Secteur public — NIS2 : sécuriser le service public

De quoi parle NIS2 ?

NIS2 inclut l’administration publique parmi les entités à sécuriser, en laissant aux États une marge sur le périmètre (notamment le niveau local). La France intègre de nombreux organismes publics.

Les mesures de l’article 21 s’appliquent aux systèmes d’information support du service public.

Le secteur « Secteur public » est-il concerné ?

Administrations centrales, opérateurs et établissements publics entrent dans le champ selon la transposition. Le niveau local est traité dans la page « Collectivité ».

Les éditeurs et prestataires publics sont concernés indirectement, via la sécurité de la chaîne d’approvisionnement.

Obligations détaillées

Sanctions & risques

Le régime de sanction dépend de la transposition ; l’enjeu majeur reste la continuité et la confiance dans le service public. Les rançongiciels visant les administrations sont fréquents et coûteux.

Calendrier d’application

• 1Directive. Adoptée fin 2022.
• 2France. Transposition en cours ; périmètre public à confirmer.

Erreurs fréquentes dans le secteur

• 1Continuité négligée. Ne pas préparer la reprise après rançongiciel.
• 2Chaîne non sécurisée. Laisser les éditeurs publics non encadrés.
• 3Sauvegardes non testées. Disposer de sauvegardes jamais éprouvées.
• 4Direction absente. Cantonner la sécurité à la technique.

Cas pratique

Une administration subit un rançongiciel interrompant ses téléservices. La démarche NIS2 consiste à généraliser l’authentification multifacteur, à tester régulièrement les sauvegardes et la reprise, à encadrer les prestataires et à formaliser la notification.

Feuille de route de mise en conformité

1. 1

   Qualifier. Déterminer l’inclusion dans le champ.

2. 2

   Analyser. État des lieux au regard de l’article 21.

3. 3

   Sécuriser. Mesures et plan de continuité.

4. 4

   Encadrer. Sécuriser prestataires et éditeurs.

5. 5

   Notifier. Outiller l’alerte et le reporting.

Questions fréquentes