Cybersécurité : l’enjeu territorial de la NIS2

Avec le projet de loi visant à transposer en droit français la directive européenne NIS2 (Network and Information Security 2) votée par les sénateurs le 12 mars 2025, le périmètre des acteurs ciblés par l’extension de la réglementation « cyber » européenne s’élargit.

Aujourd’hui, en France, 15 000 nouvelles organisations (contre 500 avec NIS1) sont directement concernées. Elles opèrent dans les secteurs considérés comme « critiques » : énergie, transport, santé, assainissement, infrastructures et services numériques, administrations publiques, télécommunication, finance. Concrètement, les entreprises de services postaux et de messagerie, de gestion des déchets, de fabrication, production et distribution de produits chimiques, de production, transformation et distribution de denrées alimentaires, de fabrication de dispositifs médicaux, d'ordinateurs, d'équipements électroniques et optiques entrent dans le scope de la NIS2 et des directives REC (Résilience des infrastructures critiques) et DORA (Digital Operational Resilience Act) également adoptées au Sénat. 

Si l’adoption définitive de la loi par l’Assemblée nationale est attendue d’ici l’été, les organisations désormais concernées doivent adopter sans attendre les mesures nécessaires pour se protéger des cyberattaques et engager des stratégies de résilience. 

Collectivités territoriales et établissements d'enseignement supérieur directement concernés en France

Comme l’a souligné la commission spéciale du Sénat, l'élargissement du scope d'application de la loi « cyber » aux collectivités territoriales et aux établissements d’enseignement supérieur est essentiel et pertinent pour plusieurs raisons :

• Vulnérabilité et ciblage accru. Les collectivités et établissements d’enseignement sont de plus en plus victimes des cybercriminels. Les attaques par rançongiciels les ciblant ont respectivement augmenté de 24% et 9% en 2022-2023 [CL1] en raison des données sensibles que ces organisations traitent (données personnelles des citoyens, données de recherche, etc.).
• Continuité des services essentiels. Les cyberattaques peuvent paralyser les services publics locaux et les activités éducatives, ayant un impact direct sur les citoyens et les étudiants.
• Hétérogénéité des niveaux de sécurité. L'inclusion dans le champ d'application de la loi vise à harmoniser et à élever le niveau de protection global, en instaurant des obligations et des standards communs afin de réduire la disparité des niveaux de cybersécurité entre les entités.
• Responsabilisation et gouvernance. L'application de la directive encourage la mise en place d'une gouvernance de sécurité plus structurée au sein de ces organisations, avec des responsabilités clairement définies en matière de cybersécurité.
• Coopération et partage d'Informations. Inclure ces entités dans le cadre réglementaire peut faciliter la coopération et le partage d'informations sur les menaces et les bonnes pratiques avec l'ANSSI (Agence nationale de la sécurité des systèmes d'information) et d'autres acteurs de la cybersécurité, renforçant ainsi la posture de sécurité 

Inetum Cyber ​​Trust, un partenaire de confiance

Fort d’une empreinte publique et territoriale dense, d’une expertise en cybersécurité et en conformité réglementaire, et de nos référencements UGAP et CANUT, Inetum propose d’accompagner les collectivités et les établissements d’enseignement à travers plusieurs services :

• Accompagnement spécialisé. Nous réalisons des audits de cybersécurité pour mettre en place des plans de remédiation et de mesures de sécurité conformes à NIS2 et définir des politiques de sécurité claires.
• Offres de sensibilisation et de formation ciblées. Nous proposons des exercices de crise impactant et stimulants entre métier et IT, entre communication et régulateurs, à partir de programmes basés sur les nouvelles technologies comme l’IA, des formations immersives et interactives avec le métaverse, ou encore en faisant intervenir des experts comme d’anciens membres du GIGN, pompiers et hauts fonctionnaires.
• Unifier les actions. Nous rationalisons les contrôles et remédiation non contradictoires dans un même programme pour englober l’ensemble des actions propres aux différentes réglementations cyber.
• Cybersurveillance. Nous assurons une veille spécifique aux menaces ciblant les collectivités territoriales et les établissements d'enseignement supérieur à partir de notre CERT (Computer Emergency Response Team).
• Conduite du changement. Nous connaissons le challenge de responsabiliser et concerner l’ensemble des élus et institutions dans l’intégration de la sécurité comme un élément essentiel dans leur mandat. 

Élargir le champ d'application de la NIS2 aux collectivités territoriales et aux établissements d'enseignement supérieur est une mesure nécessaire pour protéger ces acteurs essentiels face à la menace cyber croissante. En tant que leader européen des solutions et services numériques, Inetum s’engage à accompagner ces organisations dans la mise en œuvre efficace des nouvelles exigences réglementaires.

Un projet cyber ? Contactez romain.massari@inetum.com
Linkedin Romain MASSARI / Inetum