NIS2 à l'étranger : la loi est-elle identique dans chaque pays de l'UE ?
Non, pas tout à fait. NIS2 est une directive européenne, et une directive fonctionne différemment d'un règlement. Un règlement comme le RGPD s'applique directement et textuellement dans tous les États membres. Une directive comme NIS2 fixe un objectif et un cadre, mais chaque pays doit le transposer lui-même dans sa propre législation nationale. De ce fait, les règles précises, les termes utilisés et le mode de contrôle peuvent varier d'un pays à l'autre, même si le point de départ est le même partout.
Pour un entrepreneur qui livre à des clients dans plusieurs pays, ou qui dispose lui-même d'établissements à l'étranger, cela signifie qu'un questionnaire en provenance d'Allemagne peut utiliser d'autres termes qu'un questionnaire en provenance de France ou de Belgique, alors que tous deux reposent sur la même directive européenne. Ce qui s'appelle une mesure obligatoire dans un pays peut relever d'une désignation légèrement différente dans un autre pays. Ce n'est pas une erreur de votre client et ce n'est pas non plus une erreur de votre part : c'est la conséquence du fonctionnement juridique d'une directive.
Ce qui reste identique, ce qui diffère
Le cœur de NIS2 est fixé au niveau européen : les secteurs qui peuvent être couverts par la directive, le type de mesures en matière de cybersécurité attendues, et l'existence d'une forme de contrôle. Cette base est le même point de départ dans tous les États membres.
Ce qui diffère se situe surtout dans la mise en œuvre. Chaque pays désigne sa propre autorité de contrôle, avec un nom et un mode de fonctionnement qui lui sont propres. La manière dont une entreprise doit se signaler, la formulation précise des obligations, et les régimes nationaux de sanctions peuvent également varier d'un pays à l'autre. En outre, certains pays ont choisi de transposer la directive de manière plus large ou légèrement plus stricte que le minimum européen, dans les limites que la directive prévoit à cet effet.
Cela signifie en pratique qu'un fournisseur néerlandais qui livre à un client allemand ou espagnol peut recevoir un questionnaire qui est structuré légèrement différemment d'une liste néerlandaise comparable. La question sous-jacente — pouvez-vous démontrer que vous faites quelque chose en matière de cybersécurité — est généralement comparable. La forme dans laquelle cette question est posée ne l'est pas toujours.
Ce que cela signifie pour votre propre dossier de chaîne
Pour l'entrepreneur qui répond des dizaines de fois par an aux mêmes types de questions, la distinction entre le cœur européen et la mise en œuvre nationale est surtout pertinente sur le plan pratique. Les pièces justificatives que vous fournissez — une politique, un aperçu des mesures, une déclaration sur le contrôle d'accès — peuvent rester fondamentalement les mêmes, même si la formulation des questions varie d'un pays à l'autre. C'est la transposition au format du client qui peut varier selon le pays, pas nécessairement le contenu de ce que vous avez déjà documenté.
C'est aussi la raison pour laquelle un dossier de chaîne centralisé démontre sa valeur : documenter une fois l'information sous-jacente, et la réutiliser pour chaque questionnaire, quel que soit le pays où se trouve le client ou la loi nationale exacte qui se cache derrière la question. la base de connaissances avec des explications par sujet indique par thème les informations généralement demandées, afin que vous n'ayez pas à vérifier à nouveau pour chaque pays ce qui est différent.
La question de savoir si NIS2 sous sa forme nationale d'un pays donné s'applique spécifiquement à votre entreprise, et quelles sont les obligations précises qui en découles, se trouve dans la législation de ce pays et auprès de l'autorité de contrôle désignée à cet effet. Pour la situation néerlandaise, vous pouvez vérifier cela auprès de l'autorité de contrôle compétente ou d'un juriste familiarisé avec les questions transfrontalières liées à NIS2 ; nous ne jugeons pas cette situation et ne l'évaluons pas.
Commencez par voir où vous en êtes à peu près
Si vous ne savez pas avec certitude si les questions sur la cybersécurité que vous recevez sont liées à NIS2, ou si elles découlent simplement de la politique de votre propre client, il est utile de d'abord avoir un bref aperçu de ce qui est généralement demandé et pourquoi. obtenir une première indication en quelques questions montre quels sujets peuvent être pertinents pour votre situation, sans que cela constitue un jugement sur votre conformité.
Pour ceux qui veulent savoir précisément d'où proviennent les informations sur supplia.eu et comment elles sont tenues à jour, cela est expliqué sur la page sur la façon dont l'information est créée. Si vous avez encore des doutes après la lecture sur un terme ou une situation spécifique, vous trouverez des explications supplémentaires dans les questions fréquemment posées sur les questionnaires et la surveillance.
Si vous voulez savoir comment ce type de différences nationales se manifestent en pratique chez vos propres clients, effectuez le scan rapide gratuit ou parcourez la base de connaissances. De cette façon, vous verrez rapidement quels sujets concernent votre entreprise, sans avoir à d'abord chercher vous-même toute la réglementation nationale.