Qu’est-ce que NIS2 ?

NIS2 couvre les organisations de taille moyenne et plus grandes des secteurs listés dans ses annexes I et II, réparties entre entités essentielles et entités importantes, certaines entités étant concernées quelle que soit leur taille. Le test complet, avec les secteurs, les seuils de taille et la différence entre les deux niveaux, figure dans À qui s’applique NIS2 ?.

Une fois dans le périmètre, une entité doit remplir quatre groupes d’obligations, identiques pour les entités essentielles et importantes :

• Mesures de gestion des risques. L’article 21 impose des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, fondées sur une approche « tous risques » qui protège aussi l’environnement physique des systèmes. L’article 21(2) fixe le minimum aux points a) à j) : analyse des risques et politiques de sécurité, gestion des incidents, continuité d’activité et gestion de crise, sécurité de la chaîne d’approvisionnement, sécurité de l’acquisition et du développement avec le traitement des vulnérabilités, évaluation de l’efficacité, cyberhygiène et formation, cryptographie, sécurité des ressources humaines avec contrôle d’accès et gestion des actifs, authentification multifacteur et communications sécurisées.
• Gouvernance. Selon l’article 20, l’organe de direction approuve les mesures, supervise leur mise en œuvre et peut être tenu responsable des violations. Ses membres doivent suivre une formation.
• Signalement des incidents. L’article 23 prévoit l’alerte précoce, la notification et le rapport final pour les incidents significatifs. Le processus complet figure dans Comment fonctionne la notification des incidents au titre de NIS2 ?.
• Enregistrement. L’article 3(4) impose de transmettre à l’autorité compétente le nom de l’entité, ses coordonnées, son secteur et les États membres où elle fournit ses services, et de signaler tout changement dans les deux semaines. Les États membres devaient établir leur liste d’entités essentielles et importantes au plus tard le 17 avril 2025.

Pour les fournisseurs de cloud, de centres de données, de services gérés et les autres fournisseurs numériques, le règlement d’exécution (UE) 2024/2690 de la Commission précise les exigences techniques et méthodologiques de chaque mesure de l’article 21(2).

Le niveau de l’entité détermine la manière dont l’autorité la supervise. Pour les entités essentielles, l’article 32 prévoit une supervision ex ante : inspections sur place et contrôles à distance, y compris des contrôles aléatoires, audits de sécurité réguliers et ciblés, scans de sécurité et demandes de preuves comme les résultats d’audit. Pour les entités importantes, l’article 33 prévoit une supervision ex post, déclenchée lorsque l’autorité dispose de preuves ou d’indices de non-conformité.

L’article 34 fixe des plafonds minimaux d’amende en cas de violation de l’article 21 ou de l’article 23. Pour les entités essentielles, le montant maximal s’élève à au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu. Pour les entités importantes, les chiffres sont de 7 millions d’euros ou 1,4 %. Si les mesures d’exécution antérieures restent sans effet, l’autorité peut aussi demander l’interdiction temporaire, pour une personne exerçant des responsabilités de direction au niveau de directeur général ou de représentant légal d’une entité essentielle, d’exercer des fonctions de direction (article 32(5)).

• Confirmer le périmètre et le niveau de chaque entité juridique, à l’aide du test de périmètre NIS2.
• Identifier la loi nationale et l’autorité compétente dans chaque État membre où vous êtes concerné. La situation diffère selon les pays, voir Pourquoi NIS2 varie-t-il selon les pays ?.
• Vous enregistrer lorsque la loi nationale l’exige.
• Mener une analyse d’écarts sur les dix mesures de l’article 21(2) et soumettre le plan à l’approbation de l’organe de direction.
• Rédiger la procédure de classification et de signalement des incidents avant d’en avoir besoin.

Deux idées reçues posent problème. La première : un certificat ISO 27001 vaudrait conformité NIS2. Il couvre une grande partie de l’article 21, mais pas le signalement, l’enregistrement ni les obligations de l’organe de direction (voir L’ISO 27001 couvre-t-elle NIS2 ?). La seconde : les entités importantes auraient des obligations allégées. Leurs obligations sont les mêmes, seules la supervision et les amendes diffèrent.