La directive NIS2 renforce les exigences en matière de cybersécurité pour les organisations qui fournissent des services essentiels et importants dans toute l’Union européenne. Pour les équipes IT et sécurité, la directive a des implications concrètes sur la manière dont les organisations gèrent les risques de cybersécurité, contrôlent les accès, réagissent aux incidents, traitent les vulnérabilités et démontrent que les mesures de sécurité sont appliquées de façon cohérente.
Ces exigences deviennent de plus en plus concrètes à mesure que les États membres de l’UE mettent en œuvre NIS2 par le biais de leur législation nationale. Aux Pays-Bas, la Cyberbeveiligingswet mettant en œuvre NIS2 est entrée en vigueur le 15 août 2026, instaurant de nouvelles obligations en matière de cybersécurité, d’enregistrement et de signalement des incidents pour les organisations concernées.
Les équipes IT doivent comprendre quelles pratiques de cybersécurité elles doivent mettre en œuvre et comment leur pile technologique peut les aider à maintenir ces contrôles dans le temps.
Qu’est-ce que NIS2 ?
La directive sur la sécurité des réseaux et de l'information 2, communément appelée NIS2, est une directive européenne sur la cybersécurité conçue pour renforcer la cybersécurité et la résilience dans les secteurs critiques et importants.
NIS2 étend la directive NIS d’origine en appliquant des exigences de gestion des risques de cybersécurité et de signalement des incidents à un éventail plus large d’organisations. Cela renforce également les attentes dans des domaines tels que la gestion des vulnérabilités, la sécurité des accès, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, la gestion des incidents et la responsabilité organisationnelle.
Les États membres de l’UE mettent en œuvre NIS2 par le biais de la législation nationale. Bien que la directive sous-jacente établisse des objectifs communs de cybersécurité dans toute l’UE, les organisations doivent examiner les exigences spécifiques applicables dans chaque pays où elles opèrent.
Qui doit se conformer à NIS2 ?
NIS2 s’applique aux organisations classées comme entités essentielles ou importantes dans un large éventail de secteurs. L’applicabilité dépend de plusieurs facteurs, notamment des services fournis par l’organisation, de sa taille, de son secteur et de la législation nationale mettant en œuvre la directive.
Les secteurs couverts comprennent notamment :
Énergie
Transport
Infrastructures bancaires et de marché financier
远程医疗
Infrastructure numérique
Gestion des services IT
Administration publique
Fabrication de certains produits critiques
Fournisseurs numériques
Services postaux et de messagerie
Gestion des déchets
Production et distribution alimentaires
Produits chimiques
Recherche
Les organisations doivent évaluer leur situation spécifique plutôt que de se fier uniquement au secteur d’activité ou à la taille de l’entreprise pour déterminer si NIS2 s’applique.
Quelles exigences de cybersécurité la directive NIS2 introduit-elle ?
NIS2 exige des organisations concernées qu’elles prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques de cybersécurité. L’article 21 de la directive identifie plusieurs domaines que les organisations doivent traiter.
Pour les équipes IT, plusieurs exigences ont des implications directes sur les opérations de sécurité au quotidien :
1. Gestion des risques de cybersécurité
Les organisations ont besoin de processus pour identifier les risques de cybersécurité et mettre en œuvre les mesures appropriées afin de les réduire.
Une gestion efficace des risques repose sur une visibilité continue des systèmes, des utilisateurs, des terminaux, des vulnérabilités et des configurations de sécurité. Les équipes IT ont également besoin de processus pour évaluer si leurs contrôles de sécurité continuent de fonctionner efficacement à mesure que les environnements et les menaces évoluent.
2. Prévention, détection et réponse aux incidents
La directive NIS2 impose aux organisations de se préparer aux incidents de cybersécurité et d’établir des processus pour les gérer.
Cela rend la visibilité particulièrement importante. Les équipes IT et sécurité ont besoin de suffisamment d’informations sur les systèmes et les activités pour identifier les problèmes potentiels, enquêter sur les incidents, prendre des mesures correctives et fournir les éléments de preuve nécessaires au signalement des incidents et à l’analyse post-incident.
3. Gestion des vulnérabilités et sécurité logicielle
La gestion des vulnérabilités est un autre élément important du cadre NIS2.
Les organisations ont besoin de processus pour identifier les vulnérabilités dans leurs environnements technologiques et y remédier avant qu’elles ne créent une exposition inutile. Cela comprend la maintenance des systèmes d’exploitation et des applications, l’application des mises à jour de sécurité, le suivi de l’avancement des correctifs et l’évaluation de l’efficacité continue des mesures de sécurité.
Un processus de gestion des correctifs reproductible peut aider à réduire le délai entre l’identification d’une vulnérabilité et la correction des systèmes affectés.
4. Identité, authentification et contrôle d’accès
La directive NIS2 traite spécifiquement du contrôle d’accès et des mesures de sécurité liées à l’identité.
Les équipes IT doivent pouvoir déterminer qui peut accéder aux systèmes et aux ressources, appliquer les autorisations appropriées, supprimer les accès lorsqu’ils ne sont plus nécessaires et utiliser des mécanismes d’authentification forte lorsque cela est approprié.
Ces pratiques deviennent particulièrement importantes pour l’administration et le support à distance, où les utilisateurs privilégiés peuvent accéder aux systèmes depuis l’extérieur du périmètre réseau traditionnel de l’organisation.
5. Surveillance de la sécurité et auditabilité
Les organisations doivent également disposer de moyens pour évaluer l’efficacité de leurs mesures de cybersécurité.
Des journaux centralisés, des enregistrements d’activité, des informations sur les terminaux et des rapports de sécurité peuvent aider les équipes à enquêter sur les événements et à démontrer comment les contrôles sont appliqués. Le fait de conserver des éléments de preuve accessibles facilite également l’examen des processus de sécurité et la préparation des audits.
La journalisation à elle seule ne suffit pas à satisfaire aux exigences NIS2, mais des enregistrements fiables constituent un élément important d’un programme de conformité plus large.
6. Continuité d’activité et sécurité de la chaîne d’approvisionnement
NIS2 va bien au-delà de la sécurité des terminaux et des accès. La directive couvre également des domaines tels que :
Continuité des activités
Gestion des sauvegardes et reprise après sinistre
Gestion de crise
Sécurité de la chaîne d’approvisionnement
Politiques de sécurité
Formation à la cybersécurité
Cryptographie et chiffrement
Sécurité des ressources humaines
Gestion des actifs
Les organisations ont donc besoin d’un programme de conformité coordonné impliquant la technologie, les processus, les politiques, les employés, les fournisseurs et la direction.
Que signifie NIS2 pour les équipes IT ?
Pour de nombreuses équipes IT, NIS2 renforce la nécessité de rendre les pratiques de cybersécurité existantes plus cohérentes, plus visibles et plus reproductibles.
Les priorités opérationnelles importantes comprennent :
Maintenir une visibilité sur les appareils, les applications, les vulnérabilités et l’état de sécurité.
Maintenir les systèmes d’exploitation et les applications à jour avec des correctifs grâce à des processus définis.
Contrôler et réviser régulièrement l’accès aux systèmes.
Appliquer une authentification forte et des autorisations d’accès appropriées.
Tenir des journaux et des enregistrements d’activité utiles pour les enquêtes et les audits.
Identifier rapidement les problèmes de sécurité et mettre en place des processus de remédiation reproductibles.
Automatiser les workflows de sécurité et de maintenance lorsque cela est approprié.
Maintenir des inventaires précis du matériel et des logiciels.
Évaluer si les contrôles de cybersécurité continuent de fonctionner comme prévu.
Produire des preuves montrant comment les contrôles de sécurité sont appliqués.
Pour les organisations qui suivent déjà des pratiques de cybersécurité avancées, NIS2 peut renforcer de nombreux processus existants. L’enjeu consiste à garantir que ces processus fonctionnent de manière cohérente dans l’ensemble de l’environnement et qu’ils puissent être démontrés en cas de besoin.
Mise en œuvre de NIS2 dans l'Union européenne
NIS2 établit un cadre commun de cybersécurité dans l’Union européenne, mais chaque État membre met en œuvre la directive au moyen de sa propre législation nationale.
Par conséquent, les organisations doivent examiner les exigences spécifiques applicables dans chaque pays où elles exercent leurs activités. Celles-ci peuvent inclure des règles nationales relatives à l’enregistrement des entités, à la gestion des risques de cybersécurité, au signalement des incidents, aux autorités de contrôle et à l’application de la réglementation.
Bien que les modalités de mise en œuvre varient selon les pays, les objectifs sous-jacents de cybersécurité de NIS2 restent globalement cohérents dans l’ensemble de l’UE.
Comment Splashtop aborde la conformité à NIS2
Splashtop respecte les exigences NIS2 applicables et a mis en place plus de 150 contrôles alignés sur les exigences applicables aux fournisseurs de services cloud. Ces contrôles contribuent à établir une approche structurée pour gérer les responsabilités en matière de cybersécurité liées à la fourniture de services cloud.
Comme NIS2 est mise en œuvre par le biais de la législation nationale, certaines obligations sont propres à chaque pays. Par exemple, Splashtop s’est enregistré auprès du Centre national de cybersécurité des Pays-Bas (NCSC-NL) conformément aux exigences néerlandaises applicables.
Pour les organisations qui évaluent des fournisseurs technologiques dans le cadre de leurs propres programmes NIS2, les pratiques de cybersécurité d’un fournisseur et sa posture réglementaire peuvent également entrer en ligne de compte dans des évaluations plus larges des risques liés aux fournisseurs et à la chaîne d’approvisionnement.
Comment Splashtop peut répondre aux exigences de cybersécurité de NIS2
Les organisations peuvent également utiliser les capacités de Splashtop pour prendre en charge plusieurs des pratiques techniques impliquées dans le maintien d’un programme de conformité NIS2.
1. Accès à distance sécurisé et authentification
L’accès à distance doit être étroitement contrôlé lorsque les employés, les administrateurs IT, les fournisseurs et les techniciens de support peuvent se connecter aux systèmes de l’entreprise depuis différents lieux.
Splashtop offre des fonctionnalités de sécurité et d’administration, notamment des connexions à distance chiffrées, l’authentification multifacteur, l’intégration SSO/SAML, des autorisations granulaires et une gestion centralisée.
Ces contrôles aident les organisations à gérer qui peut accéder à distance aux systèmes et à appliquer une authentification renforcée aux workflows à distance.
2. Contrôle des accès et moindre privilège
Les utilisateurs doivent disposer du niveau d’accès nécessaire à leurs responsabilités, sans bénéficier d’un accès aux systèmes inutilement étendu.
Splashtop permet aux administrateurs de gérer de manière centralisée les utilisateurs, les groupes, les ordinateurs et les autorisations. Les organisations peuvent utiliser ces contrôles pour déterminer quels utilisateurs peuvent accéder à des systèmes spécifiques et modifier les accès à mesure que les responsabilités évoluent.
La centralisation de ces contrôles permet également aux équipes IT de vérifier plus facilement les autorisations d’accès à distance et de supprimer les accès lorsqu’ils ne sont plus nécessaires.
3. Journalisation et preuves d’audit
Comprendre qui a accédé à un système et à quel moment est important pour les enquêtes de sécurité et la préparation aux audits.
Splashtop offre des fonctionnalités de journalisation des sessions et des activités qui peuvent aider les organisations à conserver des enregistrements de l’activité d’accès à distance. Selon la solution Splashtop et la configuration, les organisations peuvent également utiliser des capacités supplémentaires de journalisation et de SIEM pour intégrer l’activité pertinente dans des workflows plus larges de surveillance de la sécurité.
Ces enregistrements fournissent une source supplémentaire de preuves lorsque les équipes IT enquêtent sur des événements de sécurité, examinent l’activité d’accès ou démontrent le fonctionnement des contrôles.
4. Gestion des vulnérabilités et des correctifs avec Splashtop AEM
Les vulnérabilités non corrigées peuvent exposer inutilement les terminaux. Splashtop AEM aide les équipes IT à rendre la gestion des vulnérabilités et des correctifs plus continue grâce à une visibilité centralisée et à l’automatisation.
Avec Splashtop AEM, les équipes informatiques peuvent :
Identifiez les vulnérabilités affectant les terminaux gérés.
Utilisez les informations CVE pour aider à prioriser les actions de remédiation.
Appliquez les correctifs aux systèmes d’exploitation pris en charge et aux applications tierces.
Appliquez des politiques de correctifs à des groupes de terminaux.
Surveillez l’état des correctifs et identifiez les échecs.
Maintenez l’inventaire du matériel et des logiciels.
Utilisez l’automatisation pour réduire le travail répétitif de remédiation.
Au lieu de s’appuyer principalement sur des revues manuelles périodiques, les équipes IT peuvent surveiller en continu l’état des terminaux et agir lorsque des vulnérabilités ou des mises à jour manquantes sont identifiées.
5. Surveillance et remédiation des terminaux
Le maintien des contrôles de cybersécurité exige également que les équipes sachent reconnaître lorsque l’état des terminaux sort du cadre des politiques prévues et réagissent de manière appropriée.
Splashtop AEM fournit une visibilité centralisée des terminaux, des alertes proactives, une gestion basée sur des politiques, des scripts, des tâches et des capacités de remédiation. Ces outils peuvent aider les équipes IT à identifier les problèmes et à appliquer des mesures correctives sur les terminaux gérés sans avoir à traiter chaque appareil individuellement.
L’automatisation peut également rendre les processus récurrents de sécurité et de maintenance plus reproductibles, ce qui contribue à réduire les incohérences qui apparaissent lorsque les tâches dépendent fortement d’une intervention manuelle.
Adoptez une approche plus reproductible de la conformité à NIS2
NIS2 renforce l’importance des contrôles de cybersécurité que les organisations peuvent appliquer, surveiller, documenter et améliorer de manière cohérente. Un accès sécurisé, une authentification forte, la remédiation des vulnérabilités, la visibilité sur les terminaux et des journaux d’activité fiables peuvent tous contribuer à cette base.
Splashtop aide les équipes IT à centraliser l’accès à distance sécurisé et le support à distance, tout en étendant la visibilité, la gestion des correctifs, l’automatisation et la gestion des terminaux grâce à Splashtop AEM. La conformité NIS2 de Splashtop et son enregistrement auprès du NCSC-NL fournissent également aux clients des informations supplémentaires à prendre en compte lors de l’évaluation de la posture de sécurité de leurs fournisseurs technologiques.
Découvrez comment Splashtop peut aider votre entreprise à renforcer l’accès sécurisé, la gestion des endpoints et sa préparation à NIS2.
