La directive NIS2 met à jour la précédente directive NIS de 2016 avec une perspective évolutive en ce qui concerne le niveau croissant de numérisation et l’évolution du panorama des cybermenaces. Il marque une étape importante vers le renforcement de la cybersécurité dans l’Union européenne et vise à consolider un cadre unitaire, comblant les écarts entre les États membres mis en évidence par la première directive NIS. 

NIS2 étend le champ d’application des règles à de nouveaux secteurs et types d’entités dans le but d’améliorer la résilience et la capacité de réponse aux incidents de sécurité pour les entités publiques et privées. Parmi les principales nouveautés, les États membres devraient disposer d’équipes spécialisées de réponse aux incidents et d’une autorité nationale compétente. En outre, la directive promeut une coopération plus étroite entre les États et encourage l’adoption de mesures de sécurité dans des secteurs critiques tels que l’énergie, les transports, la finance, la santé, la gestion des déchets et les infrastructures numériques. Les entreprises et les opérateurs essentiels, tels que les fournisseurs de services cloud et les places de marché en ligne, seront tenus de se conformer à des normes de sécurité rigoureuses et de notifier rapidement tout incident important, en fournissant une alerte précoce dans les 24 heures et une notification mise à jour dans les 72 heures. 

Mais que risquent les entreprises qui ne respectent pas les nouvelles prévisions ? NIS2 a sans doute accru les pouvoirs attribués aux autorités compétentes qui pourront imposer diverses sanctions administratives selon que l’opérateur est classé comme essentiel ou important.