Conformité
NIS2 : votre entreprise est-elle réellement concernée ?
Secteurs couverts, seuils de taille, effet de chaîne par la sous-traitance : comment savoir si la directive NIS2 s'applique à votre structure, et ce qu'elle implique concrètement.
Ce que change réellement NIS2
La directive NIS2 élargit très largement le périmètre de son ancêtre NIS1. Là où quelques centaines d'opérateurs jugés vitaux étaient concernés, ce sont désormais des milliers d'entités qui entrent dans le champ d'application, dont beaucoup de structures de taille moyenne n'ayant jamais été soumises à une obligation formelle de cybersécurité. Pour ces organisations, le choc culturel est souvent plus important que le choc technique : il ne s'agit plus de faire de son mieux avec les moyens disponibles, mais de démontrer que l'on maîtrise ses risques.
Le texte introduit également une logique de responsabilité qui remonte jusqu'à la direction. Les organes de direction doivent approuver les mesures de gestion des risques, en superviser la mise en œuvre et suivre une formation adaptée. Autrement dit, la cybersécurité cesse d'être un sujet délégué à l'informatique pour devenir un sujet de gouvernance, au même titre que la conformité financière ou la sécurité des personnes.
Enfin, NIS2 harmonise les régimes de sanction entre États membres et donne aux autorités nationales, l'ANSSI en France, des pouvoirs de contrôle réels : demandes de preuves, audits, injonctions et, en dernier recours, amendes calculées sur le chiffre d'affaires. L'absence de documentation devient donc un risque juridique en soi, indépendamment du niveau réel de sécurité.
Comment savoir si vous êtes concerné
Le raisonnement se fait en deux temps. Il faut d'abord regarder votre secteur d'activité : les annexes de la directive listent les secteurs hautement critiques (énergie, transports, banque, infrastructures de marché, santé, eau potable, eaux usées, infrastructures numériques, administration publique, espace) et les secteurs critiques (services postaux, gestion des déchets, produits chimiques, agroalimentaire, fabrication de dispositifs médicaux, d'équipements électroniques, de machines et de véhicules, fournisseurs numériques, recherche). Si votre activité principale ne relève d'aucune de ces catégories, vous n'êtes en principe pas assujetti directement.
Il faut ensuite regarder la taille. Le seuil de référence est celui des entités moyennes au sens européen : à partir de 50 salariés ou de 10 millions d'euros de chiffre d'affaires et de bilan. En dessous, l'assujettissement reste possible pour certaines activités jugées critiques, comme les fournisseurs de services de confiance, certains opérateurs de réseaux ou des entités désignées individuellement par l'autorité nationale parce qu'une interruption de leur service aurait un impact significatif.
Reste le cas le plus fréquent en pratique : celui des entreprises qui ne sont pas assujetties mais qui travaillent pour une entité qui l'est. NIS2 impose en effet aux entités concernées de maîtriser la sécurité de leur chaîne d'approvisionnement. Vos clients vous transmettront donc leurs exigences par contrat, sous forme de questionnaires, de clauses de notification d'incident ou d'engagements de niveau de service. Le résultat est le même : vous devez être capable de répondre.
Les obligations à anticiper
Le cœur du dispositif tient en une analyse de risques documentée, tenue à jour, et une politique de sécurité de l'information approuvée par la direction. Ce sont les deux pièces que l'on vous demandera en premier lors d'un contrôle ou d'un audit client, et ce sont aussi celles qui prennent le plus de temps à construire correctement.
Vient ensuite la gestion des incidents, avec des délais de notification stricts : une alerte précoce dans les vingt-quatre heures suivant la détection d'un incident significatif, un rapport plus complet dans les soixante-douze heures, puis un rapport final sous un mois. Tenir ces délais suppose d'avoir désigné à l'avance qui décide, qui rédige et qui transmet. Improviser le jour J ne fonctionne pas.
Le reste des mesures relève des fondamentaux : continuité et reprise d'activité, sécurité de la chaîne d'approvisionnement, sécurité du développement et de la maintenance, hygiène numérique et sensibilisation des équipes, politique de contrôle d'accès et gestion des identités, chiffrement des données sensibles, et enfin évaluation régulière de l'efficacité de ce qui a été mis en place. Aucune de ces exigences n'est exotique ; leur difficulté tient à la nécessité de les tenir dans la durée et de pouvoir le prouver.
Par où commencer concrètement
La première étape consiste à trancher la question de l'assujettissement et à écrire la réponse. Une note de deux pages qui explique pourquoi vous êtes concerné, ou pourquoi vous ne l'êtes pas, avec les critères retenus et la date d'analyse, vaut mieux qu'une conviction orale. Ce document sera revu chaque année, car votre activité et vos effectifs évoluent.
La deuxième étape est un état des lieux honnête, mesuré contre les exigences du texte plutôt que contre un idéal théorique. L'objectif n'est pas d'obtenir une bonne note mais d'identifier les écarts réels et de les hiérarchiser en fonction de leur impact et de l'effort nécessaire.
La troisième étape est un plan d'action daté, porté par une personne identifiée et validé par la direction. C'est ce plan, plus que le niveau de départ, qui démontre votre sérieux auprès d'une autorité ou d'un client. Une structure qui a documenté ses écarts et s'est donné un calendrier crédible est dans une bien meilleure position qu'une structure qui affirme être conforme sans pouvoir l'établir.
Une question sur votre situation ?
Évaluez votre niveau de conformité en quelques minutes ou échangez directement avec nous.