NIS2 : Nous sommes un « secteur clé »
et sont donc tenus de le signaler !
La directive NIS2 (directive sur la sécurité des réseaux et de l'information) vise à renforcer la cybersécurité des services essentiels et des prestataires de services numériques au sein de l'UE. Il s'agit pour l'instant d'une proposition de directive, mais celle-ci entrera en vigueur fin 2024.
Remco Glashouwer
Auteur
Deux secteurs
La directive distingue deux catégories de secteurs, à savoir les secteurs essentiels et les secteurs importants, ainsi que deux niveaux d'obligations : une obligation de diligence et une obligation de notification. Les entreprises de notre secteur relèveront principalement de la catégorie des « secteurs importants soumis à une obligation de notification ». Cela s'explique par le fait que les entreprises du secteur des arts graphiques jouent un rôle dans la communication des entreprises considérées comme essentielles.
Les organisations relevant de la directive NIS2
Secteurs essentiels
- Énergie
- Transport
- Secteur bancaire
- Infrastructure des marchés financiers
- soins de santé
- Eau potable
- Infrastructure numérique
- Gestionnaires de services informatiques
- Eaux usées
- Services publics
- Aérospatiale
Secteurs clés
- Fabrication
- Services postaux et de messagerie
- Fournisseurs de services numériques
- Gestion des déchets
- Produits alimentaires
- Substances chimiques
- Recherche
Devoir de diligence et obligation de signalement
Vos clients issus de secteurs clés ont le devoir de veiller à la protection maximale de leurs données, y compris tout au long de la chaîne logistique. Vos clients issus de secteurs essentiels ont en outre une obligation de déclaration : ces entreprises doivent signaler tout incident à l'autorité de contrôle dans les 24 heures.
En matière d'imprimés personnalisés, les entreprises du secteur graphique disposent, par exemple, d'une grande quantité d'informations (données) sur les clients de secteurs essentiels. La responsabilité vous incombe donc en partie.
Agir dès maintenant
Il y a plusieurs mesures que tu peux déjà mettre en œuvre toi-même, telles que :
- Recenser et analyser les risques liés à la sécurité des réseaux et à la sécurité de l'information.
- Élaboration de plans de continuité des activités et de protocoles de gestion de crise.
- Identification de chaînes d'approvisionnement alternatives.
- Réserver les ressources internes (en temps et en argent) nécessaires pour se conformer aux directives.
- Sensibilisation du personnel aux risques liés au traitement des informations (des études montrent que l'être humain est le maillon faible. Les actions inconscientes et involontaires s'avèrent constituer un risque plus important que les cyberattaques délibérées et ciblées).
N'attendez pas trop longtemps
Cela prendra peut-être encore un peu de temps, mais cette législation s'appliquera à de nombreuses entreprises. On s'attend également à ce qu'il y ait une pénurie de conseillers et de certificateurs d'ici 2025. En conséquence, de nombreuses entreprises ne pourront pas se conformer à temps à l'obligation de diligence et à l'obligation de déclaration. Vous comprenez donc notre conseil 😉 : n'attendez pas trop longtemps pour passer à la première étape : la réalisation d'une analyse des risques. Nous serons ravis de vous aider à renforcer votre résilience numérique !