Directive NIS 2 de l’Union européenne cybersécurité renforcée

Quelles sont les implications pour les PME canadiennes?

La directive sur la sécurité des réseaux et de l’information 2 est un cadre à l’échelle de l’Union européenne qui renforce la cybersécurité dans les secteurs essentiels et importants.

La Directive NIS 2 (Règlement législatif (UE) 2022/2555) a été adoptée en décembre 2020. Elle constitue une restructuration majeure de la Directive NIS 1 de 2016 de l’Union européenne (UE) et vise à renforcer la cybersécurité en Europe. Elle est entrée en vigueur le 16 janvier 2023 et les États membres devaient la transposer en loi nationale avant le 18 octobre 2024. La Directive NIS 2, relative à la sécurité des réseaux et de l’information, est le cadre juridique consolidé de l’Union européenne en matière de cybersécurité. Elle remplace la Directive NIS 1 et impose des obligations ratifiées de cybersécurité, de notification des incidents et de gouvernance à un plus grand nombre de secteurs et de fournisseurs de services. La Directive NIS 2 (Règlement législatif (UE) 2022/2555) est le cadre mis à jour de l’Union européenne sur la cybersécurité des réseaux et des systèmes informatiques.

Elle établit un niveau d’exigences de cybersécurité unique et plus élevé pour l’ensemble des 27 États membres de l’UE. La Directive NIS 2 élargit considérablement le champ d’application juridique, clarifie les obligations réglementaires et renforce la supervision et le contrôle par rapport aux procédures initiales de la Directive NIS 1.

L’importance stratégique de la Directive NIS 2 repose sur les éléments tactiques suivants : (1) La cybersécurité comme enjeu de sécurité nationale : la Directive NIS 2 reflète la reconnaissance par l’Union européenne du fait que les cybermenaces et les cyberattaques ne sont pas seulement des problèmes techniques, mais qu’elles entraînent également des risques pour le développement économique, des périls pour la sécurité nationale et des menaces géopolitiques. (2) La résilience des infrastructures essentielles : en élargissant son champ d’application concernant la cybersécurité, la Directive NIS 2 garantit une meilleure protection des divers secteurs tels que les réseaux énergétiques, les services bancaires, la santé, les transports, les installations portuaires et les services numériques. (3) L’impact mondial : les organisations non membres de l’UE (y compris les entreprises canadiennes) travaillant avec des fournisseurs ou des clients de l’UE doivent se conformer à la Directive NIS 2, faisant ainsi de cette dernière une référence mondiale en matière de gouvernance raffermie de la cybersécurité.

Les références et ressources (1 à 18) indiquées à la fin de cette Infolettre de cyber-connaissance ont été dûment consultées, analysées en détail, synthétisées et adaptées pour la rédaction de plusieurs parties de ce manuscrit consacré à la cybersécurité.

Origines de la Directive NIS 2

1. La Directive NIS 1 (2016)

• Première loi européenne sur la cybersécurité.
• Obligation pour les 27 États membres de mettre en œuvre, sur leurs territoires respectifs, des Équipes d’intervention en cas d’incident de sécurité informatique (EIISI) et des autorités nationales de cybersécurité.
• Application aux « opérateurs de services essentiels » (énergie, transports, services bancaires, santé, etc.) et aux « fournisseurs de services numériques ».
• Difficultés de mise en œuvre : application inégale et approches fragmentées entre les 27 États membres.

2. Pourquoi une révision de la Directive NIS 1 (2016) était-elle nécessaire?

• L’augmentation des cybermenaces : attaques récurrentes de rançongiciels contre les hôpitaux, perturbations des réseaux énergétiques, systèmes de transports, et cyber-incidents géopolitiques.
• La transformation numérique a augmenté les vulnérabilités des chaînes d’approvisionnement et des infrastructures essentielles.
• La fragmentation induite par la Directive NIS 1 (2016) a limité l’efficacité d’une cybersécurité cohérente.

La nouvelle Directive NIS 2 est une législation importante en matière de cybersécurité. Elle s’applique aux organisations européennes et à de nombreuses entreprises non européennes, notamment les PME non européennes fournissant des services professionnels dans les 27 pays de l’Union européenne. En fait, les organisations nord-américaines, y compris les PME canadiennes ayant des clients ou des fournisseurs européens, devraient évaluer si elles sont visées par cette nouvelle réglementation européenne consolidée en matière de cybersécurité.

Qui est visé par la Directive NIS 2?

1. Deux catégories d’entités d’affaires : la Directive NIS 2 distingue les organisations ou entités d’affaires « essentielles » et « importantes » et applique des régimes respectifs de surveillance, des contrôles réglementaires, et des obligations juridiques selon la catégorie.
2. Portée élargie de l’UE : la Directive NIS 2 peut concerner les fournisseurs non européens offrant des services sur le marché de l’Union européenne (plateformes de services d’infonuagique, infrastructures numériques, certains services de technologies de l’information et des communications), les entreprises situées à l’extérieur de l’Europe et desservant des clients de l’UE peuvent être soumises à ses exigences.
3. Secteurs couverts : le champ d’application de la Directive NIS 2 a été élargi par rapport à la Directive NIS 1, notamment dans les secteurs de l’énergie, des transports, de la banque, de la santé, des infrastructures numériques, de l’administration publique, de l’aérospatial, des services postaux et de messagerie, de la gestion des déchets et de l’industrie manufacturière.

FIGURE 1 : Principales composantes structurelles de la Directive NIS 2

Principaux risques et défis

• Complexité de la chaîne d’approvisionnement : de nombreuses organisations sous-estiment les risques relatifs aux tiers; la Directive NIS 2 en fait une obligation légale.
• Responsabilité du conseil d’administration : les dirigeants peuvent être tenus responsables, ce qui implique des changements culturels et de gouvernance.
• Délais de signalement des incidents : un signalement initial dans les 24 heures est contraignant; l’automatisation et des flux de travail prédéfinis sont essentiels.
• Conformité transfrontalière : les organisations multinationales doivent se conformer aux diverses réglementations nationales.

Mesures concrètes de conformité pour les organisations canadiennes, y compris les PME

• Effectuer une analyse des lacunes par rapport aux exigences de la Directive NIS 2.
• Évaluer rapidement la portée de la conformité : répertorier les clients, les contrats et les services de l’UE afin de déterminer si vous êtes un fournisseur « essentiel » ou « important » de l’UE.
• Évaluer les actifs essentiels et les tiers (fournisseurs de services infonuagiques, fournisseurs de services gérés).
• Mettre en œuvre ou améliorer les contrôles de gestion des risques (correctifs, contrôles d’accès, journalisation, sauvegardes, gestion des vulnérabilités).
• Mettre en œuvre des processus de détection et de signalement des incidents conformes aux délais et aux exigences de preuve de l’UE.
• Documenter la gouvernance et la supervision par le conseil d’administration des cyber-risques et de la sécurité des fournisseurs.
• Prévoir les vérifications et les échanges avec les autorités réglementaires si vous êtes concerné.
• Établir des protocoles de réponse aux incidents avec une capacité de signalement en 24 h sur 24 et 72 h.
• Mettre à jour les contrats avec les fournisseurs afin d’y inclure les obligations en matière de cybersécurité.
• Former les dirigeants et les membres du conseil d’administration aux responsabilités en matière de responsabilité et de gouvernance.
• Consulter le Guide technique de mise en œuvre de l’Agence de l’Union européenne pour la cybersécurité (ENISA) pour une mise en œuvre pratique.

FIGURE 2 : Mesures utiles pour les PME canadiennes afin de se conformer à la Directive NIS 2

Comment les diverses organisations canadiennes peuvent-elles se conformer à la Directive NIS 2?

Les organisations canadiennes, y compris les PME qui desservent des clients ou des fournisseurs de l’Union européenne, peuvent se conformer à la Directive NIS 2 en adoptant des cadres de cybersécurité reconnus internationalement (comme l’ISO/IEC 27001 ou le NIST CSF), en renforçant la sécurité de leur chaîne d’approvisionnement et en se préparant aux obligations strictes de déclaration et de gouvernance des incidents de cybersécurité. N.B. : même si elle n’est pas directement réglementée, la conformité permet de réduire les cyber-risques et d’instaurer une confiance durable avec les partenaires européens.

Pourquoi les organisations canadiennes devraient-elles être attentives à la Directive NIS 2?

• La Directive NIS 2 s’applique aux entités établies dans l’UE, mais les organisations canadiennes, y compris les PME, qui fournissent des services, collaborent avec des organisations de l’UE ou traitent des données pour ces dernières peuvent être contractuellement tenues de s’y conformer.
• Les entreprises de l’UE exigeront de plus en plus de preuves de la résilience de leurs fournisseurs en matière de cybersécurité, ce qui fera de la conformité un avantage concurrentiel.
• Risques relatifs à la non-conformité : perte de contrats lucratifs, atteinte à la réputation, amendes et exclusion des circuits d’approvisionnement de l’UE.

FIGURE 3 : Stratégies d’alignement pour les organisations canadiennes en vertu des exigences de la Directive NIS 2

Points stratégiques clés concernant l’alignement pour les organisations canadiennes

Les organisations canadiennes n’ont pas besoin de reproduire intégralement les régimes de conformité de l’UE. Toutefois, l’alignement avec la Directive NIS 2, par le biais des référentiels ISO/NIST, des clauses contractuelles des fournisseurs et de la préparation aux incidents, préservera leurs relations d’affaires avec l’UE et les positionnera comme des partenaires de confiance.

Comment les composantes juridiques essentielles de la Directive NIS 2 s’alignent-elles avec la norme ISO/IEC 27001 ?

La Directive NIS 2 et la norme ISO/IEC 27001 sont hautement complémentaires quant à leurs composantes juridiques essentielles. La norme ISO/IEC 27001 fournit le cadre de contrôles structurés qui couvre la plupart des obligations de la Directive NIS 2.

Néanmoins, cette dernière va plus loin en imposant la responsabilité au niveau du conseil d’administration, des délais stricts pour le signalement des incidents et une surveillance sectorielle.

De plus, la norme ISO/CEI 27001 exige explicitement des organisations qu’elles identifient et respectent toutes les exigences légales, réglementaires et contractuelles applicables (article 4.2 et annexe A5.31). Cela signifie que si la Directive NIS 2 s’applique à l’organisation, que ce soit directement ou par le biais des obligations reliées à la chaîne d’approvisionnement, ses exigences doivent être intégrées au Système de gestion de la sécurité de l’information (SGSI).

En pratique, cela crée un alignement naturel : la Directive NIS 2 s’intègre aux processus de la norme ISO 27001, garantissant ainsi que la conformité légale, la gestion des risques et la mise en œuvre des contrôles fonctionnent selon un cadre unifié.

Aperçu de l’alignement de la Directive NIS 2 avec la norme ISO 27001

• La norme ISO 27001 définit un ensemble complet de mesures de sécurité (politiques, garanties techniques, gestion des fournisseurs, réponse aux incidents, etc.).
• La Directive NIS 2 exige des organismes qu’ils démontrent la mise en œuvre concrète de ces mesures, ce qui engage la responsabilité juridique des dirigeants et impose un rapport obligatoire aux autorités de contrôle.
• En pratique : la certification ISO 27001 constitue une base solide, mais ne suffit pas à elle seule pour garantir la conformité à la Directive NIS 2.

FIGURE 4 : Tableau comparatif – composantes essentielles de la Directive NIS 2 et norme ISO 27001

Principales lacunes entre la norme ISO 27001 et la Directive NIS 2

• Système de gestion de la sécurité de l’information (SGSI) : la norme ISO 27001 impose à toutes les organisations, y compris les PME, de mettre en œuvre un SGSI.
• Responsabilité de la direction : la norme ISO 27001 exige l’engagement de la direction, tandis que la Directive NIS 2 impose la responsabilité individuelle.
• Délais de déclaration des cyber-incidents auprès des autorités réglementaires : la norme ISO 27001 est souple, tandis que la Directive NIS 2 est stricte (24 h ou 72 h ou 1 mois).
• Obligations sectorielles : la norme ISO 27001 est générique, tandis que la Directive NIS 2 adapte les exigences de conformité aux secteurs essentiels.
• Exigences en matière de preuves : la certification ISO 27001 atteste de l’existence des contrôles, tandis que la Directive NIS 2 exige des preuves concrètes pendant les audits.

Étapes pratiques pour diverses organisations, notamment les PME canadiennes :

1. Faire correspondre la norme ISO 27001 et les obligations de la Directive NIS 2 à l’aide d’outils tels que le Guide de correspondance de BSI.
2. Mettre à jour les procédures d’intervention en cas d’incident afin de respecter les délais de 24 h ou 72 h.
3. Former les dirigeants et les membres du conseil d’administration aux responsabilités et aux obligations de gouvernance.
4. Intégrer des clauses de cybersécurité dans les contrats avec les fournisseurs et en contrôler la conformité.
5. Se préparer aux vérifications réglementaires en fournissant des preuves documentées de l’efficacité des contrôles.

Pour synthétiser, la norme ISO 27001 constitue le fondement opérationnel de la conformité avec la Directive NIS 2, mais les organisations doivent y ajouter des mécanismes de gouvernance, de rapport signalétique après incident, et de justification afin de satisfaire pleinement aux exigences légales et de surveillance plus stricte de cette Directive.

Spécifications de planification à l’intention des PME canadiennes : harmonisation des composantes de la Directive NIS 2 et de la norme ISO 27001

Des spécifications de planification ou une liste de vérification élaborées par les organismes canadiens faciliteraient grandement l’harmonisation des obligations de la norme ISO 27001 avec celles de la Directive NIS 2 pour les entreprises canadiennes, notamment celles qui travaillent avec des fournisseurs et des clients de l’Union européenne. Ces spécifications permettraient de faire le lien entre les cadres de conformité théoriques et les réalités opérationnelles des PME canadiennes. Voici un exemple de structure possible pour une telle liste de vérification.

Spécifications de planification à l’intention des PME canadiennes : harmonisation des composantes de la Directive NIS 2 et de la norme ISO 27001

Des spécifications de planification ou une liste de vérification élaborées par les organismes canadiens faciliteraient grandement l’harmonisation des obligations de la norme ISO 27001 avec celles de la Directive NIS 2 pour les entreprises canadiennes, notamment celles qui travaillent avec des fournisseurs et des clients de l’Union européenne. Ces spécifications permettraient de faire le lien entre les cadres de conformité théoriques et les réalités opérationnelles des PME canadiennes. Voici un exemple de structure possible pour une telle liste de vérification.

1. Gestion des risques et mesures de sécurité

• ISO 27001 : politiques, rôles, gestion des actifs, sécurité des opérations.
• Obligation de la Directive NIS 2 : mise en œuvre de mesures techniques, opérationnelles et organisationnelles (analyse des risques, correctifs, chiffrement).
• Les actions des PME canadiennes sont résumées ci-après.
• Utiliser le NIST CSF ou une version adaptée de l’ISO 27001 pour les PME.
• Documenter les évaluations des risques pour la conformité, le cas échéant.
• Consulter les recommandations du Centre canadien pour la cybersécurité.

2. Gestion et signalement des incidents

• ISO 27001 : gestion des incidents.
• Obligation NIS 2 : signalement des incidents dans les 24 h (signalement initial), 72 h (signalement détaillé) et 1 mois (signalement final).
• Les actions des PME canadiennes sont résumées ci-après.
• Élaborer des procédures bilingues de réponse aux incidents.
• Établir des voies d’escalade vers les partenaires européens.
• Automatiser la détection grâce à des services SOC abordables (fournisseurs de services gérés locaux dans les provinces canadiennes).

3. Continuité des activités et gestion de crise

• ISO 27001 : continuité des activités et conformité.
• Obligation NIS 2 : assurer la continuité et la coordination en cas de crise.
• Les actions des PME canadiennes sont résumées ci-après.
• Se conformer aux exigences de la Loi sur la protection civile du Québec, au besoin.
• Maintenir des plans de continuité pour les perturbations de la chaîne d’approvisionnement de l’UE.

4. Sécurité de la chaîne d’approvisionnement

• ISO 27001 : relations avec les fournisseurs.
• Obligation NIS 2 : évaluer et gérer les risques reliés aux fournisseurs.
• Les actions des PME canadiennes sont brièvement décrites ci-dessous.
• Ajouter des clauses de cybersécurité dans les contrats avec les fournisseurs.
• Exiger des partenaires européens qu’ils fournissent des preuves de conformité.
• Utiliser la norme ISO 27036 pour la gestion des risques fournisseurs.

5. Gouvernance et imputabilité

• ISO 27001 : rôles et sécurité des ressources humaines.
• Obligation NIS 2 : imputabilité du conseil d’administration et responsabilité personnelle.
• Les actions des PME canadiennes sont résumées ci-dessous.
• Former les dirigeants aux risques de responsabilité.
• Documenter l’approbation par le conseil d’administration des mesures de cybersécurité.
• Au besoin, utiliser des modèles de gouvernance bilingues pour les partenaires européens ou canadiens.

6. Contrôles techniques

• ISO 27001 : contrôle d’accès, cryptographie et gestion des vulnérabilités.
• Obligation NIS 2 : mettre en œuvre le chiffrement, le contrôle d’accès et la gestion des vulnérabilités.
• Les actions des PME canadiennes sont résumées ci-dessous.
• Déployer l’authentification multifactorielle (AMF), la protection des terminaux et la gestion des correctifs.
• Utiliser des fournisseurs canadiens d’infonuagique avec des garanties de transfert des données conformes aux normes de l’UE.

7. Supervision et application

• ISO 27001 : mesures de conformité.
• Obligation NIS 2 : les autorités nationales peuvent procéder à des audits, des inspections et imposer des amendes (10 millions d’euros ou 2 % du chiffre d’affaires).
• Les actions des PME canadiennes sont résumées ci-dessous.
• Préparer une documentation conforme aux exigences d’audit.
• Effectuer des évaluations de conformité par des tiers.

8. Coopération transfrontalière

• ISO 27001 : la coopération transfrontalière n’est pas explicitement traitée.
• Obligation NIS 2 : participer à UE-CyCLONe pour la coordination en cas de crise.
• Les actions des PME canadiennes sont brièvement décrites ci-dessous.
• Maintenir les canaux de communication avec les partenaires européens.
• Harmoniser les formats des rapports avec les recommandations de l’ENISA.

Résumé de la liste de vérification de planification et correspondance axée sur les entreprises canadiennes (ISO 27001 → Obligations de la Directive NIS 2)

La norme ISO 27001 constitue un fondement solide pour satisfaire à de nombreuses obligations de cybersécurité de la Directive NIS 2. Toutefois, les PME canadiennes doivent ajouter des mesures spécifiques en matière de gouvernance, de déclaration des incidents, de chaîne d’approvisionnement et de portée sectorielle afin de satisfaire pleinement aux exigences de la Directive NIS 2. Les organisations canadiennes devraient commencer par établir une correspondance entre les articles de la Directive NIS 2 et la norme ISO 27001, évaluer les écarts en matière de déclaration des incidents et des risques reliés aux tiers, et documenter les points de contact juridiques et réglementaires canadiens. Par conséquent, les PME canadiennes peuvent établir une correspondance directe entre la norme ISO 27001 et les obligations de la Directive NIS 2, mais elles doivent ajouter les éléments essentiels suivants en matière de cybersécurité :

• Sensibilisation à la responsabilisation au niveau du conseil d’administration.
• Délais stricts de déclaration des incidents.
• Clauses contractuelles des fournisseurs.
• Mécanismes de coordination transfrontalière.
• Procédure de déclaration des incidents.
• Preuves et pistes d’audit.

État d’avancement de la transposition de la Directive NIS 2 dans les principaux États membres de l’Union européenne

En date du 31 janvier 2026, la transposition de la Directive NIS 2 dans les principaux États membres de l’Union européenne demeure inégale : certains pays, comme la France, l’Allemagne, l’Italie et l’Espagne, l’ont intégralement transposée, tandis que d’autres, comme la Grèce, la Croatie et la Bulgarie, finalisent encore leur législation nationale.

Les délais de mise en œuvre varient : certaines juridictions imposent déjà des sanctions, tandis que d’autres commencent tout juste à exercer un contrôle. Les États membres de l’Union européenne n’ont pas tous le même niveau d’avancement. En date du 31 janvier 2026, seulement 19 des 27 pays avaient achevé la transposition. Ce constat souligne que l’harmonisation réglementaire demeure un processus continuel à l’échelle européenne, malgré l’objectif commun de la directive NIS 2 : renforcer la cybersécurité dans tous les secteurs essentiels.

Observations majeures sur la conformité à la Directive NIS 2 dans les principaux États membres de l’Union européenne

• Délai dépassé : la date limite officielle de transposition était le 17 octobre 2024, mais plusieurs États membres ne l’ont pas respectée.
• 16 pays de l’UE/EEE ont adopté la Directive NIS 2 à la mi-2025; d’autres sont encore en phase de rédaction ou de consultation.
• Approches nationales divergentes : certains pays (par exemple : l’Allemagne, la France, l’Espagne et l’Italie) vont au-delà de la Directive NIS 2 en imposant des vérifications systématiques et un système de signalement des cyber incidents plus stricts, tandis que d’autres (Grèce, Croatie et Bulgarie) sont en retard.
• Risques de sanctions : les entreprises opérant dans plusieurs juridictions sont confrontées à des délais de conformité et à des régimes de sanctions différents, ce qui complexifie leurs opérations transfrontalières.

Registre de conformité avec la Directive NIS 2 pour les principaux États membres de l’Union européenne en date du 31 janvier 2026

Vous trouverez ci-dessous un résumé méticuleux du Registre de conformité à la Directive NIS 2, pays par pays, adapté à tous les types d’organisations canadiennes, y compris les PME, qui travaillent avec des fournisseurs et des clients des principaux États membres de l’Union européenne. Ce Registre de conformité a été conçu de manière pragmatique pour la planification opérationnelle et stratégique, vous permettant ainsi d’identifier rapidement les obligations réglementaires, l’état d’application de la législation et les implications concrètes.

États membres de l’Union européenne ayant pleinement mis en oeuvre la législation

FRANCE

• La législation a été adoptée et mise en application dans son intégralité par l’Assemblée Nationale Française. Autorité de surveillance : ANSSI (en collaboration avec le Commission Nationale de l’Informatique et des Libertés-CNIL pour les chevauchements de données).
• Portée : grande application, y les entités essentielles et importantes.
• Signalement des incidents de cybersécurité : avis initial dans les 24 heures, rapport détaillé dans les 72 heures.
• Sanctions : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
• Note à l’attention des PME canadiennes : les fournisseurs et clients français exigent des preuves de conformité rigoureuses (audits, mise en place d’un système de signalement des incidents de cybersécurité).

ALLEMAGNE

• Législation adoptée et mise en application par le Bundestag (Parlement fédéral allemand). Autorité de surveillance : BSI.
• Portée : Entités essentielles et importantes, audits obligatoires.
• Signalement des incidents de cybersécurité : avis dans les 24 heures, suivi détaillé dans les 72 heures.
• Sanctions : Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
• Note à l’attention des PME canadiennes : les partenaires allemands peuvent exiger une preuve de préparation à un audit et des plans de réponse aux incidents.

ITALIE

• Législation adoptée et mise en œuvre par le Parlamento Italiano (Législature Bicamérale d’Italie). Autorité de surveillance : ANC (Agence nationale de cybersécurité).
• Portée : étendu au-delà du cadre de la Directive NIS 2.
• Signalement des incidents de cybersécurité : avis en moins de 24 h, règles sectorielles plus strictes.
• Sanctions : Semblables à celles de la Directive NIS 2, avec des sanctions sectorielles plus sévères.
• Note à l’attention des PME canadiennes : les fournisseurs et les clients italiens peuvent exiger des clauses de conformité plus strictes dans les contrats en matière de signalement des incidents de cybersécurité.

ESPAGNE

• Législation adoptée et appliquée par les Cortes Generales (Chambres générales du Royaume d’Espagne). Autorité de surveillance : INCIBE.
• Portée : Aligné sur la Directive NIS 2, application rigoureuse de la législation.
• Signalement des incidents de cybersécurité : avis dans les 24 h, suivi dans les 72 h.
• Sanctions : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
• Note à l’attention des PME canadiennes : les partenaires espagnols intègrent déjà les clauses de la Directive NIS 2 dans leurs contrats d’approvisionnement.

PAYS-BAS

• Législation adoptée et mise en œuvre par la Tweede Kamer (Chambre des représentants) et l’Eerste Kamer (Sénat) des Pays-Bas. Autorité de surveillance : NCSC.
• Portée : inclut les entités du secteur public.
• Signalement des incidents de cybersécurité : avis dans les 24 h, partage proactif des rapports d’incidents.
• Sanctions : conformes à la Directive NIS 2.
• Note à l’attention des PME canadiennes : il faut s’attendre à des demandes provenant des partenaires néerlandais concernant des ententes de divulgation proactive des incidents.

SUÈDE

• Loi adoptée et appliquée par le Sveriges Riskdag (Organisme législatif décisionnel monocaméral du Royaume de Suède). Autorité de surveillance : MSB.
• Portée : conforme aux exigences de la Directive NIS 2.
• Signalement des incidents de cybersécurité : avis dans les 24 h, suivi dans les 72 h.
• Sanctions : reliées à la Directive NIS 2.
• Note à l’attention des PME canadiennes : les partenaires suédois peuvent demander des exercices conjoints de réponse aux incidents.

AUTRICHE

• Loi adoptée et appliquée par le Parlament Österreich (Parlement fédéral bicaméral de l’Autriche). Autorité de surveillance : Ministère fédéral du Numérique et des Affaires économiques.
• Portée : Conforme à la Directive NIS 2.
• Signalement des incidents de cybersécurité : avis dans les 24 h, suivi dans les 72 h.
• Sanctions : semblables aux dispositions de la Directive NIS 2.
• Note à l’attention des PME canadiennes : l’application de la loi débutera en 2026. Préparez-vous donc à d’éventuels audits de vos clients et fournisseurs autrichiens.

États membres de l’Union européenne ayant partiellement mis en oeuvre la législation

BELGIQUE

• État d’avancement : la loi a été adoptée par le Parlement fédéral belge; les mécanismes d’application sont en cours d’élaboration.
• Remarque à l’intention des PME canadiennes : les clauses belges de conformité peuvent être imprécises. Veuillez suivre les mises à jour.

POLOGNE

• État d’avancement : le projet de loi a été adopté par le Sejm (Parlement de la République de Pologne); l’autorité de surveillance en définit actuellement le champ d’application.
• Remarque à l’intention des PME canadiennes : les fournisseurs et clients polonais pourraient ne pas encore connaître leurs obligations. Veuillez prévoir une certaine flexibilité dans vos contrats.

PORTUGAL

• État d’avancement : en attente d’approbation par l’Assembleia da Portuguese República (Assemblée législative de la République du Portugal); des directives provisoires ont été publiées.
• Remarque à l’intention des PME canadiennes : considérez les fournisseurs et les clients portugais comme étant « en transition ». Veuillez exiger des déclarations provisoires de conformité.

HONGRIE

• État d’avancement : la loi a été adoptée par le Magyar Országgyűlés (l’Assemblée nationale de Hongrie); les listes sectorielles sont incomplètes.
• Remarque à l’intention des PME canadiennes : précisez l’applicabilité sectorielle avec vos fournisseurs et clients hongrois.

États membres de l’Union européenne qui sont en retard dans la mise en œuvre de la législation

GRÈCE

• État d’avancement : projet de loi en consultation au Βουλή των Ελλήνων (Parlement hellénique).
• Remarque à l’intention des PME canadiennes : les obligations des fournisseurs et clients grecs pourraient être floues; préparez-vous à des demandes soudaines de conformité.

CROATIE

• État d’avancement : le débat parlementaire sur le projet de loi est en cours au sein du Hrvatski Sabor (Assemblée nationale monocamérale de Croatie).
• Remarque à l’intention des PME canadiennes : des clauses de conformité pourraient être absentes. Veuillez suivre attentivement la situation.

BULGARIE

• État d’avancement : le projet de loi est en cours d’examen par le Народно събрание (Assemblée nationale monocamérale de Bulgarie).
• Remarque à l’intention des PME canadiennes : aucune application n’est prévue pour le moment par les fournisseurs et les clients bulgares. Des changements rapides sont à prévoir une fois la loi adoptée et en vigueur.

Feuille de travail de planification opérationnelle et orientations pratiques pour les PME canadiennes

1. Prioriser les juridictions à haut risque : France, Allemagne, Espagne, Italie (application stricte).
2. Adopter une approche fondée sur les normes les plus exigeantes : s’aligner sur les réglementations allemandes et françaises afin de couvrir toutes les juridictions.
3. Clauses contractuelles :

• • Exiger des fournisseurs qu’ils confirment leur conformité avec la Directive NIS 2.
  • Intégrer des obligations de déclaration des incidents de cybersécurité conformes aux réglementations des juridictions les plus strictes.
  • Prévoir des droits d’audit là où l’application de la réglementation est rigoureuse (Allemagne, France, Espagne, Italie).

4. Préparation à la réponse aux incidents : assurer la capacité de respecter les délais de 24 h ou 72 h pour la déclaration des incidents dans toutes les juridictions.
5. Suivre l’évolution de la situation dans les États membres de l’Union européenne les plus en retard : Grèce, Bulgarie, Croatie – se préparer à mettre à jour rapidement les contrats dès la finalisation de la législation.
6. Harmonisation transfrontalière : utiliser les cadres de conformité à l’échelle de l’UE (lignes directrices de l’ENISA) afin de réduire la fragmentation.

Conclusion

La Directive NIS 2 a été adoptée en novembre 2022, constituant une restructuration majeure de la première loi européenne sur la cybersécurité (Directive NIS 1 – 2016). Elle est entrée en vigueur le 16 janvier 2023, les États membres étant tenus de la transposer en loi nationale avant le 18 octobre 2024. Son élaboration témoigne de la réponse de l’Union européenne face à la recrudescence des attaques par rançongiciel, aux vulnérabilités des chaînes d’approvisionnement, aux cyber-incidents géopolitiques, à la mise en œuvre fragmentée de la Directive NIS 1 – 2016, et à la nécessité de règles plus strictes et harmonisées pour les secteurs essentiels. Pour conclure cette Infolettre, une question demeure : quelles sont les tendances actuelles qui façonnent la Directive NIS 2 et comment évolueront-elles dans l’avenir ? Voici un aperçu des tendances actuelles et des perspectives d’avenir.

Tendances actuelles de la Directive NIS 2

1. Croissance des investissements en cybersécurité : les organisations soumises à la Directive NIS 2 augmentent considérablement leurs budgets consacrés à la gestion des risques, à la réponse aux incidents et à la sécurité de la chaîne d’approvisionnement. L’ENISA indique que la Directive NIS 2 accélère la maturation des pratiques de cybersécurité et incite les conseils d’administration à en faire une priorité.
2. Défis relatifs à la mise en œuvre et à l’application : de nombreux États membres de l’UE n’ont pas respecté l’échéance de transposition d’octobre 2024, ce qui a entraîné une fragmentation de l’application de la directive. L’Organisation européenne de la cybersécurité (OECS) souligne l’adoption inégale et le besoin urgent d’harmonisation.
3. Priorité aux infrastructures essentielles : la Directive NIS 2 redéfinit la manière dont les hôpitaux, les réseaux énergétiques et les fournisseurs de services infonuagiques sécurisent leurs opérations, témoignant d’une préoccupation accrue concernant les risques systémiques.
4. Évolution opérationnelle : les entreprises intègrent la Directive NIS 2 dans leurs décisions quotidiennes, notamment en imposant l’authentification multifactorielle (AMF), en priorisant le renforcement des systèmes et en accélérant le signalement des incidents.
5. Pénurie de main-d’œuvre et de compétences : la conformité exige une expertise pointue, alors que les organisations font face à une pénurie de professionnels qualifiés en cybersécurité.
6. IA et technologies émergentes : l’ENISA souligne que l’IA représente à la fois un défi (nouveaux vecteurs d’attaque) et une opportunité (automatisation de la conformité et de la surveillance).

Perspectives d’avenir de la Directive NIS 2

1. Impact sur la chaîne d’approvisionnement mondiale : les fournisseurs non européens, notamment les entreprises canadiennes, devront de plus en plus démontrer leur conformité avec la Directive NIS 2 pour rester compétitifs sur les marchés de l’UE.
2. Normalisation et harmonisation : une coordination accrue au niveau de l’UE est à prévoir afin de réduire la fragmentation, avec d’éventuelles réglementations futures venant compléter la Directive NIS 2.
3. Intégration avec d’autres cadres réglementaires : la directive NIS 2 devrait s’aligner sur la loi DORA (Digital Operational Resilience Act – Loi sur la résilience opérationnelle numérique) et les réglementations sectorielles, créant ainsi un environnement de conformité à plusieurs niveaux.
4. Responsabilité au niveau du conseil d’administration : les obligations de gouvernance intégreront la cybersécurité à la stratégie d’entreprise, les dirigeants étant personnellement responsables en cas de manquements.
5. Évolution continuelle : face à l’évolution des cybermenaces, la Directive NIS 2 devrait être mise à jour ou complétée, notamment en ce qui concerne l’IA, l’informatique quantique et les risques géopolitiques.

FIGURE 5 : Tableau chronologique comparatif – tendances actuelles & perspectives d’avenir de la Directive NIS 2

Risques et défis découlant des tendances et perspectives d’avenir de la Directive NIS 2

1. Fragmentation potentielle : l’hétérogénéité des législations nationales risque de compromettre les objectifs d’harmonisation de la Directive NIS 2.
2. Charge de travail : Les petites entreprises pourraient avoir de la difficulté à assumer les coûts de conformité et les obligations de déclaration.
3. Répercussions mondiales : Les fournisseurs non européens sont soumis à des obligations indirectes, ce qui exige une harmonisation proactive avec les normes relatives à la Directive NIS 2.
4. Évolution des menaces : les attaques pilotées par l’IA et les cyber-incidents géopolitiques pourraient prendre au dépourvu les dispositions actuelles.

En guise de conclusion, la Directive NIS 2 n’est pas seulement une nouvelle loi européenne sur la conformité en matière de cybersécurité; elle est en train de devenir une référence mondiale pour une gouvernance renforcée de la cybersécurité. Pour les organisations, notamment les PME canadiennes, qui font affaire avec des partenaires européens, s’aligner dès maintenant avec la Directive NIS 2 constitue à la fois une garantie de conformité et un avantage concurrentiel pour étendre leurs activités au sein des 27 États membres de l’Union européenne.

Resources et références

1. Parlement européen (SRPE : Service de recherche du Parlement européen) – Place du Luxembourg, Bruxelles, Belgique. La Directive NIS 2 : un niveau élevé et commun de cybersécurité dans l’UE. Présentation sous forme de breffage de la législation européenne en cours. La Directive NIS 2
2. EUROPA – EUR-Lex Accueil: L’accès au droit de l’Union européenne. Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) (Texte présentant de l’intérêt pour l’EEE). Directive – 2022/2555 – FR – EUR-Lex
3. Union européenne – Commission européenne (site web officiel de l’UE). La Directive NIS 2 : la sécurisation des réseaux et des systèmes d’information – Bâtir l’avenir numérique de l’Europe. Directive SRI 2: la sécurisation des réseaux et des systèmes d’information | Bâtir l’avenir numérique de l’Europe
4. EuroLaw Hub. En anglais seulement. Plateforme technologique juridique dédiée à combler le fossé complexe entre la législation de l’Union européenne et les besoins pratiques et quotidiens des professionnels du droit, des chercheurs et des organisations internationales, y compris les PME. The NIS 2 Directive: The EU’s New Cybersecurity Rulebook for Critical Sectors. NIS2 Directive: The EU’s New Cybersecurity Rulebook for Critical Sectors
5. ENISA (en anglais seulement) – European Union Agency for Cybersecurity. The NIS 2 Technical Implementation Guidance: Publication Date – 26 June 2025. NIS 2 Technical Implementation Guidance | ENISA
6. ADVISERA (en anglais seulement). What is the NIS 2 Directive: A Detailed and Straightforward Guide? What is NIS 2? An easy-to-understand guide | Advisera
7. International Association of Privacy Professionals (en anglais seulement). EU NIS 2 Directive: 101 – High Common Level of Cybersecurity Across the European Union (Tools and Trackers Series). EU NIS 2 Directive: 101 | IAPP
8. GT Greenberg Traurig, LLP (en anglais seulement). EU NIS 2 Directive: Expanded Cybersecurity Obligations for Key Sector. EU NIS 2 Directive: Expanded Cybersecurity Obligations for Key Sectors | Insights | Greenberg Traurig LLP
9. SANS INSTITUTE (en anglais seulement). All You Need to Know About the New NIS 2 Directive. NIS 2 Directive | SANS Institute
10. AC Arthur Cox, LLP (en anglais seulement). NIS 2 & SME Guidelines: How Do They Apply and Thresholds. NIS 2 & SME guidelines: How do they apply and thresholds | Arthur Cox LLP
11. KPMG (en anglais seulement). Network and Information Security Directive (NIS 2): Levelling Up Your IT and OT Security Capabilities in Light of the NIS 2. Network & Information Security Directive (NIS 2)
12. ISMS Online (en anglais seulement). NIS 2 vs ISO 27001 Clause Mapping and Annex A Control Equivalence. NIS 2 vs ISO 27001: Map Every Clause, Expose Every Gap
13. Springer Nature Scientific Publication (en anglais seulement). International Cybersecurity Law Review. Cybersecurity of Critical Infrastructure in Europe: The NIS 2 Directive in Focus. Cybersecurity of critical infrastructure in Europe: the NIS 2 Directive in focus | International Cybersecurity Law Review | Springer Nature Link
14. European Union Cyber Security Organisation (ECSO) – (disponible seulement en anglais). White Paper – NIS 2 Implementation: Challenges and Priorities. White Paper: NIS 2 Implementation: Challenges and Priorities – ECSO
15. IT LABS (en anglais seulement). Purpose-driven development teams for high-performance, innovation & productivity. Understanding and Implementing NIS 2: The EU Cybersecurity Landscape. NIS 2 Whitepaper Final version
16. SENTINEL (en anglais seulement) – entreprise américaine de cybersécurité mondiale. Directive NIS 2 Implementation Continues to Shape EU Cybersecurity. NIS 2: Shaping the Future of EU Cybersecurity
17. ENISA – European Union Agency for Cybersecurity (en anglais seulement). Navigating Cybersecurity Investments in the Time of NIS 2. Navigating cybersecurity investments in the time of NIS 2 | ENISA
18. EVERSHEDS SUTHERLAND LLP (en anglais seulement) – Cabinet multinational d’avocats dont le siège social est situé à Londres, au Royaume-Uni. Navigating Cybersecurity Compliance: The NIS 2 Directive Implementation Tracker – EU Member States Overview. Hyperlien 1 : NIS2 Implementation Tracker Hyperlien 2 : NavigatinCyberSecurityCompliance-NIS2-Directive-Implementation-Tracker.pdf

Contributions

Nous tenons à remercier en particulier le Conseil national de recherches du Canada (CNRC) pour son soutien financier par le biais de son Programme d’aide à la recherche industrielle (PARI), lequel programme est bénéfique pour les PME innovatrices à travers les 10 provinces et 3 territoires du Canada. Les PME canadiennes innovatrices et admissibles peuvent répondre à leurs exigences en matière de cybersécurité en obtenant une aide financière relative à la conformité et les audits de certification. Pour en savoir plus sur le PARI du CNRC, veuillez consulter : À propos du Programme d’aide à la recherche industrielle du CNRC ou communiquez avec votre conseiller en technologies industrielles du PARI du CNRC.

Éditeur-en-chef de l’infolettre :

Alan Bernardi, SSCP, PMP, auditeur principal pour ISO 27001, ISO 27701 et ISO 42001
B.Sc. Informatique et Mathématiques, Université McGill, Canada
Diplôme d’études supérieures en gestion, Université McGill, Canada

Auteur-Amazon USA, informaticien, rédacteur & traducteur professionnel certifié :

Ravi Jay Gunnoo, C.P.W. ISO 24495-1:2023 & C.P.T. ISO 17100:2015
B.Sc. Informatique et Cybersécurité, Université McGill, Canada
B.Sc. & M.A. Traduction Professionnelle, Université de Montréal, Canada

Ce contenu a été préparé au mieux de nos connaissances. Bien que tous les efforts aient été faits pour garantir l’exactitude et la clarté des informations, nous ne pouvons garantir que toutes les informations sont complètes, exemptes d’erreurs ou à jour. Les opinions et informations fournies sont uniquement destinées à un usage générales.

Ce contenu est publié sous licence Creative Commons Attribution (CC BY-NC).