NIS2 s’applique-t-elle aux entreprises suisses ?

L’article 2 de NIS2 (directive (UE) 2022/2555) s’applique aux entités moyennes et grandes des secteurs des annexes I et II qui fournissent leurs services ou exercent leurs activités dans l’UE, ainsi qu’à certaines entités quelle que soit leur taille. L’article 26 soumet chaque entité au droit de l’État membre où elle est établie. La Suisse n’est membre ni de l’UE ni de l’EEE et n’a pas repris NIS2 : la directive ne crée donc aucune obligation pour une entreprise établie uniquement en Suisse.

• Filiales et établissements dans l’UE. Une filiale en France, en Allemagne ou dans un autre État membre qui remplit les critères de secteur et de taille relève de la loi NIS2 de ce pays, quel que soit son actionnaire.
• Fournisseurs numériques qui servent l’UE. Les fournisseurs DNS, registres de noms de domaine de premier niveau, bureaux d’enregistrement, fournisseurs de cloud, de centres de données et de réseaux de diffusion de contenu, fournisseurs de services gérés et de services de sécurité gérés, places de marché en ligne, moteurs de recherche et réseaux sociaux non établis dans l’UE mais qui y offrent leurs services doivent désigner un représentant dans un État membre (article 26(3)) et relèvent du droit de cet État.
• Fournisseurs d’entités européennes. L’article 21(2)(d) impose aux entités concernées de gérer la sécurité de leur chaîne d’approvisionnement. Un fournisseur suisse d’un hôpital, d’un énergéticien ou d’un industriel européen rencontre NIS2 par des clauses contractuelles, des questionnaires de sécurité et des droits d’audit.

La Suisse a sa propre obligation de signalement. Depuis le 1er avril 2025, la loi sur la sécurité de l’information impose aux exploitants d’infrastructures critiques de signaler les cyberattaques à l’Office fédéral de la cybersécurité (OFCS) dans les 24 heures suivant leur découverte. Les établissements financiers surveillés par la FINMA signalent aussi les cyberattaques à la FINMA. Il n’existe pas d’équivalent suisse du catalogue de mesures de NIS2 ni de la responsabilité de l’organe de direction : un groupe suisse qui a des entités dans l’UE applique souvent le socle NIS2 à tout le groupe pour garder un seul programme.

Dans Acuna GRC, vous adoptez NIS2 dans Comply à côté de l’ISO 27001, de la nLPD ou de tout autre référentiel suivi. Les mesures communes sont reliées entre référentiels : une mesure compte pour chaque exigence qu’elle couvre, et les périmètres, par entité juridique ou par pays, limitent NIS2 aux entités concernées. Les incidents sont enregistrés comme des constats avec une chronologie datée, et les fournisseurs sont évalués par questionnaire dans le module TPRM. Voir l’espace Comply.