera plus difficile de démontrer, en cas d’incident, que vous avez agi avec diligence.
Où puis-je poser des questions sur mon environnement d’hébergement ?
Pour toute question sur le SSL, les sauvegardes ou la sécurité des e-mails, consultez la base de connaissances ou contactez le support de votre hébergeur.
Conclusion
NIS2 consiste à maîtriser structurellement les risques numériques : savoir ce que vous possédez, sécuriser les accès et connexions, garantir des sauvegardes et un plan de reprise, et assumer la responsabilité de toute votre chaîne numérique. Même sans obligation directe, il est judicieux de mettre à niveau cette base pour votre site, vos e-mails et vos domaines.