NIS2 : l’Europe tape du poing sur la table – êtes-vous prêts ?

Imaginez : vous préparez un dîner depuis des mois, mais vos invités oublient de venir. C’est un peu ce qui se passe avec la directive NIS2. La Commission européenne, fatiguée d’attendre, a décidé de passer à l’action. Le 25 octobre 2024, elle a saisi la Cour de justice de l’UE contre l’Irlande, l’Espagne, la France et les Pays-Bas pour n’avoir pas notifié la transposition complète de cette directive clé sur la cybersécurité. Résultat ? Les entreprises de ces pays risquent de naviguer dans un flou juridique, avec des sanctions potentielles à la clé.

Pourquoi cette directive est-elle cruciale ?

La directive NIS2 (Network and Information Security 2) vise à renforcer la cybersécurité dans l’UE. Elle impose aux États membres de se doter de lois nationales alignées sur des normes communes. Sans transposition, c’est le grand bazar : les entreprises ne savent pas exactement ce qu’elles doivent faire, et les autorités peinent à appliquer des règles cohérentes. Bref, c’est comme si on vous demandait de conduire sans code de la route.

Les quatre mousquetaires… en retard

L’Irlande, l’Espagne, la France et les Pays-Bas sont donc dans le viseur. Pourtant, le délai de transposition était fixé au 17 octobre 2024. Passé cette date, la Commission a envoyé des lettres de mise en demeure, puis des avis motivés. Aujourd’hui, elle passe à la vitesse supérieure. Pour les entreprises basées dans ces pays, l’incertitude règne : doivent-elles déjà se conformer à des projets de loi ? Attendre ? Risquer des sanctions ?

Et si vous êtes concerné ?

Si votre entreprise opère dans l’un de ces États membres, ne restez pas les bras croisés. Même sans loi nationale, les principes de NIS2 peuvent déjà influencer vos obligations contractuelles ou vos audits. Mieux vaut anticiper que subir. Voici une checklist pour vous préparer.

Checklist de conformité NIS2

Voici les actions clés à mener dès maintenant, quel que soit le retard de votre pays.

• Identifier les actifs critiques (données, systèmes, réseaux).
• Mettre en place des mesures de sécurité proportionnées (chiffrement, contrôle d’accès, sauvegardes).
• Désigner un responsable de la cybersécurité (CISO ou équivalent).
• Établir un processus de signalement des incidents (délai de 24h pour les alertes précoces).
• Former régulièrement les employés aux risques cyber.
• Auditer vos fournisseurs et sous-traitants (sécurité de la chaîne d’approvisionnement).

Pour le texte officiel de la directive, consultez EUR-Lex.

Que risque-t-on en cas de non-conformité ?

Les sanctions prévues par NIS2 peuvent être salées : amendes allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Sans transposition nationale, ces montants ne sont pas encore applicables, mais les autorités pourraient s’appuyer sur d’autres textes (RGPD, par exemple) pour verbaliser. Mieux vaut ne pas tenter le diable.

Et maintenant ?

La balle est dans le camp des États membres. La procédure devant la Cour de justice peut prendre des mois, voire des années. En attendant, les entreprises ont tout intérêt à se préparer. Ne faites pas comme ces invités qui oublient le dîner : soyez prêts avant que l’on frappe à votre porte.