NIS2 : qui est concerné ? Entités, obligations et calendrier

NIS2 est la directive (UE) 2022/2555 du Parlement européen et du Conseil, adoptée le 14 décembre 2022. Elle remplace la directive NIS de 2016 et relève le niveau d’exigence en matière de cybersécurité dans l’Union.

Trois changements par rapport au texte précédent : un champ d’application beaucoup plus large, des obligations harmonisées entre États membres, et un régime de sanctions renforcé assorti d’une responsabilité des dirigeants.

Une directive n’est pas directement applicable : chaque État membre la transpose dans son droit national, ce qui peut en préciser les modalités.

Le texte distingue deux catégories, selon le secteur et la taille.

Les entités essentielles relèvent des secteurs dits hautement critiques et dépassent les seuils de la grande entreprise : au moins 250 salariés, ou plus de 50 millions d’euros de chiffre d’affaires avec un bilan supérieur à 43 millions.

Les entités importantes regroupent les organisations de taille moyenne, à partir de 50 salariés ou 10 millions d’euros, des secteurs hautement critiques, ainsi que les entreprises des autres secteurs couverts.

La différence porte sur la supervision : active et a priori pour les entités essentielles, a posteriori pour les entités importantes, déclenchée par un incident ou un signalement.

Certaines organisations relèvent du texte indépendamment de leur taille, notamment les fournisseurs de services de confiance et certains opérateurs d’infrastructures numériques.

Secteurs hautement critiques : énergie, transports, banque et infrastructures de marché financier (pour lesquelles le règlement DORA prime), santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique, espace.

Autres secteurs critiques : services postaux et d’expédition, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution de denrées alimentaires, fabrication (dispositifs médicaux, informatique, électronique, machines, véhicules), fournisseurs numériques, recherche.

Le texte impose des mesures de gestion des risques couvrant notamment l’analyse des risques et la politique de sécurité, la gestion des incidents, la continuité d’activité et la gestion de crise, la sécurité de la chaîne d’approvisionnement, la sécurité dans l’acquisition et le développement, l’évaluation de l’efficacité des mesures, les pratiques de cyberhygiène et la formation, la cryptographie, la sécurité des ressources humaines et le contrôle d’accès, ainsi que l’authentification multifacteur.

S’y ajoute la notification des incidents significatifs : une alerte précoce auprès de l’autorité compétente dans les 24 heures, une notification plus complète sous 72 heures, puis un rapport final.

Enfin, les entités doivent s’enregistrer auprès de leur autorité nationale.

Le texte européen prévoit des amendes administratives pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.

NIS2 engage également les organes de direction, qui doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation. Leur responsabilité peut être recherchée en cas de manquement.

La directive est entrée en vigueur le 16 janvier 2023. Les États membres devaient la transposer avant le 17 octobre 2024.

En France, l’autorité compétente est l’ANSSI. Les modalités précises, périmètre exact des entités, procédures d’enregistrement, calendrier de mise en conformité, relèvent du texte de transposition nationale.

Qui est concerné par NIS2 ?
Les entités essentielles et importantes des secteurs couverts par la directive. Les entités essentielles relèvent des secteurs hautement critiques et comptent au moins 250 salariés, ou plus de 50 millions d’euros de chiffre d’affaires avec un bilan supérieur à 43 millions. Les entités importantes comptent à partir de 50 salariés ou 10 millions d’euros de chiffre d’affaires.

Une entreprise de moins de 50 salariés est-elle concernée ?
En principe non. Certaines organisations relèvent toutefois du texte quelle que soit leur taille, notamment les fournisseurs de services de confiance et certains opérateurs d’infrastructures numériques. Le texte de transposition français en précise le périmètre exact.

Quelles sont les obligations NIS2 ?
Des mesures de gestion des risques de cybersécurité, la notification des incidents significatifs (alerte précoce sous 24 heures, notification sous 72 heures, puis rapport final) et l’enregistrement auprès de l’autorité nationale.

Existe-t-il un audit ou une certification NIS2 ?
Non. NIS2 n’impose aucune certification et ne prévoit pas d’audit officiel. Une certification ISO 27001 couvre l’essentiel des mesures de gestion des risques attendues et en apporte une preuve évaluée par un organisme accrédité.

Quand NIS2 s’applique-t-elle en France ?
La directive est entrée en vigueur le 16 janvier 2023. Son application en France dépend du texte de transposition nationale, qui fixe le calendrier de mise en conformité. L’autorité compétente est l’ANSSI.

NIS2 n’exige aucune certification. Une organisation peut démontrer sa conformité par ses propres moyens.

ISO/IEC 27001 couvre l’essentiel des mesures de gestion des risques attendues et apporte une preuve évaluée par un organisme accrédité indépendant. Restent en dehors de la norme la notification réglementaire des incidents, la responsabilité personnelle des dirigeants et l’enregistrement auprès de l’autorité. Ils n’échappent pas pour autant à l’audit : lorsque NIS2 s’applique à l’organisation, la mesure A.5.31 d’ISO 27001 (exigences légales, statutaires, réglementaires et contractuelles) conduit l’auditeur à vérifier que ces obligations sont identifiées et prises en compte.

Certi-Trust certifie des systèmes de management selon ISO 27001, sous accréditation COFRAC 4-0612. Nous n’attestons pas de la conformité à NIS2, qui relève de l’autorité nationale.

Pour aller plus loin : comment ISO 27001 répond aux exigences NIS2, la certification ISO 27001 et NIS2 dans le secteur de la santé.