NIS2 est la directive (UE) 2022/2555 relative à un niveau élevé commun de cybersécurité dans l'Union. Elle élargit considérablement le périmètre de la directive NIS de 2016, en visant des entités qualifiées d'essentielles ou d'importantes dans un grand nombre de secteurs : énergie, santé, transports, eau, administrations, infrastructures numériques, fabrication, services postaux.
Ce que la directive impose
NIS2 demande des mesures de gestion des risques proportionnées, parmi lesquelles le texte cite explicitement l'usage de solutions d'authentification multifacteur ou continue. Elle impose aussi des obligations de notification d'incident selon un calendrier échelonné, ainsi qu'une prise en compte de la sécurité de la chaîne d'approvisionnement.
Deux points structurants pour un RSSI :
- la responsabilité des organes de direction, qui doivent approuver les mesures et se former ;
- l'exigence de démontrabilité : les mesures doivent être documentées et auditables.
Une directive, pas un règlement
À la différence de DORA ou du Cyber Resilience Act, NIS2 est une directive : elle doit être transposée en droit national, avec des variations possibles d'un État membre à l'autre — périmètre, seuils, sanctions, autorité compétente. Une organisation implantée dans plusieurs pays doit donc vérifier chaque transposition.
Pour l'authentification, la conséquence pratique est constante : les accès à privilèges et les accès distants sont les premiers examinés lors d'un contrôle.
Aller plus loin : NIS2, DORA, DSP3, CRA : ce que les textes exigent · définition de DORA · définition du Cyber Resilience Act · l'authentification cognitive