La réponse courte
Une partie de la prestation de services ICT figure nommément dans la liste des secteurs NIS2 et peut donc elle-même être essentielle ou importante. Pensez aux prestataires de services gérés et aux prestataires de services de sécurité gérés, aux fournisseurs de services en nuage et aux centres de données. Mais la plupart des prestataires de services ICT — l'administrateur réseau local, la partie qui assure la maintenance des serveurs à distance, le fournisseur d'une application métier — ne relèvent pas eux-mêmes de la liste des secteurs. Ils sont souvent concernés, et pour la raison suivante: une entité essentielle ou importante doit évaluer le niveau de sécurité de ses fournisseurs, et un prestataire de services ICT ayant accès aux systèmes est pour cette évaluation une partie évidente.
Que vous soyez vous-même assujetti ou que vous soyez concerné via la chaîne d'approvisionnement dépend donc de trois éléments considérés ensemble: votre type de service figure-t-il dans la liste des secteurs, votre organisation atteint-elle la taille qui y correspond, et quel est votre rôle réel auprès des clients qui sont eux-mêmes assujettis. Ces trois facteurs déterminent ensemble la réponse, et ils fonctionnent indépendamment les uns des autres — vous pouvez atteindre la taille requise sans être dans le bon secteur, ou être exactement dans le bon secteur sans atteindre la taille.
Ce que la liste des secteurs dit sur la prestation de services ICT
La directive NIS2 distingue les secteurs de criticité élevée et les autres secteurs critiques. Au sein de l'infrastructure numérique et des services numériques, figurent notamment les prestataires de services gérés (managed service providers) et les prestataires de services de sécurité gérés (managed security service providers), aux côtés des services d'informatique en nuage, des centres de données et des prestataires de places de marché en ligne et de moteurs de recherche. Qui relève de l'une de ces catégories suit le même test que tout autre secteur: le service propre correspond-il à la description dans la directive, et si oui, dans quelle catégorie.
Qui livre uniquement des logiciels, construit un site web ou exécute ponctuellement des projets informatiques sans gestion continue, sort généralement de cette description spécifique — bien que la délimitation précise soit à déterminer selon la situation propre, non selon une règle générale. Si vous doutez de la description qui s'applique à votre prestation de services, c'est l'un des points où en quelques questions une première indication aide, avec une référence à l'emplacement précis dans la directive.
La taille compte autant que le secteur
Un secteur seul ne suffit pas pour être essentiel ou important. La NIS2 fonctionne avec des critères de taille qui correspondent à la classification standard des entreprises de taille moyenne et grande: le nombre d'employés et le chiffre d'affaires ou le total du bilan jouent un rôle dans la détermination de la catégorie. Une entreprise individuelle offrant la gestion réseau à une poignée d'entreprises locales relève généralement d'une catégorie différente, par la taille, qu'un prestataire de services informatiques national avec des centaines d'employés, même si les deux offrent essentiellement le même service.
Les lois nationales qui transposent la directive — aux Pays-Bas, la Cyberbeveiligingswet — précisent davantage ces critères, et l'autorité de contrôle publie à ce sujet des explications pratiques. Nous tenons ces sources à jour avec la date à laquelle nous les avons consultées, afin que vous puissiez vérifier quand une indication est basée.
Gestion à distance et accès aux systèmes des clients: la position dans la chaîne d'approvisionnement
C'est justement dans la prestation de services TIC que la position dans la chaîne d'approvisionnement est souvent le point décisif, indépendamment du secteur et de la taille. La gestion à distance, l'accès aux réseaux des clients, la gestion des mots de passe ou la maintenance d'une application critique pour le client — ce sont précisément les caractéristiques qu'un client prend en compte lorsqu'il évalue ses propres fournisseurs. En effet, une entité essentielle ou une entité importante doit pouvoir démontrer que les risques dans la chaîne d'approvisionnement sont identifiés, et un fournisseur ayant accès aux systèmes figure alors en haut de cette liste, indépendamment de la question de savoir si ce fournisseur figure lui-même dans la liste des secteurs.
Cela explique pourquoi de nombreux prestataires de services TIC, bien qu'ils ne soient pas eux-mêmes soumis à des obligations, reçoivent néanmoins un questionnaire de sécurité ou une clause contractuelle. Il ne s'agit pas d'une obligation juridique qui pèse directement sur eux, mais d'une exigence pratique qui leur est imposée via le client — et qui peut bel et bien affecter le contrat.
Sous-traitants : la chaîne ne s'arrête pas à vous
Celui qui travaille lui-même avec des sous-traitants — un administrateur système indépendant, une partie qui fournit l'hébergement, un service d'assistance externe — transmet cette question dans la pratique. Si votre client souhaite savoir comment l'accès aux systèmes est organisé, il est probable que vous posiez la même question à vos propres sous-traitants. Ainsi, l'évaluation de la chaîne d'approvisionnement s'étend sur plusieurs maillons, même si personne dans cette chaîne ne relève lui-même de la liste des secteurs.
Ce que cela signifie pour votre dossier
Que vous soyez vous-même soumis à des obligations, que vous ne soyez touchés que par la chaîne d'approvisionnement, ou qu'aucun des deux ne s'applique, détermine à quoi ressemble votre préparation : un dossier complet de diligence, des réponses ciblées aux questionnaires des clients, ou aucune mesure pour l'instant. Vous trouverez un aperçu des dix mesures que la diligence raisonnable attend de vous, et la manière dont elles se rapportent à ce qu'un client demande dans un questionnaire, dans l'explication par sujet. Pour la question de savoir comment secria.eu maintient les sources à jour et sur quoi une indication est basée, la méthode de travail est un bon point de départ, et les questions fréquemment posées sur la portée de la loi sont rassemblées dans l'aperçu des questions et réponses.
Commencez par le contrôle NIS2 pour voir si votre prestation de services figure dans la liste des secteurs, quelle taille est pertinente et ce que votre position dans la chaîne d'approvisionnement signifie pour vous — gratuitement et sans compte.