NIS2

La directive NIS2 (Network and Information Security 2) est le nouveau cadre législatif européen visant à harmoniser le niveau de cybersécurité au sein de l'UE. Contrairement à sa version précédente, elle élargit considérablement son champ d'application à de nombreux secteurs économiques (énergie, santé, transports, administration publique, mais aussi la gestion des déchets ou l'agroalimentaire), incluant désormais des PME qui étaient auparavant exemptées. Pour les dirigeants, NIS2 impose la mise en œuvre de mesures de gestion des risques cyber strictes : sécurisation de la chaîne d'approvisionnement, gestion des incidents, continuité d'activité et formation du personnel. Elle introduit surtout une responsabilité directe des organes de direction, qui peuvent être tenus responsables en cas de manquement aux obligations de sécurité. Bien que NIS2 soit une directive sur la cybersécurité et non sur la protection des données, elle est intrinsèquement liée au RGPD. En effet, la sécurisation des systèmes d'information exigée par NIS2 est le moyen technique de répondre à l'obligation de sécurité des données personnelles prévue à l'article 32 du RGPD. Une faille de sécurité majeure peut ainsi entraîner simultanément des sanctions au titre de NIS2 et une notification de violation de données selon l'article 33 du RGPD.