Formation CISO : Les 20 Points Essentiels à Connaître
Voici un article B2B ultra-précis pour aider les dirigeants et RSSI à comprendre leurs obligations NIS2 :
**Formation CISO : Les 20 Points Essentiels à Connaître**
**Contexte et Enjeux**
La directive NIS2 (UE) 2022/2555, entrée en vigueur le 16 janvier 2023, oblige les entités essentielles et importantes à mettre en œuvre des mesures de cybersécurité pour garantir la sécurité des réseaux et systèmes d’information. Les entreprises qui ne se conforment pas à cette directive risquent de subir des sanctions administratives pouvant atteindre jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires annuel mondial.
**Section 1 : Champ d’Application et Classification**
* La directive NIS2 s’applique à **18 secteurs** répartis en deux annexes : **Annexe I** (11 secteurs hautement critiques) et **Annexe II** (7 secteurs critiques).
* Les entités opérant dans ces secteurs peuvent être classées comme **entités essentielles** ou **entités importantes** en fonction de leurs critères de taille.
**Section 2 : Critères de Taille et Classification des Entités**
* Les entités essentielles doivent avoir :
* ≥ 250 salariés
* ≥ 50 millions d’euros de chiffre d’affaires annuel
* ≥ 43 millions d’euros de bilan
* Les entités importantes doivent avoir :
* 50-249 salariés
* 10-50 millions d’euros de chiffre d’affaires annuel
* 10-43 millions d’euros de bilan
**Section 3 : Mesures de Cybersécurité**
* L’article 21 de la directive NIS2 impose des mesures de gestion des risques, regroupées en plusieurs catégories :
* **Définition et mise en œuvre d’une stratégie de cybersécurité**
* **Définition et mise en œuvre d’une politique de sécurité**
* **Définition et mise en œuvre d’un plan d’urgence**
* **Définition et mise en œuvre d’un plan de continuité d’activité**
**Section 4 : Obligations de Notification**
* Les entités concernées doivent notifier les incidents de cybersécurité à l’autorité compétente (ANSSI en France) :
* **Alerte précoce** : dans les 24 heures suivant la découverte de l’incident
* **Rapport intermédiaire** : dans les 72 heures suivant la découverte de l’incident
* **Rapport final** : dans un délai maximum de 1 mois suivant la découverte de l’incident
**Section 5 : Sanctions Administratives**
* Les entités essentielles peuvent être sanctionnées administrativement :
* **10 millions d’euros** ou
* **2% du chiffre d’affaires annuel mondial**
**Section 6 : Transposition en France**
* La France a manqué la date limite de transposition fixée au 17 octobre 2024.
* La transposition législative est en cours (vote Sénat mars 2025, Assemblée septembre 2025).
**Encadré Récapitulatif**
| Champ d’application | Critères de taille | Mesures de cybersécurité | Obligations de notification | Sanctions administratives |
|——————–|——————-|————————-|—————————–|————————-|
| 18 secteurs | Entités essentielles : ≥ 250 salariés, ≥ 50 millions d’euros CA, ≥ 43 millions d’euros bilan | Définition et mise en œuvre d’une stratégie de cybersécurité | Alerte précoce (24h), Rapport intermédiaire (72h), Rapport final (1 mois) | 10 millions d’euros ou 2% CA mondial |
**FAQ**
1. **Qu’est-ce que la directive NIS2?**
La directive NIS2 (UE) 2022/2555 est une directive européenne qui oblige les entités essentielles et importantes à mettre en œuvre des mesures de cybersécurité pour garantir la sécurité des réseaux et systèmes d’information.
2. **Quels sont les secteurs concernés?**
La directive NIS2 s’applique à **18 secteurs** répartis en deux annexes : **Annexe I** (11 secteurs hautement critiques) et **Annexe II** (7 secteurs critiques).
3. **Quels sont les critères de taille pour les entités essentielles?**
Les entités essentielles doivent avoir :
* ≥ 250 salariés
* ≥ 50 millions d’euros de chiffre d’affaires annuel
* ≥ 43 millions d’euros de bilan
4. **Quelles sont les obligations de notification?**
Les entités concernées doivent notifier les incidents de cybersécurité à l’autorité compétente (ANSSI en France) :
* **Alerte précoce** : dans les 24 heures suivant la découverte de l’incident
* **Rapport intermédiaire** : dans les 72 heures suivant la découverte de l’incident
* **Rapport final** : dans un délai maximum de 1 mois suivant la découverte de l’incident
5. **Quelles sont les sanctions administratives?**
Les entités essentielles peuvent être sanctionnées administrativement :
* **10 millions d’euros** ou
* **2% du chiffre d’affaires annuel mondial**
**CTA**
* Découvrez comment notre accompagnement en cybersécurité peut vous aider à vous conformer à la directive NIS2 et à renforcer la sécurité de vos réseaux et systèmes d’information.
**Lien vers la landing page**
* [Accompagnement en cybersécurité pour les entités NIS2](/nis2-accompagnement-cybersecurite/)