NIS2 : votre entreprise est-elle concernée, et qu'est-ce que ça implique
NIS2 concerne les entreprises de dix-huit secteurs qui atteignent au moins 50 salariés, ou 10 millions d'euros de chiffre d'affaires et de bilan. Elle impose des mesures de gestion du risque, la notification des incidents en 24 puis 72 heures, et engage la responsabilité des dirigeants.
Points clés
- Deux critères suffisent à savoir si l'on est concerné : le secteur d'activité et la taille.
- Les entités essentielles sont contrôlables à tout moment et risquent jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial ; les entités importantes, 7 millions ou 1,4 %.
- Trois délais de notification s'enchaînent : alerte à 24 heures, notification circonstanciée à 72 heures, rapport final à un mois.
- Une entreprise sous les seuils peut être touchée indirectement, par les exigences qu'un client concerné lui répercute par contrat.
- Aucune certification n'est exigée. Ce sont des mesures et une capacité à prouver qu'on les applique.
Qu'est-ce que NIS2 change par rapport à NIS1 ?
Le périmètre, surtout. La directive (UE) 2022/2555 étend les obligations de quelques centaines d'opérateurs à des milliers d'entreprises de taille moyenne, et rend les dirigeants personnellement responsables des mesures adoptées.
Deux autres changements pèsent au quotidien. La sécurité de la chaîne d'approvisionnement devient une obligation explicite : on répond du niveau de ses fournisseurs informatiques, pas seulement du sien. Et les sanctions passent à un ordre de grandeur comparable à celui du RGPD.
La date limite de transposition dans les droits nationaux était fixée au 17 octobre 2024. En France, l'autorité compétente est l'ANSSI, et c'est le texte de transposition qui arrête le périmètre exact des entités visées.
Comment savoir dans quelle catégorie on tombe ?
En croisant deux choses : l'annexe où figure votre secteur, et votre taille. Les grandes entreprises des secteurs hautement critiques sont des entités essentielles. Les autres entreprises concernées sont des entités importantes.
| Entité essentielle | Entité importante | |
|---|---|---|
| Taille | 250 salariés ou plus, ou 50 M€ de chiffre d'affaires | 50 salariés ou plus, ou 10 M€ de chiffre d'affaires et de bilan |
| Secteurs | hautement critiques : énergie, transports, banque, santé, eau, infrastructure numérique, services informatiques gérés, administration | les précédents en taille moyenne, plus : postal, déchets, chimie, agroalimentaire, industrie manufacturière, fournisseurs numériques, recherche |
| Contrôle | à tout moment, sans soupçon préalable | en cas d'indice de manquement |
| Sanction maximale | 10 M€ ou 2 % du chiffre d'affaires mondial | 7 M€ ou 1,4 % du chiffre d'affaires mondial |
Une entreprise sous ces seuils peut malgré tout se voir imposer des exigences par contrat, comme fournisseur d'une entité concernée. C'est le mécanisme par lequel la directive touche beaucoup plus d'entreprises qu'elle n'en vise nommément.
Qu'est-ce que la directive impose concrètement ?
Des mesures de gestion du risque proportionnées, la capacité à notifier un incident dans des délais courts, et l'implication formelle de la direction.
Les mesures
Analyse de risques et politique de sécurité, gestion des incidents, continuité d'activité et sauvegardes, sécurité de la chaîne d'approvisionnement, sécurité du développement et de la maintenance, évaluation de l'efficacité des mesures, hygiène informatique et formation, cryptographie, contrôle d'accès et gestion des actifs, authentification multifacteur.
La notification
Alerte précoce sous 24 heures, notification circonstanciée sous 72 heures, rapport final sous un mois. Ce qui bloque en pratique n'est jamais le délai administratif : c'est de ne pas avoir les journaux qui permettent de dire ce qui s'est passé.
La direction
Les organes de direction approuvent les mesures, supervisent leur mise en œuvre et doivent se former. La responsabilité ne se délègue pas au prestataire, même quand l'exécution l'est.
Et les prestataires informatiques dans tout ça ?
Ils sont concernés à double titre, et c'est rarement expliqué.
D'abord directement : les activités de prestataire de services gérés et de services de sécurité gérés figurent parmi les secteurs hautement critiques de l'annexe I. Un prestataire qui atteint les seuils est donc lui-même une entité au sens de la directive.
Ensuite indirectement : la sécurité de la chaîne d'approvisionnement fait partie des mesures exigées. Une entreprise concernée doit évaluer le niveau de sécurité de ses fournisseurs informatiques, ce qui fait remonter l'exigence chez des prestataires qui, eux, ne seraient pas visés.
Par où commencer sans se perdre ?
Par l'inventaire. On ne protège pas ce qu'on ne sait pas posséder, et aucune des mesures exigées n'est applicable sans savoir ce qui tourne, où, et pour qui.
La démarche suit ensuite quatre temps :
- Inventaire et périmètre. Ce qui tourne, où, sous quelle responsabilité, avec quelles données. Cette étape dit aussi si l'on est concerné, et à quel titre, plutôt que de le supposer.
- Écart entre l'exigé et l'existant. Mesure par mesure, ce qui est déjà en place, ce qui existe sans preuve, ce qui manque.
- Journalisation et procédure d'incident. La capacité à notifier en 24 puis 72 heures se prépare avant l'incident. Elle suppose des journaux conservés, centralisés, et une procédure que quelqu'un a déjà lue.
- Preuve et réexamen. Tests de restauration documentés, revue des accès, évaluation de l'efficacité des mesures. La directive demande de vérifier que ce qu'on a mis en place fonctionne, pas seulement de l'avoir mis en place.
Beaucoup d'entreprises découvrent à ce stade qu'une part de leurs obligations est déjà couverte par ce qu'elles font, et qu'il manque surtout la preuve. Passer d'une pratique correcte à une pratique démontrable est souvent le vrai chantier.
Questions fréquentes
- Une entreprise de 30 salariés est-elle concernée ?
- Seulement si elle exerce dans un des secteurs listés par la directive et qu'elle dépasse l'un des seuils, soit 50 salariés, soit 10 millions d'euros de chiffre d'affaires et de bilan. En dessous, une entreprise n'est en principe pas visée directement. Elle peut l'être indirectement, comme fournisseur d'une entité qui l'est, via les exigences que celle-ci répercute par contrat.
- Quelle différence entre entité essentielle et entité importante ?
- Le régime de contrôle et le plafond des sanctions. Une entité essentielle peut être contrôlée à tout moment, sans soupçon préalable, et encourt jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Une entité importante n'est contrôlée qu'en cas d'indice de manquement et encourt jusqu'à 7 millions d'euros ou 1,4 %.
- Faut-il une certification pour être conforme ?
- Non. NIS2 impose des mesures de gestion du risque et une capacité à notifier, pas l'obtention d'un label. Une certification ISO 27001 aide à structurer la démarche et à en apporter la preuve, mais elle n'est ni exigée ni suffisante en soi.
- Quels sont les délais de notification d'un incident ?
- Trois échéances qui s'enchaînent : une alerte précoce dans les 24 heures suivant la connaissance de l'incident, une notification circonstanciée dans les 72 heures, et un rapport final dans le mois. La contrainte réelle n'est pas le délai, c'est d'avoir la journalisation qui permet de raconter ce qui s'est passé.
- Le prestataire informatique est-il concerné lui aussi ?
- Oui, s'il est prestataire de services gérés ou de services de sécurité gérés : ces activités figurent parmi les secteurs hautement critiques de la directive. Par ailleurs, la sécurité de la chaîne d'approvisionnement fait partie des mesures exigées, ce qui oblige à évaluer ses fournisseurs informatiques même quand eux-mêmes ne seraient pas visés.