NIS2 est la nouvelle directive européenne sur la cybersécurité, que les États membres devaient transposer dans leur droit national pour le 17 octobre 2024. En France, l’autorité chargée de sa mise en œuvre est l’ANSSI. Le terme apparaît partout, souvent avec une bonne dose de panique, comme à l’époque du RGPD. Il est temps de regarder les choses calmement : la plupart des petites PME n’y sont pas soumises directement. Mais « pas directement » ne veut pas dire « rien à faire ».
Voici ce que vous devez vraiment savoir.
Quand êtes-vous directement soumis à NIS2 ?
Deux conditions, qui doivent être remplies toutes les deux en même temps :
- Vous êtes actif dans l’un des 18 secteurs désignés. Pensez à l’énergie, aux transports, aux infrastructures numériques, à la santé, à la finance, à la chimie, à la pharmacie, à l’eau et au traitement des déchets. Les services informatiques en font aussi partie.
- Vous dépassez le seuil de taille : au moins 50 salariés, ou un chiffre d’affaires annuel et/ou un total de bilan d’au moins 10 millions d’euros.
Ce n’est que si les deux sont vraies que vous êtes une entité NIS2. La grande majorité des PME classiques de moins de 50 salariés en est donc exclue, sauf si vous êtes actif dans l’un de ces secteurs strictement définis.
Petit test : êtes-vous dans l’un des 18 secteurs et atteignez-vous 50 salariés ou 10 millions d’euros ? Alors vous êtes soumis à l’obligation. L’un des deux seulement, ou aucun ? Alors pas directement.
La porte dérobée : votre client est concerné, vous non
C’est là que le bât blesse pour les petites entreprises. NIS2 oblige les entités à sécuriser toute leur chaîne d’approvisionnement. Concrètement, un client soumis à NIS2 vous répercutera les exigences par contrat, même si vous êtes vous-même trop petit pour tomber sous la loi.
Vous construisez ou gérez des logiciels, vous hébergez des données ou vous fournissez un service à un hôpital, un fournisseur d’énergie ou un grand acteur logistique ? Attendez-vous à voir apparaître des clauses NIS2 dans votre prochain contrat. Par le biais de la chaîne, vous êtes alors soumis malgré tout à une grande partie des obligations.
Que faut-il faire alors ?
NIS2 n’est pas une checklist que l’on coche une fois. Il s’agit de mesures démontrables et continues dans une dizaine de domaines : évaluation des risques, réponse aux incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement et formation du personnel. Concrètement :
- Analyse de risques et politique. Identifiez les menaces pertinentes et définissez des mesures techniques et organisationnelles adaptées.
- Obligation de notification des incidents. En cas d’incident de cybersécurité important : une alerte précoce à l’autorité nationale (en France, l’ANSSI) dans les 24 heures, une notification complémentaire dans les 72 heures, et un rapport détaillé dans le mois.
- Preuves et gouvernance. Documents de politique, audits et mesures démontrables doivent être prêts pour l’autorité de contrôle. La responsabilité repose explicitement sur la direction.
- Contrôle renforcé (pour la catégorie la plus lourde). Les entités essentielles font l’objet d’une supervision plus stricte, avec notamment des audits de sécurité réguliers.
La façon dont ces mesures se traduisent en exigences concrètes dépend de la transposition dans chaque pays ; en France, c’est l’ANSSI qui précise le cadre et accompagne les entités concernées. Un point d’attention concret est l’endroit où tournent vos données et vos systèmes : nous avons déjà expliqué comment un cloud européen peut vous y aider. Un SaaS européen aide évidemment aussi.
Le calendrier qui compte
- 16 janvier 2023 : la directive NIS2 entre en vigueur au niveau européen.
- 17 octobre 2024 : date limite de transposition pour les États membres ; les règles nationales s’appliquent à partir du 18 octobre 2024.
- 17 avril 2025 : les États membres doivent avoir établi la liste des entités essentielles et importantes.
Les échéances concrètes pour les entreprises dépendent ensuite de la loi nationale. En France, suivez les informations publiées par l’ANSSI.
Qu’est-ce que cela signifie pour vous ?
Vous êtes directement soumis à NIS2 ? Alors ce n’est plus un projet « pour un jour », mais pour maintenant. Vous n’y êtes pas soumis, mais vous travaillez pour des entreprises qui le sont ? N’attendez pas qu’un client vous prenne de court avec un questionnaire. Un peu de préparation fait de vous un partenaire attractif plutôt qu’un risque.
Et si vous êtes en sécurité en dehors de tout cela ? Servez-vous de NIS2 comme d’un repère. Les mesures relèvent simplement de la bonne hygiène : une analyse de risques réfléchie, un plan d’incident prêt à l’emploi et un logiciel qui ne devient pas une faille tout seul. Cela paie, que la loi vous y oblige ou non.
Vous vous demandez si NIS2 s’applique à vous, ou comment préparer votre logiciel ? Contactez-nous et nous examinerons volontiers la question ensemble, calmement.
Sources :
Cet article est informatif et ne constitue pas un avis juridique.
