L’étude concerne les données des 27 pays membres et analyse l’utilisation du budget alloué à la cybersécurité par les opérateurs de services essentiels (OES – opérateurs du secteur énergétique, transports, banques, infrastructures, santé, eau potable…) et par les fournisseurs de services digitaux (DSP – marketplace, moteurs de recherche, services de cloud computing), contraints par la directive à adopter des mesures pour la gestion des risques et la prévention des incidents informatiques.

Le budget européen moyen par OES/DSP est de 98 000 EUR. Concernant la dépense moyenne par OES/DSP selon les pays, l’Italie se place à la première position avec 140 000 EUR, suivie par la France (115 000 EUR), la Pologne et l’Autriche (100 000 EUR).

La directive a été mise en œuvre par 82 % des 947 organisations concernées. 67 % auraient besoin de ressources financières complémentaires pour l’implémentation et la compliance. Parmi ces derniers, 18 % n’ont mis en place aucune des mesures prévues pour respecter les exigences de la directive.

Selon l’ENISA, un OES/DSP dépense environ 2 M EUR pour la sécurité informatique. Le budget alloué à la mise en œuvre de la directive NIS représente ainsi 5 % à 10 % du budget total. L’Italie est globalement l’un des pays qui dépense le plus en matière de sécurité informatique (77,8 M EUR) derrière la France (80 M EUR). Le budget se divise en 3 domaines principaux : gestion de la vulnérabilité et security analytics (20 %), governance, risk & compliance (18 %) et sécurité réseau (16 %).

Le secteur des énergies est le plus dépensier, suivi par le secteur bancaire. À l’inverse, les distributeurs d’eau et les infrastructures pour les marchés financiers et infrastructures digitales sont les acteurs qui dépensent le moins. 50 % des OES/DSP considèrent que la mise en œuvre de la directive a significativement amélioré la cybersécurité. Les cyber-incidents représentent des coûts directs importants notamment pour le secteur bancaire et sanitaire (entre 213 000 EUR et 300 000 EUR). En moyenne, les OES/DSP emploient 7 personnes en charge de la cybersécurité et 32 % font appel à des collaborateurs externes.

Source : Patrizia LICATA, 18/11/2021, Corcom (extrait)