Que demande la directive NIS 2 aux organisations

La directive NIS 2 vise à renforcer de manière homogène le niveau de cybersécurité et de résilience des entités considérées comme essentielles ou importantes. Pour les organisations concernées, elle impose une approche structurée combinant gouvernance, gestion des risques, contrôles de sécurité et capacité opérationnelle à faire face aux incidents.La première attente porte sur la gouvernance. Les rôles, responsabilités et circuits de décision doivent être clairement définis. Cela se traduit par des politiques applicables, un pilotage par la direction et des mécanismes de reporting permettant d’arbitrer les priorités. Sans cette base, les contrôles techniques restent fragmentés et difficiles à justifier.La gestion des actifs et des risques est centrale. L’organisation doit identifier ses systèmes, services et dépendances critiques, puis analyser les menaces et vulnérabilités associées. Cette analyse oriente la sélection des contrôles de sécurité et la préparation à la gestion des incidents, en cohérence avec les impacts métiers.La directive implique également une préparation opérationnelle. Les processus de gestion des incidents et des crises, la communication et, le cas échéant, la continuité d’activité doivent être organisés et testés. Les tests, la surveillance et les indicateurs fournissent les preuves de fonctionnement et soutiennent l’amélioration continue.Enfin, la conformité NIS 2 ne se limite pas à la documentation. Elle repose sur la capacité à démontrer un programme cybersécurité en fonctionnement, avec des décisions tracées, des contrôles appliqués et des résultats mesurés dans la durée.