Entre le besoin de temps et la question du financement, les entreprises à Toulouse sont inquiètes de l'entrée en vigueur annoncée de NIS 2, une nouvelle directive en matière de cybersécurité. Des remarques entendues par la secrétaire d'État chargée du Numérique, Marina Ferrari, venue à Toulouse ce jeudi 2 mai, pour rencontrer entreprises et collectivités à ce propos. Les détails.Un choc des paradoxes ? Alors que le gouvernement s'est engagé une nouvelle fois à un choc de simplification auprès des acteurs économiques, un nouveau texte inquiète ces derniers. Dans quelques semaines, en juillet prochain, le parlement va débattre sur la future directive NIS 2, une nouvelle réglementation française en matière de cybersécurité, émanant directement de nouvelles dispositions européennes.
« Il faut peut-être regarder l'empilement réglementaire des thématiques qui touchent toutes les entreprises et analyser la compatibilité de cette future directive avec les réglementations en vigueur dans d'autres pays, s'inquiète Philippe Robardey, le président du groupe Sogeclair », qui emploie 1.000 collaborateurs sur quatre continents différents.
Un ressenti que le dirigeant a pu partager directement avec Marina Ferrari, la secrétaire d'État chargée du Numérique, venue spécialement à Toulouse jeudi 2 mai, pour rencontrer entreprises et collectivités pour échanger sur ces futures normes de cybersécurité. Lors de cette rencontre à la préfecture de région, la membre du gouvernement a aussi été interpellée sur le manque de visibilité du domaine d'application.
« Le projet de loi est trop vaste dans son application, il faut affiner », peste Valérie Jimenez, la présidente de Jimenez Transport et vice-présidente du Medef Haute-Garonne. « Le champ d'application manque de visibilité », appuie son avocate présente à ses côtés France Charruyer.
« Nous avons été victimes de cyberattaques donc nous sommes conscients des enjeux, mais l'élargissement réglementaire de NIS 1 vers NIS 2 s'annonce très coûteux. Il va être très compliqué de couvrir toutes nos infrastructures et toutes nos industries, sans parler de toutes nos filiales. Faut-il protéger de la même manière le club de rugby professionnel du Castres Olympique que nos usines de dermato-cosmétique, ou même celles en lien avec le secteur médical ? Enfin, dans notre secteur, nous travaillons avec beaucoup de petits laboratoires et petites biotechs qui ne seront pas soumises à NIS 2. Nous ne souhaitons pas porter l'effort financier et technique pour toute la filière », met en gardeVéroniqueBardet, la directrice de la cybersécurité au sein du groupe Pierre Fabre dont l'entité est actionnaire du club sportif.
Cette inquiétude des entreprises à l'égard de NIS 2 s'explique dans le fait que son application avec la réglementation précédente passe de 10 secteurs d'activités à 18 domaines d'application. Surtout, elle classe les acteurs économiques en deux catégories : les entités essentielles (250 salariés au moins ou 50 millions d'euros de chiffre d'affaires) et les entités importantes (50 salariés minimum ou 10 millions d'euros de chiffre d'affaires). Si les deux dénominations sont assujetties aux mêmes obligations, les entités importantes devraient bénéficier tout de même d'un régime de mise en œuvre moins contraignant.