Directive NIS 2 : 80% des entreprises européennes prêtes à se conformer aux nouvelles obligations

Une étude a révélé que 80 % des entreprises européennes estiment être prêtes à se conformer à la directive NIS 2, qui renforce les exigences en matière de cybersécurité pour les secteurs critiques. Cependant, ce chiffre cache une réalité plus complexe : près de 20 % des entreprises affirment ne pas être prêtes, en grande partie à cause d’un manque de compétences en cybersécurité et d’une insuffisance des budgets alloués à cette transformation.

🟠 Qu’est-ce que la directive NIS 2 ?

Adoptée en 2023, la directive NIS 2 (Network and Information Systems Directive) a pour objectif de renforcer la cybersécurité au sein de l’Union européenne en imposant de nouvelles obligations aux entreprises des secteurs jugés essentiels, tels que l’énergie, la santé, le transport ou encore les infrastructures numériques. Cette directive exige des entreprises qu’elles améliorent leurs systèmes de sécurité informatique, mettent en place des plans de gestion des incidents et, surtout, qu’elles se préparent à réagir rapidement en cas de cyberattaques.

🟠 Un engagement fort de la part de la majorité des entreprises

L’étude montre une réelle volonté de conformité chez la majorité des entreprises. En effet, plus de 80 % ont d’ores et déjà pris des mesures pour se conformer aux exigences de la directive NIS 2, comme l’amélioration de leurs infrastructures numériques, la formation de leurs équipes à la gestion des incidents ou encore l’adoption de nouvelles solutions technologiques pour sécuriser leurs réseaux. Cet engagement est le fruit d’une prise de conscience accrue des risques que représentent les cyberattaques, qui sont devenues de plus en plus fréquentes ces dernières années.

🟠 Les freins à la conformité pour 20% des entreprises

Cependant, près d’un cinquième des entreprises se disent encore loin de pouvoir répondre aux exigences de NIS 2. Deux principales raisons sont évoquées :

  1. Le manque de compétence en cybersécurité: De nombreuses entreprises, en particulier les PME, peinent à recruter des experts en cybersécurité. Face à la complexité croissante des menaces numériques, les besoins en experts dans ce domaine n’a jamais été aussi fort, mais l’offre de spécialistes qualifiés reste limitée. Cette pénurie de compétences empêche certaines entreprises de mettre en œuvre les mesures nécessaires pour garantir la sécurité de leurs systèmes.
  2. L’insuffisance des budgets alloués : La mise en conformité avec NIS 2 peut représenter un coût important, que toutes les entreprises ne sont pas prêtes à supporter. La mise à niveau des infrastructures, l’acquisition de nouvelles technologies et la formation des employés sont des investissements lourds, particulièrement pour les entreprises de petite taille ou de taille moyenne.

🟠 L’importance d’investir dans la cybersécurité  

Face à cette situation, il est crucial de rappeler que les risques de non-conformité sont élevés. Les entreprises qui ne respecteront pas les exigences de NIS 2 s’exposent à des sanctions financières importantes, mais aussi à des pertes de confiance de la part de leurs clients et partenaires. De plus, dans un contexte où les cyberattaques se multiplient, une défaillance en matière de cybersécurité pourrait avoir des conséquences désastreuses, tant sur le plan financier que sur la réputation de l’entreprise.

En investissant dès maintenant dans la cybersécurité et en développant une culture de la conformité au sein de leur organisation, les entreprises peuvent non seulement se protéger contre les menaces extérieures, mais aussi renforcer leur position sur le marché en tant qu’acteurs responsables et fiables.

🟠 Conclusion

La directive NIS 2 représente un défi important pour les entreprises européennes, mais elle constitue aussi une opportunité d’améliorer la résilience de l’économie face aux menaces numériques. Les entreprises qui s’adaptent rapidement à ces nouvelles exigences renforceront non seulement leur sécurité, mais aussi leur compétitivité. Les 20 % d’entreprises encore non préparées doivent saisir cette opportunité pour combler leur retard, en investissant dans les compétences et les outils nécessaires pour répondre aux nouvelles exigences de cybersécurité.

 

Pour en savoir plus / sources :

La Commission nationale de l'informatique et des libertés (CNIL) a récemment intensifié ses actions contre les éditeurs de sites web qui utilisent des bannières de gestion des cookies jugées trompeuses. En réaction à plusieurs plaintes d’internautes, la CNIL a mis en demeure plusieurs sites de modifier leurs pratiques, estimant qu’elles ne garantissent pas un consentement valide des utilisateurs.

Le 8 janvier 2025, le Tribunal de l’Union Européenne (TUE) a rendu une décision marquante dans l’affaire T-345/22 (Bindl / Commission), condamnant la Commission Européenne pour un transfert non autorisé de données personnelles vers les Etats-Unis. En cause : l’utilisation du module « Se connecter avec Facebook », qui a conduit à la transmission de l’adresse IP d’un citoyen européen à des entreprises américaines telles que Meta Platforms ou Amazon Web Services. Une décision qui souligne les risques liés aux outils d’authentification tiers et les obligations strictes du RGPD.

Dans une décision en date du 04 octobre 2024 (C-621/22), la Cour de justice de l’Union européenne (CJUE) a apporté une clarification majeure sur l’interprétation de l’article 6 du Règlement Général sur la Protection des Données (RGPD). Elle a jugé qu’un intérêt commercial pouvait être reconnu comme un intérêt légitime pour justifier le traitement de données personnelles, sous réserve de conditions strictes.

Depuis le 1er mars 2024, le cadre réglementaire des promotions sur les produits de grande consommation a été profondément modifié. Jusque-là limité aux produits alimentaires, l’encadrement des promotions s’étend désormais à l’ensemble des produits de grande consommation, impactant ainsi les stratégies commerciales des entreprises, notamment dans le secteur du e-commerce. Cette réforme, issue de la loi Descrozaille / Egalim 3 du 30 mars 2023, vient compléter et modifier les dispositions de la loi Asap du 7 décembre 2020. Dans ce contexte, la Direction Générale de la Concurrence, de la Consommation et de la Répression des Fraudes (DGCCRF) veille à l’application stricte de ces nouvelles obligations, afin de garantir une concurrence loyale et une meilleure information des consommateurs.