NIS2 : à qui s’applique la directive NIS2 ? Le point pour les entreprises

Vérifiez en quelques minutes si votre entreprise est susceptible d’être concernée par la directive et découvrez les points importants en matière de sécurité et de conformité.

Sommaire

1. En bref
2. Quand la directive NIS2 commence-t-elle à s’appliquer ?
3. Facteur 1 : les secteurs concernés par la directive NIS2
4. Facteur 2 : la situation géographique
5. Facteur 3 : la taille de l’entreprise
6. Même les petites entreprises peuvent être concernées
7. Que faire si vous êtes concerné ?

En bref : NIS2, qui est concerné ?

La directive NIS2 concerne un nombre d’entités bien plus important que sa version précédente. De nombreuses entreprises s’interrogent : à qui s’applique la directive NIS2 ? Pour faire un premier point rapidement, commençons par répondre à quelques questions pratiques.

• Situation géographique : si votre entité opère dans l’UE et fournit des services ou des infrastructures dans un secteur concerné par la directive NIS2, elle peut relever du champ d’application de cette dernière.
• La taille de l’entreprise a son importance, mais ce n’est pas le seul facteur qui compte. La directive NIS2 s’applique généralement aux entités comptant plus de 50 collaborateurs ou dont le chiffre d’affaires annuel est supérieur à 10 millions d’euros. Celles-ci sont classées comme des entités importantes au sens de la directive NIS2. Les plus grandes organisations, celles qui comptent plus de 250 collaborateurs ou dont le chiffre d’affaires dépasse 50 millions d’euros, sont davantage susceptibles d’être considérées comme des entités essentielles au sens de la directive NIS2.
• Le secteur d’activité est également un élément à prendre en compte : les secteurs de l’énergie, des transports, de la banque et de la finance, de la santé, de l’eau, de l’infrastructure numérique, de l’administration publique, de l’espace, des services postaux et de messagerie, de la gestion des déchets, des produits chimiques, de l’alimentation, de la fabrication, des fournisseurs de services numériques, de la recherche, etc. sont concernés par la directive. Ce ne sont là que quelques-uns des principaux secteurs NIS2 à considérer.
• Mais il existe des exceptions. Les petites entités peuvent aussi être concernées par la directive, surtout si elles fournissent des services critiques ou si elles revêtent une importance particulière au niveau national.

Se préparer à la directive NIS2

Les nouvelles exigences requièrent plus qu’une simple mise à jour des politiques. Les organisations doivent avoir une vision réaliste de leur situation, de leurs lacunes et des domaines dans lesquels il est urgent d’agir.

Lire la suite

Glossary

Checkliste NIS2 : les grandes étapes pour structurer votre implémentation

Lire la suite

Glossary

Conformité NIS2 : comment la construire efficacement

Lire la suite

Glossary

La directive NIS2 : exigences, échéances et implémentation en 2026

Quand la directive NIS2 commence-t-elle à s’appliquer à votre entité ?

La directive NIS2 est entrée en vigueur le 16 janvier 2023, et les États membres de l’UE avaient jusqu’au 17 octobre 2024 pour la transposer dans leur droit national. Néanmoins, cette date en elle-même ne donne pas d’indication très précise. Ce qui compte en pratique, c’est de savoir quand la loi nationale entrera en vigueur dans chaque pays. En France, la transposition est encore en cours. On attend que le projet de loi Résilience soit adopté par l’Assemblée nationale pour connaître la date exacte de sa prise d’effet.

Pour les entreprises, le véritable enjeu n’est pas seulement de comprendre la portée de la directive NIS2, mais aussi de respecter le calendrier. Entre le moment où la loi nationale entre en vigueur et l’échéance fixée pour son application, il peut rester peu de marge de manœuvre pour régler les questions encore en suspens.

Pour mieux cerner ce point, il est conseillé d’évaluer l’impact que peut avoir la directive NIS2 sur l’entreprise et d’étudier ainsi si elle est susceptible d’être concernée, ce que l’on peut attendre d’elle et quels sont les éléments de base doivent impérativement être en place lorsque le feu vert sera donné.

Les responsabilités doivent être clairement définies en interne. Il faut disposer d’éléments prouvant toutes les décisions prises, ainsi que de mesures de sécurité suffisamment efficaces en pratique. Sinon, des lacunes risquent d’apparaître plus tard dans le processus.

NIS2 Check in 3 minutes

Go to the NIS2 assessment

Not sure where your organisation stands on NIS2? Our free assessment can help spot gaps, prioritise next steps and prepare more confidently.

Facteur 1 : secteurs concernés par la directive NIS2, quelles entités essentielles et importantes sont concernées ?

Toute évaluation d’impact de la directive NIS2 commence, entre autres, par la question du secteur d’activité de l’entreprise. De manière générale, la directive NIS2 établit une distinction entre les entités essentielles et les entités importantes. Ces deux types d’organisations doivent répondre à des exigences en matière de cybersécurité et de gestion des risques, mais le niveau de surveillance auquel ils sont soumis diffèrent généralement. Il faut donc commencer par vérifier dans quelle catégorie l’on se situe.

Entités essentielles

Cette catégorie comprend généralement les grandes entités actives dans les principaux secteurs concernés par la directive NIS2. Cela peut inclure :

• Administration publique
• Énergie
• Transports
• Infrastructures des marchés bancaires et financiers
• Santé
• Eau potable
• Eaux usées
• Infrastructure numérique
• Gestion des services TIC dans un contexte B2B
• Espace

Entités importantes

Ce groupe comprend plutôt des organisations de taille moyenne opérant dans d’autres secteurs NIS2 couverts par la directive. Voici quelques exemples :

• Services postaux et de messagerie
• Gestion des déchets
• Produits chimiques
• Production et transformation de denrées alimentaires
• Industrie manufacturière
• Fournisseurs de services numériques, par ex. places de marché en ligne et moteurs de recherche
• Recherche

Dans la pratique, la taille de l’entreprise n’est pas le seul élément à prendre en compte. Il faut aussi savoir si elle relève de l’un des secteurs concernés. C’est généralement le premier point à considérer pour commencer son évaluation.

Facteur 2 : la situation géographique, où la directive NIS2 s’applique-t-elle et qui concerne-t-elle ?

Le portée de la directive NIS2 ne dépend pas uniquement du secteur et de la taille de l’entité. La situation géographique a aussi son importance. En principe, la directive peut s’appliquer aux organisations qui fournissent des services pertinents au sein de l’UE, même si leur siège social est situé hors d’Europe.

La question clé n’est donc pas simplement de savoir où une entreprise est basée, mais si elle opère dans un secteur pertinent et fournit des services ou des infrastructures couverts par la directive NIS2 au sein de l’UE. En d’autres termes, l’empreinte opérationnelle compte plus que l’adresse officielle.

Ce point peut varier considérablement d’une entité à l’autre.

• Un fournisseur d’énergie peut être basé dans un pays de l’UE, mais avoir des clients dans d’autres États membres.
• Un fournisseur de services numériques peut avoir son siège social en dehors de l’UE, tout en offrant des services qui relève de la directive au sein des pays membres.
• Un organisme du secteur public peut fournir des services concernés par la directive NIS2 au sein de l’UE.
• En revanche, une organisation basée dans un État membre dont la clientèle est purement nationale et qui ne fournit pas de services au-delà des frontières de son pays est moins susceptible d’entrer dans le champ d’application de la directive.

La question n’est donc pas seulement de savoir où l’entreprise est domiciliée sur le papier, mais la zone géographique qu’elle dessert et la façon dont ces services sont fournis.

Facteur 3 : taille de l’entreprise, quand la directive NIS2 s’applique

Après le secteur d’activité et la situation géographique, il convient d’examiner un troisième point pour déterminer si l’entité est concernée par la directive NIS2, à savoir sa taille. En règle générale, la directive s’adresse aux entreprises de taille moyenne et aux grandes entreprises comptant plus de 50 collaborateurs ou dont le chiffre d’affaires annuel est supérieur à 10 millions d’euros.

Quant aux très grandes sociétés, c’est-à-dire à celles qui emploient plus de 250 personnes et dont le chiffre d’affaires annuel dépasse les 50 millions d’euros, elles sont davantage susceptibles d’entrer dans la catégorie des entités essentielles. Les petites structures peuvent elles aussi être concernées par les nouvelles exigences, notamment si elles opèrent dans l’un des secteurs ciblés et si elles fournissent des services considérés comme particulièrement importants.

L’activité commerciale seule ne règle donc pas la question. Il faut aussi considérer l’effectif et le chiffre d’affaires. Ainsi, la directive NIS2 peut affecter des organisations qui n’étaient pas considérées auparavant comme faisant partie des infrastructures critiques.

Même les petites entreprises peuvent être concernées par la directive NIS2 : la taille n’est donc pas toujours un facteur décisif

La directive NIS2 ne se limite pas aux grandes organisations. Même les petites entreprises peuvent être concernées, notamment si elles opèrent dans les secteurs couverts par la directive ou si elles contribuent à la fourniture de services dont d’autres dépendent. Prenons l’exemple d’un petit fournisseur d’une entreprise active dans le secteur de l’énergie : si le service qu’il fournit est indispensable à l’opérateur, la petite taille de l’entité ne la dispense pas de se plier aux exigences de la directive.

La question de savoir une entreprise est ou non concernée par ces exigences peut aussi dépendre de l’impact qu’une éventuelle perturbation aurait sur la fourniture de services essentiels ou importants. Pour autant, toutes les petites organisations qui interviennent d’une manière ou d’une autre dans la chaîne d’approvisionnement ne sont pas forcément concernées. Il faut surtout déterminer si elles jouent un rôle essentiel, ce qui se passerait en cas de défaillance et si les autorités nationales considèrent qu’il est pertinent de la soumettre à la directive NIS2.

Bilan rapide : la directive NIS2 s’applique-t-elle à votre société ?

Commençons par le début. Passez en revue le secteur d’activité, la taille de l’organisation et la zone géographique où sont fournis les services. Comparez ensuite ces données avec les orientations officielles communiquées par l’UE et la position adoptée par les autorités nationales des pays où vous intervenez.

En général, cela suffit pour avoir une première idée. Cela ne constitue pas une réponse définitive, mais permet d’avoir un aperçu plus clair de la situation et de faire le point sur ce qui doit être examiné en premier.

Risques pour les RSSI et les décideurs informatiques, prendre au sérieux les obligations de la directive NIS2

Pour les entités qui sont concernées, la directive NIS2 définit des attentes claires en matière de gestion du risque cyber, de gouvernance et de signalement des incidents. La question ne se pose donc pas uniquement pour les équipes de conformité. Elle est tout aussi importante pour les RSSI, les responsables informatiques et les dirigeants ayant des responsabilités en matière de surveillance.

Pour les entreprises concernées, le non-respect de ces exigences peut amener les organismes de régulation à intervenir et à imposer, par exemple, des amendes substantielles. Selon ce qui a été défini dans le droit national, la responsabilité personnelle des collaborateurs occupant des postes de direction peut être engagée. Il ne faut donc pas trop tarder à s’inquiéter de savoir si, oui ou non, la directive s’applique à votre entité.

Les amendes ne sont pas le seul risque encouru. Souvent, les problèmes commencent bien plus tôt. La gouvernance peut être faible. Les responsabilités, mal définies. Il peut y avoir des lacunes dans la documentation, ou la procédure de signalement qui semblait bien ficelé s’avère défaillant, une fois testé sous pression. Ces points ont tendance à ressortir lors des audits, mais pas seulement. Ils peuvent ralentir les décisions, compliquer la gestion des incidents et nuire à la confiance que vous avez dans vos processus.

Il peut être utile de se pencher sur tout cela suffisamment tôt, et parfois même de solliciter un avis juridique. Parfois, il suffit d’étudier de plus près dans quelle mesure l’entreprise est concernée par la directive NIS2 et quels sont les éléments de base à mettre en place dans ce contexte. Qui est responsable ? Quels sont les contrôles existants ? Quels points sont documentés ? Quels éléments sont contrôlés et à quelle fréquence ?

Que faire si la directive NIS2 s’applique à votre entreprise ?

Si votre entreprise relève de la directive NIS2, elle doit se plier à des exigences simples, en principe. Votre réseau et vos systèmes d’information doivent être protégés par un ensemble de mesures techniques et organisationnelles. Une fois que vous savez clairement si vous êtes concernés, l’étape suivante consiste à traduire les exigences du texte en actions concrètes.

1. Réaliser une évaluation des risques et définir un cadre de sécurité
   Passez en revue les systèmes, processus, interfaces et actifs importants en cherchant à repérer les faiblesses qui pourraient nuire à la résilience, à la disponibilité ou à la réponse en cas d’incidents.
2. Prendre des mesures pour réduire les risques
   Pensez notamment à mettre en place des protections techniques et organisationnelles, tels que des contrôles d’accès, des dispositifs pour assurer la continuité des activités et des plans d’intervention en cas d’incident.
3. Former les collaborateurs et renforcer la sensibilisation à la cybersécurité
   Assurez-vous que le personnel suit régulièrement une formation de sensibilisation à la cybersécurité qui évolue en même temps que les cybermenaces. Vos collaborateurs doivent savoir reconnaître une activité suspecte et réagir à propos en cas de problème.
4. Mettre en place des processus clairs pour le signalement des incidents
   Les procédures internes doivent indiquer clairement comment les incidents sont identifiés, transmis, documentés et signalés dans les délais requis.
5. Faites régulièrement le point sur les mesures adoptées
   Les contrôles ne doivent pas rester statiques. Vous devez en vérifier la pertinence, les mettre à jour au fur et à mesure que les risques, les activités commerciales ou les exigences légales évoluent.

Si vous savez que votre entité est concernée par la directive NIS2, plus tôt vous commencerez, mieux ce sera. Vous gagnerez ainsi du temps pour plus tard, éviterez des coûts inutiles et limiterez les risques de non-conformité. Pour bien vous organiser, n’hésitez pas à faire une checkliste des points concrets à instaurer pour être conforme à la directive NIS2. Elle vous facilitera la tâche pour attribuer les responsabilités, suivre votre progression et répondre aux questions d’audit sans être déstabilisé.

Mention juridique : Cet article est fourni uniquement à titre d’information générale et ne constitue pas un avis juridique. Les entités ayant besoin de précisions sur leurs obligations au titre de la directive NIS2 doivent s’adresser à un avocat qualifié ou à l’autorité compétente de leur juridiction.