18 secteurs critiques, des exigences renforcées en matière de cybersécurité et des sanctions sévères : la nouvelle directive européenne NIS2 ne concerne pas uniquement les entreprises de l'Union européenne. Les PME suisses peuvent également entrer directement ou indirectement dans son champ d'application, souvent sans le savoir. Il est grand temps de vérifier si vous êtes concerné.
Avec des sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, l'UE envoie un message clair avec la directive NIS2 : la cybersécurité n'est plus un simple atout. Depuis octobre 2024, le nouveau cadre réglementaire s'applique dans tous les États membres de l'UE, avec des conséquences importantes pour les entreprises suisses. Ce qui est particulièrement sensible, c'est que les grandes entreprises et les infrastructures critiques ne sont pas les seules concernées. La directive vise spécifiquement les entreprises moyennes de plus de 50 employés. Même les fournisseurs qui travaillent avec des entreprises de l'UE ne peuvent guère échapper aux nouvelles exigences. Pour de nombreuses PME suisses, la question n'est donc pas de savoir si elles doivent mettre en œuvre les exigences de la NIS2, mais comment elles doivent le faire.
Outre les sanctions infligées aux entreprises, telles qu'elles sont connues depuis le RGPD (2015), les dirigeants sont désormais également responsables à titre personnel en cas de faute avérée. Ils sont tenus d'approuver les mesures de gestion des risques, de superviser leur mise en œuvre et de signaler les incidents de sécurité aux autorités ainsi qu'aux partenaires, fournisseurs et clients concernés.
Pour remplir ces obligations, les dirigeants doivent suivre régulièrement des formations afin d'être en mesure d'évaluer les cyberrisques et les mesures à prendre. En cas de manquement à cette obligation de diligence, ils s'exposent à des sanctions personnelles dont le montant et la nature sont fixés par les États membres, mais qui doivent être « efficaces, proportionnées et dissuasives ». Dans les cas extrêmes, la direction peut même être déchargée de ses fonctions jusqu'à ce que les lacunes constatées soient comblées.
L'impact de la directive NIS2 sur les entreprises suisses peut être clairement délimité : toute entreprise qui exploite une succursale dans l'UE ou y propose des services informatiques est directement soumise à la directive. Cela s'applique aux entreprises qui réalisent un chiffre d'affaires annuel supérieur à 10 millions d'euros dans l'UE en 2024 ou qui y emploient plus de 50 personnes. Les conséquences sont considérables : les entreprises concernées doivent mettre en place une gestion systématique des risques, effectuer régulièrement des audits de sécurité et signaler les incidents de sécurité dans les 24 heures. Les prestataires de services informatiques, les fournisseurs de services cloud et les entreprises des 18 secteurs critiques sont particulièrement concernés.
La sphère d'influence de la NIS2 va bien au-delà des entreprises directement réglementées. En tant que fournisseurs d'entreprises de l'UE, les PME suisses sont de plus en plus confrontées aux exigences de la NIS2, même sans obligation formelle. Les grands groupes européens doivent garantir la cybersécurité de l'ensemble de leur chaîne d'approvisionnement. Concrètement, cela signifie que les fournisseurs suisses, par exemple dans l'industrie automobile ou la construction mécanique, doivent se conformer aux normes de sécurité renforcées. De la documentation complète aux tests de pénétration réguliers, ces preuves sont déjà exigées de manière standard dans les appels d'offres européens.
L'examen systématique de vos propres activités au sein de l'UE est la première étape importante pour déterminer si vous êtes concerné par la directive NIS2. Pour cela, il convient d'examiner de près différents aspects de votre activité.
→ Si vous avez répondu «oui» à l'une de ces questions, vous devez faire vérifier en détail vos obligations au titre de la directive NIS2.
Pour les PME suisses, la loi nationale sur la sécurité de l'information (LSI) offre une bonne base de départ pour la NIS2. Les deux réglementations exigent des obligations de notification en cas de cyberincidents et une gestion structurée des risques. La NIS2 va toutefois plus loin : elle exige des mesures techniques spécifiques et un rôle actif de la direction. Tirez parti des recoupements pour mettre en place un programme de conformité intégré, ce qui vous permettra d'économiser des ressources et de gagner en clarté.
Une attention particulière doit être accordée à la mise en place d'une gestion des risques robuste et d'une réponse efficace aux incidents. La documentation des mesures prises et la formation régulière des collaborateurs sont également des facteurs clés de succès.
La deuxième étape se concentre sur les mesures techniques et organisationnelles. La mise en place d'un système robuste de gestion des incidents de sécurité est ici essentielle : mettez en place des processus clairs pour l'obligation de signaler les incidents de sécurité dans les 24 heures. Établissez une gestion systématique des risques qui tienne compte des exigences spécifiques de la NIS2. N'oubliez pas la chaîne d'approvisionnement : vos fournisseurs doivent également être impliqués.
La troisième étape concerne la structure de gouvernance. La NIS2 exige que la direction joue un rôle actif, depuis l'approbation des mesures de sécurité jusqu'à la vérification régulière de leur efficacité. Définissez des responsabilités et des procédures d'escalade claires. Il est particulièrement important de documenter toutes les décisions et mesures de manière exhaustive.
Enfin, vous devez impliquer vos collaborateurs. Les formations régulières ne sont pas seulement une exigence de la NIS2, elles sont aussi la clé du succès. Développez un programme de sensibilisation qui explique clairement les nouvelles exigences et les intègre dans le travail quotidien.
La directive NIS2 pose de nouveaux défis aux PME suisses, mais leur offre également des opportunités. En adoptant une approche systématique dès maintenant, vous pouvez non seulement mettre en œuvre efficacement les exigences, mais aussi améliorer considérablement votre cybersécurité. MTF Solutions vous aide à y parvenir grâce à une approche en trois étapes qui a fait ses preuves :
La directive européenne NIS2 concerne plus d'entreprises suisses qu'il n'y paraît à première vue. Non seulement les PME ayant des activités directes dans l'UE doivent agir, mais les fournisseurs et les partenaires commerciaux des entreprises de l'UE sont également de plus en plus tenus de se conformer aux normes de cybersécurité renforcées. Il apparaît ainsi que la NIS2 est plus qu'une obligation réglementaire. La directive offre la possibilité de systématiquement améliorer la sécurité informatique et d'obtenir ainsi un avantage concurrentiel.
Analysons ensemble votre niveau d'impact par rapport à la NIS2. Nos experts vous accompagnent avec leur expérience pratique et leurs solutions éprouvées, de la première analyse à la mise en œuvre réussie. Prenez rendez-vous dès maintenant pour un premier entretien gratuit !