NIS2 : suis-je concerné ?

Où en est la loi en France

NIS2 est une directive européenne (UE 2022/2555). Pour s’appliquer en France, elle doit être transposée par une loi, le projet de loi « Résilience », puis précisée par des décrets.

À la date de vérification de cette page, le texte a été adopté par le Sénat mais n’était pas encore définitivement adopté ni promulgué. Les obligations s’appliqueront après la promulgation de la loi et la publication de ses décrets, avec des délais de mise en œuvre.

Êtes-vous concerné directement ?

Selon la directive, deux critères se combinent :

• Votre secteur : la directive vise 18 secteurs, dont l’énergie, les transports, la santé, l’eau, le numérique, la gestion des déchets, la fabrication de produits chimiques, l’agroalimentaire et une large partie de l’industrie manufacturière (équipements électriques, machines, véhicules, matériel de transport…).
• Votre taille : en règle générale, les entreprises de taille moyenne et plus, c’est-à-dire au moins 50 salariés, ou plus de 10 millions d’euros de chiffre d’affaires et de total de bilan.
• Certaines entités sont visées quelle que soit leur taille (par exemple certains fournisseurs de services numériques ou de confiance).

Entité essentielle ou importante

Les entités concernées sont classées en deux catégories, selon leur secteur et leur taille. Les obligations de fond sont proches ; ce sont surtout le niveau de contrôle et les sanctions qui diffèrent.

Le classement exact dépendra du texte français définitif. L’ANSSI met à disposition un outil en ligne pour estimer si votre entreprise est concernée.

Le cas le plus fréquent : concerné par vos clients

NIS2 impose aux entités régulées de maîtriser la sécurité de leur chaîne d’approvisionnement. Concrètement, un donneur d’ordre soumis à NIS2 va exiger de ses fournisseurs et sous-traitants des garanties : questionnaires, clauses contractuelles, plans d’actions.

C’est pourquoi une PME de 30 salariés, non soumise elle-même, peut recevoir un questionnaire de sécurité « NIS2 » de son principal client.

Ce que la directive demande

• Une gouvernance : la direction approuve les mesures de sécurité et en supervise la mise en œuvre ; ses membres doivent être formés.
• Une gestion des risques : politiques de sécurité, gestion des incidents, continuité d’activité et sauvegardes, sécurité de la chaîne d’approvisionnement, gestion des accès, authentification multifacteur, chiffrement, sensibilisation.
• La notification des incidents importants à l’autorité, selon des délais courts (alerte précoce sous 24 heures dans la directive).

Par où commencer dès maintenant

1. 1Vérifier votre situation : votre secteur et votre taille, mais aussi ceux de vos principaux clients.
2. 2Faire un état des lieux de vos mesures de sécurité au regard des exigences ci-dessus.
3. 3Désigner un responsable de la sécurité et informer la direction de ses futures responsabilités.
4. 4Prioriser les mesures de base, utiles quelle que soit la loi : double authentification, sauvegardes hors ligne testées, gestion des accès, procédure d’incident.
5. 5Suivre la publication de la loi et des décrets, et consulter le référentiel publié par l’ANSSI.