Directive concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union
Articles structurants documentés dans la cartographie ACF.
Les États membres établissent une liste d'entités essentielles et importantes. Mécanisme d'auto-enregistrement obligatoire avant le 17 avril 2025.
Les membres des organes de direction approuvent les mesures de gestion des risques et supervisent leur mise en œuvre. Ils peuvent être tenus personnellement responsables. Formation cyber obligatoire.
10 catégories de mesures techniques, opérationnelles et organisationnelles : politiques de risque, traitement incidents, continuité d'activité et gestion de crise, sécurité chaîne d'approvisionnement, sécurité acquisition / développement / maintenance des systèmes, évaluation de l'efficacité, hygiène cyber et formation, cryptographie, sécurité des ressources humaines / accès / actifs, MFA, sécurité communications.
Trois étapes de notification au CSIRT national ou autorité compétente : alerte précoce sous 24 heures, notification incident sous 72 heures, rapport final sous 1 mois. Incidents significatifs : impact substantiel sur la fourniture des services.
Les États membres peuvent exiger l'utilisation de produits, services ou processus ICT certifiés selon les schémas EUCS / EU 5G / EUCC en cours de finalisation.
Les registres de noms de domaine de premier niveau (« TLD registries ») et bureaux d'enregistrement (« registrars ») maintiennent des données d'enregistrement précises et complètes, et les communiquent aux entités légitimes (demandes d'accès légitime / « legitimate access requests »).
Échange volontaire entre entités essentielles, importantes, ou autres, dans un cadre protégé. CSIRTs et autorités encouragent et facilitent ces échanges.
Autorités compétentes disposent de pouvoirs étendus : audits, demandes d'information, inspections sur place, ordres correctifs, suspension de certifications. Régime distinct pour entités essentielles (supervision ex ante) et importantes (ex post).
Sanctions pécuniaires : entités essentielles 10 M€ ou 2 % CA mondial annuel total (plus élevé), entités importantes 7 M€ ou 1,4 % CA. Suspension de certification ou de fonction de gestion possible.
Inclusion de la sécurité des relations avec les fournisseurs et prestataires directs comme une mesure obligatoire. États membres peuvent imposer des exigences spécifiques pour services critiques (ENISA / cooperation group).
Obligations actionnables catégorisées : documentation, process, technique, gouvernance, notification.
S'enregistrer auprès de l'autorité compétente nationale (art. 3)
Faire approuver et superviser les mesures de cybersécurité par l'organe de direction (art. 20)
Former régulièrement dirigeants et employés aux risques cyber (art. 20(2))
Mettre en place les 10 catégories de mesures cybersécurité (art. 21)
Gérer la sécurité de la chaîne d'approvisionnement (art. 21(2)(d) et (3))
Mettre en place un plan de continuité d'activité et de gestion de crise (art. 21(2)(c))
Alerte précoce au CSIRT national sous 24h en cas d'incident significatif (art. 23)
Notification incident sous 72h, rapport final sous 1 mois (art. 23)
Documenter l'évaluation de l'efficacité des mesures (audits, tests, revues) (art. 21(2)(f))
Mettre en place MFA et SSO sécurisé pour les accès sensibles (art. 21(2)(j))
Entités essentielles - violations art. 21 et 23
Entités importantes - violations art. 21 et 23
Astreintes périodiques, suspension de certifications, suspension temporaire de fonction de direction
NIS2 et l'AI Act se rencontrent lorsqu'une entité essentielle ou importante déploie un système IA susceptible d'affecter la sécurité de ses services. Articulation pratique : (1) la cybersécurité des systèmes IA haut-risque (AI Act art. 15) est inclue dans les mesures de gestion du risque NIS2 (art. 21(2)(e) et (i)) ; (2) la sécurité de la chaîne d'approvisionnement NIS2 (art. 21(2)(d)) doit considérer les fournisseurs de modèles GPAI au sens AI Act art. 53 ; (3) les notifications d'incident NIS2 (art. 23) sont distinctes des notifications AI Act art. 73 (incidents graves) - les deux peuvent être cumulatives et doivent être coordonnées (timing 24h / 72h NIS2 versus 15 jours AI Act).