Mon entreprise est-elle soumise à NIS2 ?
Deux choses le déterminent : votre secteur et votre taille. Mais il existe un troisième groupe qui en est exclu et reçoit pourtant les exigences.
Secteur et taille, dans cet ordre
NIS2 est une directive européenne sur la sécurité des réseaux et systèmes d'information. Elle désigne dix-huit secteurs, répartis sur deux annexes. L'annexe I comprend les secteurs à haut degré de criticité : énergie, transports, santé, eau potable, infrastructure numérique, administrations publiques. L'annexe II comprend les autres secteurs critiques, tels que la poste, les déchets, la chimie, l'alimentation, l'industrie et les prestataires de services numériques.
Si votre secteur ne figure pas parmi eux, vous n'êtes pas soumis à NIS2. S'il y figure, votre taille compte. À partir d'environ cinquante salariés ou dix millions d'euros de chiffre d'affaires, vous êtes de taille moyenne et les obligations s'appliquent. Si vous êtes plus grand que deux cent cinquante salariés ou cinquante millions de chiffre d'affaires et que vous figurez à l'annexe I, vous êtes une entité essentielle et vous êtes soumis à une surveillance préalable. Le reste est entité importante : la même zorgplicht, mais une surveillance seulement s'il y a lieu.
Le troisième groupe, et c'est le plus grand
La vast majorité des organisations qui y sont confrontées n'y sont pas soumises directement. Elles fournissent à quelqu'un qui l'est. La directive oblige en effet les organisations soumises à des obligations à évaluer la sécurité de leurs fournisseurs, ce qu'elles font par le biais de questionnaires et de clauses contractuelles.
Pour vous, cela signifie aucune obligation d'enregistrement, aucune obligation de notification et aucune amende. Mais un client qui veut une réponse, et qui signera le contrat ailleurs si vous ne pouvez pas la donner. En pratique, cela touche plus d'entreprises et plus rapidement que la loi elle-même.
Exceptions à ne pas manquer
Même en dessous du seuil, vous pouvez être soumis à des obligations. Si vous êtes le seul fournisseur d'un service dans un État membre, ou si l'arrêt de votre service aurait d'importantes conséquences sociétales, votre autorité de surveillance peut vous désigner quand même. Les fournisseurs de services de communications électroniques publiques et de services de confiance y sont soumis indépendamment de leur taille.
L'inverse vaut également. Les banques et les marchés financiers relèvent en pratique du DORA, le règlement sur la résilience numérique du secteur financier. C'est un régime dérogatoire qui s'applique. Si vous vous y reconnaissez, faites-vous conseiller à ce sujet.
Questions fréquemment posées
Vais-je être averti si je suis soumis à ces obligations ?
Non, et c'est l'écueil. Il n'y a pas de lettre. Vous devez le déterminer vous-même et vous enregistrer vous-même auprès de l'autorité de surveillance.
Que se passe-t-il si je me trompe ?
Croire à tort que vous n'êtes pas soumis à ces obligations est le scénario le plus coûteux : les amendes peuvent atteindre dix millions d'euros ou deux pour cent du chiffre d'affaires mondial, et la direction est personnellement responsable. Si vous êtes dans le doute, partez du principe que vous l'êtes et faites-le vérifier.
Cela s'applique-t-il également à mon établissement étranger ?
La directive s'applique dans toute l'UE, mais les obligations naissent de la loi nationale de chaque pays, et elles ne sont pas partout au même niveau. Vous vous enregistrez dans le pays où vous êtes établi ; en cas d'établissements multiples, cela peut se faire en plusieurs endroits.
Ceci est une explication, non un conseil sur votre propre situation. secria.eu n'évalue pas votre organisation et ne donne pas d'assurance.