Quiz du Module 1

Réponse : NIS2 est une directive : elle doit être transposée par chaque État. L'échéance du 17 octobre 2024 n'a pas été tenue par la France, et aucune loi n'était promulguée au 14 septembre 2026. Les obligations ne sont donc pas encore opposables aux entreprises françaises. Le périmètre visé est estimé à environ 15 000 entités, dans 18 secteurs, au-delà de 50 salariés ou 10 M€ de chiffre d'affaires.

Réponse : 72 heures après prise de connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes. NIS2 prévoit en plus une alerte précoce à 24 h (pas encore applicable en France), et DORA impose au secteur financier une notification dans les 4 h suivant la classification de l'incident comme majeur.

Réponse : 128 compromissions par rançongiciel en 2025, contre 141 en 2024 (Panorama de la cybermenace 2025, ANSSI / CERT-FR), sur 1 366 incidents traités au total. Le chiffre baisse légèrement, mais les victimes se déplacent vers le bas du tissu économique : 48 % sont des TPE, PME ou ETI.

Réponse : 62 % des compromissions font intervenir le facteur humain selon le Verizon DBIR 2026 (60 % dans l'édition 2025). Cela recouvre l'ingénierie sociale, mais aussi l'erreur de manipulation et l'erreur de configuration. Les « 80 à 95 % » que l'on lit souvent ne reposent sur aucune source vérifiable.

Réponse : 10 M€ ou 2 % CA mondial pour entités essentielles. 7 M€ ou 1,4 % pour entités importantes. RGPD plafond plus haut (20 M€ ou 4 %). Responsabilité personnelle des dirigeants prévue par NIS2.