S'enregistrer auprès de l'autorité de contrôle : comment cela fonctionne-t-il ?
Les entités essentielles ou importantes relevant de la directive NIS2 doivent s'enregistrer elles-mêmes auprès de l'autorité de contrôle nationale. Cet enregistrement s'effectue via un portail mis en place par l'autorité de contrôle, avec des données concernant votre organisation, vos contacts et les services que vous fournissez. Vous ne recevrez pas de courrier vous le rappelant : l'obligation de vous enregistrer incombe à votre organisation elle-même, non à l'autorité de contrôle de vous rechercher.
Cette dernière observation en surprend beaucoup de directions. Pour d'autres obligations — une autorisation, une déclaration annuelle — vous recevez souvent un signal de la part de l'autorité elle-même. Pour l'obligation d'enregistrement en vertu de la Loi sur la cybersécurité, cela fonctionne différemment : l'autorité de contrôle ne sait pas, au départ, quelles organisations relèvent de la loi, et dépend donc de votre propre évaluation et de votre action.
Quelles données sont demandées
L'enregistrement demande généralement les données d'identification de l'organisation, telles que le nom, le numéro de registre du commerce et l'adresse, complétées par le secteur et l'activité qui vous soumettent à la loi. En outre, on vous demande de fournir une ou plusieurs personnes de contact que l'autorité de contrôle peut joindre, avec nom, numéro de téléphone et adresse électronique — il s'agit souvent de personnes différentes du contact commercial ordinaire de l'entreprise, car il s'agit de disponibilité en cas d'incident. Les réseaux et systèmes d'information ou services pertinents pour la qualification en tant qu'entité essentielle ou importante, et parfois les États membres dans lesquels vous fournissez des services, font également partie du tableau que l'autorité de contrôle souhaite obtenir.
Les champs exacts et la disposition du formulaire varient selon les pays, car chaque État membre transpose la directive dans sa propre législation nationale et l'autorité de contrôle met en place elle-même le portail. Ce qui est demandé aux Pays-Bas ne doit donc pas correspondre exactement à ce qu'une autorité de contrôle d'un autre pays demande à une filiale là-bas.
Pourquoi vous ne recevez pas de courrier
L'obligation d'enregistrement est conçue comme une obligation de l'organisation, et non comme une invitation des autorités publiques. Au moment de l'entrée en vigueur de la loi, l'autorité de contrôle ne dispose pas d'une liste exhaustive de qui est actif où et selon quel seuil — cette information doit provenir du secteur lui-même. C'est comparable au fonctionnement d'une inscription au registre du commerce ou d'une déclaration de TVA : la responsabilité d'agir à temps incombe à l'entrepreneur, même si personne n'envoie de rappel.
Pour beaucoup de petites et moyennes entreprises qui sont affectées par la chaîne d'approvisionnement, ce n'est de toute façon pas pertinent : seules les entités essentielles et importantes elles-mêmes ont une obligation d'enregistrement. Les entreprises qui ne reçoivent qu'un questionnaire de sécurité d'un acheteur qui relève lui-même de la loi ne s'enregistrent pas auprès de l'autorité de contrôle. Que votre organisation appartienne au premier ou au second groupe n'est pas toujours immédiatement clair ; en répondant à quelques questions, voyez où se situe votre organisation vous donne une première orientation, avec une explication pour chaque résultat.
Quand s'enregistrer
La loi nationale détermine le délai et le moment à partir duquel une organisation doit s'enregistrer après avoir été qualifiée d'essentielle ou d'importante. Ces délais figurent dans la transposition nationale de la directive et sur le site internet de l'autorité de contrôle elle-même, et ils peuvent évoluer au fur et à mesure du développement de la législation. Pour connaître la situation actuelle, vous devez vous adresser à l'autorité de contrôle compétente ou à un juriste, et non à un article général — une mise à jour du site ou une annonce de l'autorité de contrôle fait autorité à cet égard, et non une date qui serait conservée quelque part.
Ce que secria.eu fait et ne fait pas lors de l'enregistrement
La plateforme vous aide à préparer le texte et les données dont vous avez besoin pour remplir le formulaire d'enregistrement : les personnes de contact à fournir, la description du secteur et des activités qui correspond à la catégorisation du régulateur, et la justification derrière la qualification. Ce qu'elle ne fait explicitement pas, c'est soumettre en votre nom. Vous devez soumettre vous-même via le portail de votre régulateur ; secria.eu prépare le texte, vous le soumettez. La façon dont cette préparation est exactement réalisée et les sources utilisées sont expliquées sur la page sur la façon dont les informations sont élaborées.
Doute sur votre propre situation
Le fait que l'enregistrement soit pertinent pour votre organisation dépend du secteur dans lequel vous opérez, de la taille de votre organisation et de la loi nationale qui s'applique à vous. Ce n'est pas une question à laquelle un seul article général peut répondre pour votre situation spécifique ; pour cela, le régulateur compétent ou un juriste est le bon interlocuteur. Les questions pratiques fréquemment posées sur l'enregistrement, l'obligation de notification et le rôle des fournisseurs sont rassemblées sur la page des questions fréquemment posées.
Voulez-vous d'abord un aperçu de tous les sujets relatifs à la Directive NIS2 et à la Loi sur la cybersécurité, de la classification sectorielle aux dix mesures de diligence raisonnable ? Vous les trouverez, triés selon votre situation, sur la page d'aperçu avec tous les sujets. Et si vous ne savez pas encore si l'enregistrement vous concerne, l'évaluation rapide gratuite est la première étape la plus rapide pour y voir clair.