La directive NIS 2 répond à l'évolution rapide des cybermenaces et à l'insuffisance des protections établies par la première directive NIS de 2016. Les cyberattaques, notamment les ransomwares, ont montré que les infrastructures les plus importantes de l'Union européenne étaient vulnérables. NIS 2 vise donc à renforcer les exigences de cybersécurité et à élargir son champ d'application pour inclure des secteurs supplémentaires jugés "essentiels" à la vie économique et sociétale.

Les entreprises devront adopter des stratégies claires pour renforcer leur cybersécurité. Cela passe par l’analyse des risques au sein de leur chaîne de fournisseurs, la sensibilisation et la formation des équipes, ainsi que l’amélioration des systèmes de sécurité. Elles devront également être en mesure de réagir rapidement en cas d’incident. Les autorités compétentes, comme l’ANSSI en France, effectueront des audits réguliers, ponctuels et non planifiés, pour les secteurs essentiels pour s’assurer de la conformité. En cas de manquement, NIS 2 prévoit désormais des sanctions pouvant inclure des amendes importantes et une atteinte à la réputation de l’entreprise.