Qu’est-ce que la directive NIS 2 ?
NIS 2 (Network and Information Security, 2ème version) est une directive européenne adoptée en décembre 2022, qui remplace et élargit considérablement la première directive NIS de 2016. Son objectif : relever le niveau de cybersécurité à l’échelle de l’Union européenne en imposant des obligations concrètes à un périmètre d’entités bien plus large qu’auparavant.
En France, la transposition est en cours via le projet de loi « Résilience des infrastructures critiques et renforcement de la cybersécurité ». L’ANSSI en sera le chef d’orchestre, avec des pouvoirs de contrôle et de sanction renforcés.
Les communes sont-elles concernées ?
Oui, et plus largement qu’on ne pourrait le croire. La directive distingue deux catégories :
- Entités essentielles : grandes collectivités, métropoles, communautés urbaines…
- Entités importantes : communautés d’agglomération, intercommunalités sans commune de plus de 30 000 habitants…
Les petites communes isolées ne sont pas directement dans le périmètre obligatoire, mais elles sont fortement incitées à s’y conformer — notamment parce qu’elles partagent souvent des infrastructures avec des entités qui, elles, sont soumises à NIS 2. Une compromission d’une petite commune peut ainsi contaminer l’ensemble d’un réseau intercommunal.
Quelles sont les obligations concrètes ?
- Évaluation des risques : identifier et documenter les risques pesant sur le système d’information, y compris le site web.
- Plan de résilience : définir des procédures pour maintenir ou rétablir les services en cas d’incident.
- Déclaration des incidents : toute attaque significative doit être signalée à l’ANSSI dans des délais stricts (24h pour une alerte préliminaire, 72h pour un rapport détaillé).
- Formation des agents : les équipes municipales doivent être sensibilisées aux bonnes pratiques de cybersécurité.
- Sécurisation de la chaîne de sous-traitance : les prestataires web, hébergeurs et éditeurs de logiciels doivent eux aussi présenter des garanties de sécurité.
Quelles sanctions en cas de non-conformité ?
Pour les entités importantes, les sanctions peuvent atteindre 1,4 % du chiffre d’affaires annuel mondial (ou du budget pour les collectivités). Pour les entités essentielles, ce plafond monte à 2 %. L’ANSSI peut également réaliser des audits, imposer des mises en demeure et, en dernier recours, saisir une commission des sanctions.
Par où commencer ?
La bonne nouvelle : NIS 2 n’impose pas de perfection, mais une démarche structurée et documentée. Pour une commune, les premières étapes concrètes sont :
- Réaliser un état des lieux de son exposition numérique (site web, messagerie, accès distants…).
- Identifier ses prestataires numériques et vérifier leurs pratiques de sécurité.
- Mettre à jour son site web et s’assurer qu’il est hébergé chez un prestataire fiable.
- Former le personnel municipal aux gestes de base (mots de passe, phishing, signalement).
