quel est l'obligation de diligence raisonnable en vertu de la directive NIS2 en langage simple

Dix mesures concrètes pour maîtriser les risques cyber

L'obligation de diligence signifie qu'une organisation prend des mesures appropriées pour sécuriser ses réseaux et systèmes d'information, et qu'elle peut démontrer quelles sont ces mesures. Il ne s'agit pas d'un seul document ou d'une seule case à cocher, mais d'un ensemble de dix thèmes qui forment ensemble la base : allant de l'analyse des risques et la politique à la gestion des fournisseurs, le chiffrement, la gestion des accès et ce qui se passe en cas d'incident. Les organisations soumises à la loi sur la cybersécurité doivent avoir organisé quelque chose sur chacun de ces dix thèmes — et non seulement sur papier, mais aussi dans la pratique.

Détail important : l'obligation de diligence n'est pas une liste fixe de produits techniques obligatoires. Le mot « approprié » est décisif ici — ce qui est approprié pour une grande entreprise énergétique ne ressemble pas à ce qui est approprié pour un fournisseur de logiciels de taille moyenne. La taille de l'organisation, la sensibilité des données et le risque qu'une perturbation ou un incident entraîne jouent un rôle. Un aperçu de quelles sont les dix mesures que je dois prendre selon la directive NIS2 montre comment ces thèmes se présentent sur le plan du contenu. Les organisations qui travaillent déjà avec un système de gestion comme l'ISO/IEC 27001 reconnaissent bon nombre de ces thèmes dans les mesures de contrôle de l'Annexe A — bien que cela ne soit en soi aucune garantie que l'obligation de diligence est satisfaite, comme l'explique également ai-je toujours besoin de la norme ISO 27001 si je suis déjà conforme à la directive NIS2.

D'où cela découle : article 21 NIS2 et loi sur la cybersécurité

L'obligation de diligence et les dix mesures sont décrites à l'article 21, paragraphe 2 de la directive NIS2 ; la loi sur la cybersécurité transpose cette obligation dans la législation néerlandaise pour les organisations qui en relèvent. Le NCSC fournit en outre des conseils sur la manière dont l'obligation de diligence et l'obligation de signalement se rapportent dans la pratique. Le fait qu'une organisation doive elle-même satisfaire à cette obligation dépend du secteur et de la taille — cela peut être établi par comment savoir si mon entreprise est soumise à la directive NIS2.