La question « sommes-nous concernés ? » revient dans presque toutes les réunions où NIS2 est prononcé. Elle a une réponse précise, écrite dans la directive elle-même, articles 2 et 3. Trois questions suffisent à la trouver. Une quatrième dit ce que cela change pour l’exploitation.
Question 1 : votre secteur figure-t-il dans les annexes ?
La directive ne vise pas « les entreprises » en général. Elle vise des types d’entités listés dans deux annexes.
Annexe I, secteurs hautement critiques :
| Secteur | Exemples d’entités |
|---|---|
| Énergie | Électricité, réseaux de chaleur et de froid, pétrole, gaz, hydrogène |
| Transports | Aérien, ferroviaire, par voie d’eau, routier |
| Secteur bancaire | Établissements de crédit |
| Infrastructures des marchés financiers | Plates-formes de négociation, contreparties centrales |
| Santé | Prestataires de soins, laboratoires de référence, fabricants de dispositifs médicaux critiques, de produits pharmaceutiques |
| Eau potable | Fournisseurs et distributeurs |
| Eaux usées | Collecte, évacuation, traitement |
| Infrastructure numérique | Points d’échange internet, DNS, registres de noms de domaine, informatique en nuage, datacenters, réseaux de diffusion de contenu, services de confiance, communications électroniques |
| Gestion des services TIC (interentreprises) | Services gérés, services de sécurité gérés |
| Administration publique | Administrations centrales, et régionales selon le choix de chaque État |
| Espace | Exploitants d’infrastructures terrestres |
Pour un opérateur d’infrastructure, la ligne qui compte est celle de l’infrastructure numérique : datacenters, informatique en nuage, points d’échange internet, communications électroniques. Les fournisseurs de réseaux de communications électroniques publics relèvent même d’un cas particulier, quelle que soit leur taille (question 3).
Annexe II, autres secteurs critiques :
- services postaux et d’expédition ;
- gestion des déchets ;
- fabrication et distribution de produits chimiques ;
- production et distribution de denrées alimentaires ;
- fabrication : dispositifs médicaux, informatique et électronique, équipements électriques, machines, véhicules et autres matériels de transport ;
- fournisseurs numériques : places de marché, moteurs de recherche, réseaux sociaux ;
- recherche.
Si votre activité n’apparaît dans aucune des deux annexes, la directive ne s’applique pas directement à vous. Lisez tout de même la question 4.
Question 2 : dépassez-vous la taille d’une petite entreprise ?
L’article 2, paragraphe 1, de la directive vise les « entités publiques ou privées d’un type visé à l’annexe I ou II qui constituent des entreprises moyennes ». La taille se lit selon la recommandation 2003/361/CE, et les entités qui en dépassent les plafonds sont aussi visées. Concrètement, vous êtes dans le périmètre si l’une de ces conditions est vraie :
- vous employez 50 personnes ou plus ;
- votre chiffre d’affaires annuel et votre total de bilan dépassent 10 millions d’euros.
Deux pièges dans ce calcul. Le premier : la recommandation additionne les effectifs et les montants des entreprises partenaires et liées. Une filiale modeste d’un groupe important n’est pas une petite entreprise. Le second : la condition financière porte sur le chiffre d’affaires et le bilan ensemble ; une société à 12 millions de chiffre d’affaires avec un bilan de 6 millions reste petite.
Question 3 : êtes-vous dans un cas particulier ?
L’article 2 prévoit des entités concernées quelle que soit leur taille. Les principales :
- les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public ;
- les prestataires de services de confiance ;
- les registres de noms de domaine de premier niveau et les fournisseurs de services DNS ;
- toute entité qui est le seul fournisseur d’un service essentiel dans un État membre ;
- toute entité dont une perturbation aurait un impact important sur la sécurité publique, la sûreté ou la santé, ou un risque systémique ;
- les administrations publiques centrales ;
- les entités désignées comme critiques au titre de la directive sur la résilience des entités critiques.
Ces cas sont décidés par l’État, pas par vous. Si vous pensez en relever, la réponse viendra de l’autorité compétente.
Essentielle ou importante : ce que ça change
Une fois dans le périmètre, l’article 3 range chaque entité dans l’une de deux catégories.
Entité essentielle : vous êtes dans l’annexe I et vous dépassez la taille d’une entreprise moyenne (250 personnes ou plus, ou chiffre d’affaires au-delà de 50 millions d’euros et bilan au-delà de 43 millions). S’y ajoutent, sans condition de taille, les prestataires de services de confiance qualifiés, les registres de premier niveau, les fournisseurs DNS et les administrations centrales.
Entité importante : tous les autres entrants.
Les obligations de fond sont identiques. Ce qui diffère :
| Essentielle | Importante | |
|---|---|---|
| Mesures de sécurité (art. 21) | Oui | Oui |
| Notification des incidents (art. 23) | Oui | Oui |
| Contrôle | À tout moment, y compris inspections sur place et audits réguliers | Après coup, sur indice de manquement |
Autrement dit : une entité importante a les mêmes devoirs qu’une essentielle, avec un contrôle moins fréquent. Ce n’est pas une version allégée.
Question 4 : et si vous n’êtes pas dans le périmètre ?
Deux cas où NIS2 vous atteint quand même.
Vous êtes fournisseur d’une entité concernée. L’article 21 impose à vos clients de gérer la sécurité de leur chaîne d’approvisionnement, fournisseurs directs compris. Ils vous demanderont des preuves : comment vous traitez un incident, en combien de temps vous les prévenez, comment vous tenez votre inventaire. Ces questions arrivent dans les appels d’offres et les renouvellements de contrat avant même la loi.
Vous exploitez des services dont d’autres dépendent. Même hors périmètre, les exigences de la directive décrivent une exploitation qui sait ce qu’elle fait tourner, qui voit ce qui casse et qui peut le raconter. C’est une bonne définition d’une exploitation tenue.
Ce que le périmètre déclenche côté exploitation
Être concerné ne change pas d’abord votre politique de sécurité. Cela change ce que votre exploitation doit pouvoir produire sur demande :
- Un inventaire à jour des actifs, des services et de leurs dépendances (article 21, gestion des actifs), et pas un schéma refait avant l’audit. Voir la cartographie du SI tenue à jour.
- Une chronologie d’incident fiable, avec les horodatages de détection, de qualification et de rétablissement, puisque l’alerte précoce est due 24 heures après la prise de connaissance. Voir la notification d’incident NIS2.
- Des preuves de continuité : sauvegardes testées, procédures de reprise, gestion de crise (article 21, continuité des activités).
Ces trois choses se construisent dans l’exploitation quotidienne. Elles ne s’achètent pas la veille du contrôle. La chronologie d’incident est la plus répétitive des trois : la reconstituer depuis les alertes, les tickets et les journaux se scripte. Hopwise Labs inscrit ce script dans vos outils ; le rapport final reste le vôtre.
En résumé
Vous êtes concerné si votre type d’entité est dans l’annexe I ou II et que vous êtes au moins une entreprise moyenne, ou si vous êtes dans l’un des cas particuliers de l’article 2. Vous êtes essentielle si vous êtes grande et dans l’annexe I, importante sinon. Dans les deux cas, les devoirs sont les mêmes. Et si vous n’y êtes pas, vos clients concernés vous poseront les mêmes questions.
Questions fréquentes
Une PME de 30 personnes peut-elle être concernée par NIS2 ?
En règle générale non : la directive vise les entités de taille moyenne ou plus. Trois exceptions : certains services (réseaux de communications électroniques, services de confiance, DNS, registres de noms de domaine) sont concernés quelle que soit la taille ; une entité peut être désignée par l’État si elle est seule à fournir un service essentiel ou si sa défaillance aurait un impact important ; et une PME sous-traitante d’une entité concernée recevra ses exigences par contrat.
Quelle différence entre entité essentielle et entité importante ?
Les obligations de fond sont les mêmes (mesures de l’article 21, notification de l’article 23). La différence porte sur le contrôle : les entités essentielles peuvent être contrôlées à tout moment, les entités importantes le sont après coup, en cas d’indice de manquement.
Faut-il attendre la loi française pour agir ?
Non. Les mesures de l’article 21 (inventaire, gestion des incidents, continuité, sauvegardes) sont de toute façon celles d’une exploitation saine, et elles prennent des mois à mettre en place. La loi de transposition fixe les modalités nationales, pas le fond.
Comment compter les effectifs et le chiffre d’affaires ?
Selon la recommandation 2003/361/CE, qui sert de référence à la directive : les effectifs et les montants des entreprises partenaires et liées sont pris en compte. Une filiale de 20 personnes d’un groupe de 400 n’est pas une petite entreprise au sens de ce texte.
Les collectivités territoriales sont-elles concernées ?
La directive inclut les administrations publiques centrales et laisse aux États membres le choix d’inclure les administrations régionales et locales. En France, ce point relève de la loi de transposition : vérifiez le texte en vigueur plutôt qu’un article de blog, y compris celui-ci.