Cybersécurité & Directive NIS2

Qu’est-ce qu’est la directive NIS2 ?

Adoptée par l’Union européenne pour faire face à des cybermenaces en constante évolution, la directive NIS2 impose un cadre commun de cybersécurité aux États membres. Elle succède à la directive NIS de 2016 en élargissant significativement son périmètre pour harmoniser le niveau de protection au sein du marché européen.

Elle répond à trois enjeux majeurs :

• Des menaces plus nombreuses et sophistiquées : attaques par ransomware, espionnage industriel, compromission de chaînes logistiques…
• Des disparités importantes entre États membres, source de fragilité collective.
• La nécessité de sécuriser les chaînes d’approvisionnement, désormais considérées comme un vecteur d’attaque critique.

Qui est concerné par la directive ?

C’est l’un des changements les plus structurants de NIS2 : le nombre d’entités concernées est multiplié par dix.

• Deux catégories sont désormais définies :
  • Entités essentielles (EE) : énergie, transport, santé, eau, espace, banque, administrations…
  • Entités importantes (EI) : déchets, agroalimentaire, fabrication, services numériques, etc.
• Le critère de taille applique NIS2 aux organisations dépassant 50 salariés et 10 M€ de chiffre d’affaires.

Quels sont les impacts de NIS2 pour les systèmes de protection du bâtiment ?

Aujourd’hui, la sûreté ne repose plus uniquement sur l’équipement physique — elle dépend désormais des réseaux, protocoles de communication et interfaces numériques qui pilotent l’ensemble.

Or, la vulnérabilité ne provient pas uniquement des logiciels, mais des communications entre les équipements lorsqu’elles ne sont pas cryptées.

L’absence de chiffrement ou d’authentification renforce les risques :

• Interception de flux vidéo,
• Prise de contrôle d’équipements,
• Violation massive et lisible de données : si vos données ne sont pas chiffrées (qu’elles soient stockées ou en cours de transfert), n’importe quel attaquant parvenant à s’infiltrer pourra les lire, les voler et les exploiter immédiatement (chantage à la divulgation).
• Porte ouverte aux Ransomwares : l’accès initial étant l’étape la plus cruciale pour les cybercriminels, l’absence de MFA rend le déploiement de rançongiciels beaucoup plus simple.
• Propagation d’une attaque vers les systèmes métiers ou industriels.
• Intrusion dans un réseau « prioritaire »
• Perte de confiance des partenaires : Dans un écosystème interconnecté, si vous êtes le maillon faible de la chaîne d’approvisionnement (supply chain), vos clients et partenaires se détourneront rapidement de vous pour ne pas être infectés à leur tour.

NIS2 impose ainsi une vision de la sûreté où cybersécurité et sécurité physique sont indissociables.

Les organisations doivent :

• Intégrer la cybersécurité dès la conception de leurs installations,
• Protéger les réseaux OT et IoT,
• Se prémunir contre les vulnérabilités des équipements connectés,
• Garantir la disponibilité et la continuité de service,
• Documenter leurs pratiques pour démontrer leur conformité.

Objectif : installer une culture cybersécurité au sein de l’organisation.

L’intégration de NIS2 dans les pratiques de sûreté représente un enjeu stratégique. Elle renforce la résilience des organisations, sécurise leurs services essentiels et protège leurs infrastructures.