Dans cette vidéo, je continue la série “Road to CISO” côté GRC/Compliance, et je te fais un tour clair de la directive NIS 2 (Network and Information Security). L’idée de base est simple : l’Union européenne veut forcer les entreprises à se sécuriser parce que la menace cyber explose et que trop de SI restent vulnérables. Je m’appuie sur des ressources très concrètes (notamment le site de l’ANSSI) pour expliquer ce qui change par rapport à NIS 1 : on passe à un périmètre beaucoup plus large, avec un vrai niveau européen et des obligations plus structurées (gestion des risques, signalement, exigences de mise en application, prise en compte des tiers — un peu comme ce qu’on a vu avec DORA). Le gros takeaway, c’est que NIS 2 ne concerne pas “que les gros”. On parle d’environ 600 types d’entités, réparties en 18 secteurs, avec deux catégories (entités essentielles vs importantes). Et surtout, les PME/TPE/ETI sont clairement dans le viseur : 60% des attaques remontées à l’ANSSI concernent des petites structures, et les attaquants passent de plus en plus par la sous-traitance pour toucher les clients finaux. Je te montre comment te situer (diagnostic en ligne, ministère/fédération), et je martèle un point : anticipe, parce que le coût dépend énormément de ta maturité et des choix faits tôt. C’est du change management… mais du change management cyber, avec un impact direct sur la résilience du business.