NIS2 est la directive européenne qui fixe des exigences en matière de cybersécurité pour les organisations dans certains secteurs. L'application directe de la directive à votre entreprise dépend de deux éléments : le secteur dans lequel vous opérez et la taille de votre entreprise. Si vous ne répondez pas à cette combinaison de critères, vous n'êtes probablement pas un groupe cible direct de la directive, mais cela ne signifie pas que NIS2 ne vous affectera jamais.
En effet, beaucoup d'entreprises qui ne relèvent pas du champ d'application reçoivent néanmoins des questions sur la cybersécurité d'un client qui, lui, relève de NIS2. Ce client doit démontrer que toute sa chaîne d'approvisionnement est suffisamment sécurisée et envoie donc un questionnaire à ses fournisseurs. Dans ce cas, la directive ne s'applique pas à vous, mais c'est l'accord contractuel que votre client y rattache qui crée une obligation pour vous.
Le secteur et la taille déterminent l'obligation directe
La directive cible ce qu'elle appelle les entités "essentielles" et "importantes" : les organisations dans des secteurs tels que l'énergie, les transports, l'eau potable, les infrastructures numériques, les banques et la santé, complétées par un certain nombre d'autres secteurs énumérés dans la directive elle-même. En plus de cela, s'appliquent des critères de taille, qui peuvent varier selon le secteur et la catégorie. Une petite entreprise d'installation sans rôle dans l'un de ces secteurs échappe généralement à l'application directe de NIS2. La liste exacte des secteurs et la manière dont les États membres l'ont transposée dans la législation nationale se trouvent dans le texte officiel et auprès de l'autorité de surveillance désignée dans votre pays ; aux Pays-Bas, c'est l'Inspection nationale des infrastructures numériques.
Également en dehors du secteur : la demande de votre client
Une entreprise qui relève de NIS2 doit notamment évaluer le niveau de sécurité des organisations avec lesquelles elle collabore. Cela s'appelle risque de chaîne ou risque fournisseur, et la directive le mentionne explicitement comme point d'attention. En pratique, cela se traduit par un questionnaire ou une disposition contractuelle chez votre client : disposez-vous d'un point de contact pour les incidents, signalez-vous une fuite de données dans un délai donné, avez-vous mis en place un contrôle d'accès. Ce sont souvent les mêmes types de mesures que les dix que la directive elle-même énonce pour les entreprises qui en relèvent directement. Pour en savoir plus sur ce que ces questions signifient exactement et comment elles se rapportent à des obligations existantes comme le RGPD, lisez l'explication par sujet dans la base de connaissances.
Comment vérifier votre situation
Que NIS2 s'applique directement à vous est une question de fait que vous pouvez répondre en vous référant à la classification sectorielle officielle et aux critères de taille tels que transposés dans votre pays. Si vous hésitez, l'autorité de surveillance compétente ou un juriste est la partie appropriée pour le déterminer ; cet article ne peut pas remplacer cette évaluation. Ce que vous pouvez facilement vérifier vous-même, c'est si vous recevez des signaux indiquant une implication indirecte : un client qui vient d'envoyer un questionnaire sur la cybersécurité, un contrat qui fait référence à des obligations de notification, ou un appel d'offres dans lequel des mesures de sécurité sont demandées. Ce sont des indicateurs pratiques, pas un jugement juridique.
Que faire si vous recevez des questions, qu'il y ait ou non une obligation directe
Que vous relieviez directement de NIS2 ou que vous ne soyez affecté que via un client, le questionnaire lui-même ne change guère : on vous demande de décrire les mesures que vous avez prises et de les étayer. Cela chevauche souvent ce que vous avez déjà documenté à d'autres fins, comme le contrôle d'accès pour le RGPD ou les procédures d'urgence pour la continuité de l'activité. C'est ce chevauchement qui fait que les entreprises doivent fournir à plusieurs reprises les mêmes types de pièces justificatives, chaque fois dans un format légèrement différent. Les réponses aux questions fréquemment posées sur le fonctionnement exact de ce type de questionnaires se trouvent dans les questions fréquemment posées sur les questionnaires, et une explication sur la provenance des informations sur ce site se trouve sur la page sur le fonctionnement.
Aucune instance ne détermine pour vous si NIS2 s'applique à votre entreprise ; cette évaluation vous incombe, à votre juriste ou à l'autorité de contrôle. Ce que vous pouvez faire rapidement, en revanche, c'est vérifier si les signaux que vous reconnaissez correspondent à une implication directe ou indirecte. Si vous souhaitez voir cela de manière claire et comparative, vous pouvez recevoir en quelques questions une indication de votre situation, ou parcourir tranquillement les sujets qui pourraient s'appliquer à votre situation.