Maîtriser la nouvelle directive européenne « NIS 2 » (« Network and Information Security 2 »)

Mise à jour : 26 janvier 2025

Personnes concernées :

Cadres dirigeants, responsables juridiques et administratifs, responsables de la communication, responsables sécurité des systèmes d’information (RSSI), DSI et responsables conformité.

PRÉ-REQUIS :

La participation à cette formation ne nécessite pas de prérequis spécifique au regard du public auquel elle s’adresse.

Présentation et points forts :

Désormais omniprésente, la menace cyber a considérablement évolué ces dernières années.

Adoptée le 14 décembre 2022, la directive 2022/2555 du Parlement européen et du Conseil « concernant les mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union » dite « NIS 2 » se veut incarner une réponse ambitieuse aux degrés de résilience variables des Etats membres aux cyberattaques.

Elle remplace et abroge la directive NIS de 2016 et s’inscrit dans un contexte réglementaire plus large – le programme d’action numérique à l’horizon 2030 – qui comprend notamment : la directive européenne dite « REC » (Résilience des Entités Critiques), les règlements européens dits « DORA » (Digital Operational Resilience Act) et « CRA » (Cyber Résilience Act).

NIS 2 impose désormais de nouvelles obligations, pour de nombreuses entités qui n’étaient pas concernées par la précédente directive NIS 1.

Le délai de transposition de la Directive NIS 2 a expiré le 17 octobre 2024 et le projet de loi destiné à la transposer n’a toujours pas été examiné.

Mais, sans attendre cette prochaine étape cruciale, les entités françaises publiques et privées doivent s’informer et se former pour anticiper la mise en œuvre de leur conformité.

Points forts de cette formation :

• Une formation accessible aux non-techniciens / non-informaticiens / non-juristes

• Une formation exhaustive, à jour des dernières informations disponibles et notamment, des différentes communications de l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information)

• Une formation à jour des dernières évolutions législatives françaises et européennes

• Des outils pratiques pour transformer ses obligations réglementaires en avantage concurrentiel

• Des mises en situation professionnelle

objectifs DE LA FORMATION :

• Maîtriser les fondamentaux du nouveau cadre normatif européen, identifier le champ d’application des différents textes

• Maîtriser le champ d’application de la nouvelle directive NIS 2 et identifier les entités concernées

• Comprendre et maîtriser l’étendue des obligations imposées par la nouvelle directive

• Identifier les mesures techniques, opérationnelles et organisationnelles devant être implémentées dans son entité à la lumière des informations fournies par l’ANSSI

• Comprendre les nouvelles responsabilités des organes dirigeants et les risques en cas de non-conformité

• S’approprier l’outil contractuel pour sécuriser sa chaîne d’approvisionnement

• Acquérir les réflexes nécessaires pour notifier et gérer les incidents de cybersécurité auxautorités compétentes

Programme :

• Avant la formation :

  • Questionnaire de positionnement sur les sujets abordés pendant le stage

  • Ajustement du contenu de la formation si besoin

• Introduction :

  • Présentation du formateur et des stagiaires

  • Point sur les attentes et objectifs de la formation

  • Présentation du cadre de la formation

  • Quizz « le cadre réglementaire de la cybersécurité dans l’UE »

• Comprendre le changement de paradigme normatif dans l'Union Européenne (1h) :

  • Analyse du coût de la cybersécurité en France : étude Asterès

  • Quelles menaces à l’horizon 2030 ? (rapport ENISA, European Union Agency for Cybersecurity)

  • Contexte européen : des degrés de résilience très différents, le programme d’action numérique à l’horizon 2030 et la nécessité de sortir du cadre minimal posé par NIS 1

  • Analyse et infographie : comprendre le champ d’application des différents textes et leurs interactions : le RGPD, les règlements CRA et DORA, les directives REC et NIS 2

  • Les échéances posées par NIS 2

• Champ d’application de la directive : mon entité est-elle concernée (30mn) ?

  • L’abandon des OSE/OIV et FSN

  • Les critères d’éligibilité : taille, secteur d’activité et criticité des services

  • Décryptage des annexes I et II : focus sur les secteurs critiques et hautement critiques, les nouveaux entrants

• Les nouvelles obligations et le nouveau cadre d’exigences posés par NIS 2 (2h00) :

  • Le niveau d’exigence théorique posé par NIS 2

  • La mise en conformité pratique : étude détaillée des 20 objectifs de sécurité

  • Le nouveau cadre de responsabilité du dirigeant de l’entité

  • La nouvelle procédure de notification obligatoire en cas d’incident

  • Cas pratique : l’outil contractuel comme outil de sécurisation de la chaîne d’approvisionnement

  • Etude de groupe : les bonnes pratiques de l’évaluation de sa conformité.

• Conclusion :

  • Outils de veille juridique : apprendre à se tenir informé en droit, sites et ressources juridiques importantes

  • Quizz : évaluation des connaissances acquises au cours de la journée

  • Réflexion sur les applications concrètes que chacun peut mettre en œuvre

  • Bilan oral de la session et conseils personnalisés du formateur

• Après la formation : pendant les 3 mois qui suivent la formation, les participants bénéficient d’un suivi par courriel auprès du formateur. Le support pédagogique leur est transmis.