NIS2 est la directive européenne qui impose des obligations de cybersécurité à un large éventail d’entités essentielles et importantes — énergie, santé, transport, numérique, industrie, et bien d’autres secteurs. Sa particularité est de ne pas s’adresser qu’aux équipes techniques : elle engage directement la responsabilité des organes de direction.

Elle impose des mesures de gestion des risques, la notification des incidents dans des délais stricts, et une supervision de la chaîne d’approvisionnement, incluant les prestataires et fournisseurs numériques.

NIS2 ne prescrit pas de méthode unique de mise en œuvre : des référentiels comme ISO/IEC 27001, des méthodes comme EBIOS-RM, les exigences de continuité d’activité d’ISO 22301, ou encore le guide de gestion des incidents ISO/IEC 27035, constituent autant de voies reconnues pour démontrer la conformité aux exigences de la directive.

NIS2 est une directive, ce qui signifie qu’elle est transposée dans le droit national de chaque État membre : le périmètre exact des entités concernées, les modalités de contrôle et les sanctions peuvent donc varier d’un pays à l’autre, ce qui impose de connaître les nuances propres à la transposition applicable à l’organisation.

Enfin, NIS2 ne se réduit pas à une contrainte : bien anticipée, elle offre au conseil des leviers concrets de création de valeur — différenciation vis-à-vis de partenaires et clients exigeants, accès facilité à certains marchés régulés, et renforcement de la confiance des parties prenantes dans la résilience de l’organisation.