Directive et Loi NIS 2 : quels changements aujourd’hui ?

La directive NIS-2 a désormais été transposée en Belgique sous la loi du 26 avril 2024, baptisée Loi NIS 2, en vigueur depuis le 18 octobre 2024 en Belgique. Quelles sont les nouveautés vis-à-vis de l’ancien texte ?

Quelles nouvelles mesures doivent être mises en œuvre ?

Les organisations couvertes par NIS-2 sont soumises à de multiples obligations, plus ou moins contraignantes, en fonction de leur appartenance à la catégorie des entités essentielles ou importantes.

Notamment :

• Prendre des mesures techniques, organisationnelles et opérationnelles plus détaillées que précédemment. Parmi ces mesures, on retrouve :
  • L’adoption d’un plan de continuité afin de garantir la résilience en cas de cyberattaque.
  • La mise en place d’un audit de la chaîne d’approvisionnement, afin de mieux identifier et réduire les risques présents chez les fournisseurs.
• Une formation obligatoire en cybersécurité pour le personnel concerné.
• Une obligation de notification des incidents importants :
  • par une alerte précoce dans les 24 heures,
  • puis par une notification d’incident complète dans les 72 heures.

Le non-respect de ces obligations entraîne désormais des sanctions administratives substantielles, comparables à celles du RGPD :

• Pour une entité essentielle : jusqu’à 10 000 000 EUR ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent.
• Pour une entité importante : jusqu’à 7 000 000 EUR ou 1,4 % du chiffre d’affaires annuel mondial total de l’exercice précédent.

Quelles différences entre les obligations de notification de la directive NIS-2 et du RGPD ?

	NIS-2	RGPD
Que concerne la notification ?	Concerne toutes brèches de sécurité et violations de données, personnelles ou non.	Ne concerne que les violations en lien avec des données à caractère personnel.
Que faut-il notifier ?	Obligation de notification si l’incident a un impact important sur les réseaux et systèmes d’information d’une entité ou les utilisateurs des services de l’entité, en causant un dommage matériel, corporel ou moral considérable.	Obligation de notification si l’incident constitue un risque pour les droits et libertés des personnes physiques.
A qui notifier ?	Notification d’une alerte précoce au CERT ou, selon le cas, à l’autorité compétente, dans les meilleurs délais et, si possible, dans les 24 heures après la prise de connaissance de l’incident. Notification d’incident dans les 72 heures.	Notification à l’APD dans les meilleurs délais, et si possible, 72 heures après la prise de connaissance de l’incident.
Quand notifier aux clients ?	Notification, sans retard injustifié, de l’incident aux destinataires des services de l’entité	Si risque élevé pour les droits et libertés des personnes concernées, notification à celles-ci dans les meilleurs délais.