Directive sur la sécurité des réseaux et de l'information (NIS2)

NIS2 est la directive européenne (2022/2555) qui fixe un socle commun de cybersécurité pour les entités essentielles et importantes réparties sur 18 secteurs critiques, remplaçant la directive NIS de 2016 par un périmètre bien plus large et une application plus stricte.

Les organisations opérant dans l'un des 18 secteurs critiques de NIS2, au-delà des seuils de taille, généralement 50 salariés ou 10 millions d'euros de chiffre d'affaires annuel, ainsi qu'un nombre restreint d'entités soumises quelle que soit leur taille. Vérifiez votre propre éligibilité sur le portail MonEspaceNIS2 de l'ANSSI. Portail MonEspaceNIS2.

Les règles de qualification de NIS2 se veulent uniformes, il est donc probable qu'une entité soit soumise à la directive dans chacun des pays où elle est établie.

Selon l'article 26, chaque entité relève en principe de la législation du pays où elle est établie, avec des exceptions spécifiques pour les prestataires d'infrastructure numérique, de télécommunications et d'administration publique, qui peuvent être centralisés sous la loi d'un seul État membre.

Les entreprises concernées sont soumises à la réglementation lorsqu'elles remplissent les critères les qualifiant d'entreprise de taille moyenne ou grande (dans la plupart des cas) et qu'elles opèrent dans l'un des secteurs listés dans les annexes du texte européen. Concernant les critères de taille et de chiffre d'affaires, les deux doivent être réunis de manière cumulative.

NIS2 s'applique largement à 18 secteurs critiques, tandis que DORA vise spécifiquement les entités financières et leurs prestataires TIC. Une institution financière peut relever des deux à la fois, et lorsque c'est le cas, les deux ensembles d'obligations se recoupent largement, notamment sur la notification des incidents et la gestion des risques tiers.

L'article 21 fixe dix catégories de mesures pour les deux niveaux : analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, développement sécurisé des systèmes, évaluation de l'efficacité des mesures, hygiène cyber et formation, cryptographie, contrôle d'accès et gestion des actifs, authentification à plusieurs facteurs. Les catégories sont identiques, mais pas le niveau d'exigence attendu : les entités essentielles font l'objet d'une supervision plus stricte, tandis que les entités importantes peuvent prioriser progressivement. En France, le ReCyF de l'ANSSI reflète directement cette différence, avec 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes.

Oui, sur les deux plans. Au titre de l'article 21(2)(d), externaliser une fonction ne transfère jamais votre propre responsabilité de conformité, les tribunaux français ont déjà confirmé qu'une entité régulée reste pleinement responsable des manquements de sécurité de ses sous-traitants. En pratique, cela rend la formulation de vos clauses de sécurité déterminante : des références vagues à des normes standards et usages internationaux ont déjà été contestées devant les tribunaux français, des prestataires ont été condamnés à des dommages-intérêts pour manquement à une clause explicite de développement sécurisé, et les tribunaux ont par ailleurs traité la cybersécurité comme une qualité essentielle implicite d'un contrat informatique, même en l'absence de clause. Pour les groupes, NIS2 s'applique filiale par filiale et activité par activité, jamais automatiquement au niveau du groupe : une filiale peut entrer dans le périmètre pendant qu'une autre, au sein du même groupe, en reste exclue.