NIS2 Article 21

Définition

L'article 21 de la directive NIS2 (Network and Information Security 2), adoptée par l'Union européenne en 2022 et transposée dans les législations nationales des États membres, définit les mesures de gestion des risques de cybersécurité que doivent obligatoirement mettre en œuvre les entités essentielles et importantes relevant du champ d'application de la directive, un périmètre sectoriel considérablement élargi par rapport à la directive NIS originale. Le texte impose une approche fondée sur une analyse des risques et exige, de manière non exhaustive, la mise en place de politiques d'analyse des risques et de sécurité des systèmes d'information, la gestion des incidents incluant leur détection et leur traitement, la continuité d'activité avec gestion des sauvegardes et plans de reprise après sinistre, la sécurité de la chaîne d'approvisionnement couvrant les relations avec les fournisseurs et prestataires directs, l'intégration de la sécurité dans l'acquisition, le développement et la maintenance des systèmes, l'évaluation de l'efficacité des mesures mises en place, des pratiques d'hygiène informatique de base et de formation à la cybersécurité, des politiques et procédures relatives à l'usage de la cryptographie et du chiffrement, la sécurité des ressources humaines, ainsi que l'usage de solutions d'authentification multifacteur pour les accès sensibles. Le non-respect expose les dirigeants à une responsabilité personnelle et l'organisation à des sanctions financières significatives.