PME - Les formulaires
12 octobre 2025
Parce que... c'est l'épisode 0x661!
Spécial - L'importance d'un product manager
13 septembre 2025
Parce que... c'est l'épisode 0x660!
Actu - 10 novembre 2025
10 novembre 2025
Parce que... c'est l'épisode 0x659!
Spécial - Si demain, tout tombait
15 septembre 2025
Parce que... c'est l'épisode 0x658!
Teknik - La guerre Red Team vs EDR - l’aspect business et non technique du problème
29 octobre 2025
Parce que... c'est l'épisode 0x657!
Teknik - Double-Tap Campaign - Russia-nexus APT possibly related to APT28 conducts cyber espionage on Central Asia and Kazakhstan diplomatic relations
13 octobre 2025
Parce que... c'est l'épisode 0x656!
Actu - 2 novembre 2025
02 novembre 2025
Parce que... c'est l'épisode 0x655!
Teknik - Dans le feu des tranchés, opérer le SOC au Hackfest
23 octobre 2025
Parce que... c'est l'épisode 0x654!
PME - NotPetya, l'histoire des dommages collatéraux
17 septembre 2025
Parce que... c'est l'épisode 0x653!
Le monde selon Cyber Citoyen et Polysécure collab no9
22 octobre 2025
Parce que... c'est l'épisode 0x652!
Actu - 26 octobre 2025
26 octobre 2025
Parce que... c'est l'épisode 0x651!
Teknik - The Overlooked Playground - An Attacker’s Journey Through GCP
13 septembre 2025
Parce que... c'est l'épisode 0x650!
PME - Balayage de vulnérabilités vs test d'intrusion avec des ninjas
17 septembre 2025
Parce que... c'est l'épisode 0x649!
Spécial - Entretiens avec Miguel De Bruycker du Centre pour la Cybersécurité Belgique
14 octobre 2025
Parce que... c'est l'épisode 0x648!
Actu - 19 ocotbre 2025
19 octobre 2025
Parce que... c'est l'épisode 0x647!
Spécial - Structurer l'expatriation
07 juillet 2025
Parce que... c'est l'épisode 0x646!
Teknik - Browser Detection and Response
10 juillet 2025
Parce que... c'est l'épisode 0x645!
PME - Les certifications
17 septembre 2025
Parce que... c'est l'épisode 0x644!
Actu - 12 octobre 2025
12 ocotbre 2025
Parce que... c'est l'épisode 0x643!
Teknik - Tendance pour terminer 2025
01 octobre 2025
Parce que... c'est l'épisode 0x642!
PME - La sécurité, trop cher?
17 septembre 2025
Parce que... c'est l'épisode 0x641!
Teknik - BloodHound et OpenGraph
13 septmbre 2025
Parce que... c'est l'épisode 0x640!
Actu - 5 octobre 2025
05 octobre 2025
Parce que... c'est l'épisode 0x639!
Spécial - Responsabilité IA
22 mai 2025
Parce que... c'est l'épisode 0x638!
PME - Petit quiz PME ou que ce que vous avez toujours voulu savoir
26 juillet 2025
Parce que... c'est l'épisode 0x637!
Le monde selon Cyber Citoyen et Polysécure édition GoSec (collab no8)
11 septembre 2025
Parce que... c'est l'épisode 0x636!
Actu - 28 septembre 2025
28 septembre 2025
Parce que... c'est l'épisode 0x635!
Spécial - Reconversion en cybersécurité
22 juillet 2025
Parce que... c'est l'épisode 0x634!
PME - Protection des renseignements personelles
26 juillet 2025
Parce que... c'est l'épisode 0x633!
Actu - 21 septembre 2025
21 septembre 2025
Parce que... c'est l'épisode 0x632!
Spécial - Les boeufs sont lents mais la terre est patiente (Panel au BSides Montréal 2025)
13 septembre 2025
Parce que... c'est l'épisode 0x631!
Spécial - Hommage à Michel Cusin
13 septembre 2025
Parce que... c'est l'épisode 0x630!
Actu - 14 septembre 2025
14 septembre 2025
Parce que... c'est l'épisode 0x629!
PME - Questions sur l'IA
26 juillet 2025
Parce que... c'est l'épisode 0x628!
Teknik - Sécurité physique
18 juin 2025
Parce que... c'est l'épisode 0x627!
Actu - 7 septembre
07 septembre 2025
Parce que... c'est l'épisode 0x626!
PME - Programme FORCE (cybersécurité) de l'UQTR destiné aux PME
03 septembre 2025
Parce que... c'est l'épisode 0x625!
Teknik - Résilience OT
12 juin 2025
Parce que... c'est l'épisode 0x624!
Actu - 1er septembre 2025
01 septembre 2025
Parce que... c'est l'épisode 0x623!
Teknik - CTI
12 juin 2025
Parce que... c'est l'épisode 0x622!
Spécial - Être freelance à l'international
26 mai 2025
Parce que... c'est l'épisode 0x621!
Spécial - L'enflure des titres sur LinkedIn
02 mai 2025
Parce que... c'est l'épisode 0x620!
Conspiration Cyber Citoyen au 13 août 2025
13 août 2025
Parce que... c'est l'épisode 0x619!
Spécial - NIS2
18 juin 2025
Parce que... c'est l'épisode 0x618!
Parce que… c’est l’épisode 0x618!
Préambule
Shameless plug
- 10 et 11 septembre 2025 - GoSec 2025
- Code rabais de 15% - GSPOL25
- 13 septembre 2025 - BSides Montreal 2025
- 12 au 17 octobre 2025 - Objective by the sea v8
- 14 et 15 octobre 2025 - Forum inCyber Canada
- Code rabais de 30% - CA25KDUX92
- 10 au 12 novembre 2025 - IAQ - Le Rendez-vous IA Québec
- 17 au 20 novembre 2025 - European Cyber Week
- 25 et 26 février 2026 - SéQCure 2026
Description
Introduction et contexte
Charlotte Trudelle, consultante en gouvernance, risque et conformité chez Cyblex Consulting, présente la directive européenne NIS 2, qui constitue la suite de NIS 1. Cette réglementation vise à protéger les entités critiques européennes dans un contexte d’augmentation des cyberattaques et d’omniprésence des systèmes d’information. Contrairement au RGPD qui a des applications extraterritoriales, NIS 2 se concentre principalement sur le territoire européen, mais suivra un modèle de transposition similaire dans chaque pays membre.
Objectifs et philosophie de NIS 2
L’objectif principal n’est pas d’atteindre une sécurité absolue, mais d’améliorer la résilience et la capacité de réaction aux incidents. La directive vise à “effacer le bruit ambiant” et empêcher les attaques opportunistes, particulièrement les ransomwares facilement déployables. Il s’agit d’établir une hygiène de base en cybersécurité plutôt que de se prémunir contre des attaques étatiques sophistiquées.
La directive prône une approche par les risques, reconnaissant que les 18 secteurs d’activité couverts ont des profils de risque variables. L’Europe souhaite également créer un écosystème résilient global, incluant le partage des menaces et vulnérabilités, ainsi que la mise en place du UVD (pendant européen des bases CVE) par l’agence ENISA.
Périmètre d’application considérablement élargi
NIS 2 couvre 18 secteurs d’activité, répartis entre entités essentielles et entités importantes. Les entités essentielles incluent l’énergie, le transport, l’eau potable (déjà dans NIS 1), auxquels s’ajoutent les eaux usées, la santé, l’espace et les administrations publiques. Le secteur bancaire bénéficie d’un traitement spécial avec le référentiel DORA.
Les entités importantes comprennent les services postaux, la gestion des déchets, et la fabrication alimentaire. L’impact est considérable : en France, on passe de 300 entités concernées par NIS 1 à potentiellement 15 000 avec NIS 2, avec des seuils démarrant à 50 employés.
Effet de cascade et impact sur les tiers
Une différence majeure avec le RGPD réside dans l’effet de cascade sur les fournisseurs et prestataires. Toutes les entreprises travaillant avec les entités régulées devront également se conformer à NIS 2, même si elles n’atteignent pas les seuils de taille requis. Cette approche vise à sécuriser l’ensemble de la chaîne d’approvisionnement, reconnue comme un vecteur d’attaque privilégié.
Mesures et exigences techniques
Les mesures s’appuient largement sur la norme ISO 27001, évitant de “réinventer la roue”. Les exigences incluent :
- Inventaire des actifs (retour aux fondamentaux)
- Gestion des ressources humaines (approche transverse)
- Gestion des tiers et prestataires
- Gestion des incidents avec critères précis de déclaration
- Supervision et revues régulières
La directive fixe des critères quantitatifs précis pour les incidents, éliminant l’interprétation subjective. Contrairement à NIS 1 qui ne réglementait que les systèmes critiques, NIS 2 s’applique à l’ensemble du système d’information, sauf isolation prouvée des systèmes critiques.
Sanctions et modèle de contrôle
Les sanctions suivent le modèle RGPD : 10 millions d’euros ou 2% du chiffre d’affaires mondial pour les entités essentielles, 7 millions ou 1,4% pour les entités importantes. Le modèle de contrôle ressemble également au RGPD, avec des autorités nationales (ANSSI en France) effectuant des audits et contrôles, sans certification obligatoire prévue.
Défis de transposition et accompagnement
La transposition française accuse du retard, adoptée par le Sénat en mars et en cours d’examen à l’Assemblée nationale. Le projet “Résilience” transpose simultanément NIS 2, DORA et CER (Critical Entities Resilience), créant une complexité réglementaire supplémentaire.
L’ANSSI privilégie l’accompagnement à la sanction, reconnaissant que de nombreuses entités découvrent la réglementation cyber. Des outils d’auto-évaluation et de suivi sont déjà disponibles pour faciliter la transition.
Impact sur les différents types d’organisations
Pour les grandes entreprises internationales, déjà familières avec l’ISO 27001, l’adaptation devrait être relativement aisée. La principale préoccupation concerne le “millefeuille réglementaire” et la conformité administrative.
Les PME et administrations publiques, notamment les collectivités et hôpitaux, font face à des défis plus importants : manque de personnel spécialisé, budgets contraints, et cybersécurité éloignée du cœur de métier. Des initiatives de mutualisation émergent dans certains secteurs.
Perspective et enjeux futurs
NIS 2 représente un changement culturel majeur, intégrant la cyberattaque dans la gestion de crise standard. La philosophie du directeur de l’ANSSI résume bien l’approche : “ce n’est pas si vous allez être attaqué, mais quand”. L’objectif est la résilience - continuer à fonctionner malgré l’incident.
Cette réglementation s’inscrit dans la volonté européenne d’uniformiser le marché, créant une prévisibilité similaire à celle du marché américain. Bien que la période d’adaptation puisse être inconfortable, elle devrait considérablement renforcer la résilience collective face aux cybermenaces.
La réussite de NIS 2 dépendra de sa capacité à éviter la “conformité pour la conformité” et à véritablement améliorer la maturité cybersécuritaire de l’écosystème européen.
Collaborateurs
Crédits
- Montage par Intrasecure inc
- Locaux virtuels par Riverside.fm
Tags: conformite, europe, loi, nis2
Tweet












