La directive NIS2 (Network and Information Security 2) est le texte européen, adopté en 2022, qui impose des obligations de cybersécurité aux entités dites essentielles et importantes de 18 secteurs : énergie, transports, banque, santé, eau, infrastructures numériques, fournisseurs cloud, prestataires de services managés, administration, industrie manufacturière, entre autres. Elle remplace la directive NIS de 2016 et élargit fortement le nombre d'organisations concernées.
Elle exige une gouvernance cyber portée par la direction, des mesures de gestion des risques (contrôle des accès, MFA, gestion des vulnérabilités, sécurité des fournisseurs) et la notification des incidents graves : alerte sous 24 heures, notification sous 72 heures. En France, l'ANSSI pilote sa mise en œuvre.
Les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles.
Pourquoi ça compte quand on recrute
NIS2 crée des besoins chez des organisations qui n'avaient jamais structuré leur sécurité : RSSI, profils GRC, analystes SOC. Un candidat crédible sait traduire le texte en plan d'action concret (inventaire, priorités, preuves de conformité), pas seulement le résumer. Le piège : recruter un pur juriste là où il faut aussi comprendre l'infrastructure.