La branche de l'installation n'est pas couverte dans son ensemble par la directive NIS2. Il n'existe pas de secteur « installation » dans les annexes que la directive utilise pour désigner les entités essentielles et importantes. Pourtant, les entreprises d'installation se voient poser la question de plus en plus souvent, et cela a une raison concrète : beaucoup de leurs clients relèvent effectivement de l'obligation de diligence, et cette obligation les oblige à examiner aussi leurs fournisseurs.
La NIS2 affecte donc votre entreprise d'installation en fonction de trois éléments : le secteur dans lequel vous opérez, la taille de votre entreprise, et la question de savoir si vous entrez dans la chaîne d'approvisionnement d'une organisation soumise à l'obligation par l'intermédiaire de vos clients. Cette troisième voie est souvent la plus probable pour les installateurs et mérite donc une attention particulière.
Secteur : l'installation est-elle couverte par l'annexe I ou II ?
La directive désigne les secteurs dans deux annexes : l'annexe I pour les secteurs essentiels tels que l'énergie, l'eau potable, la santé et les infrastructures numériques, et l'annexe II pour les secteurs importants tels que certaines industries et le traitement des eaux usées. Une entreprise d'installation générale qui installe le chauffage, l'électricité ou les systèmes de sécurité n'apparaît pas comme telle dans ces annexes. Il existe des exceptions envisageables : un installateur qui fait lui-même partie d'un réseau énergétique, ou qui gère une infrastructure critique pour un secteur désigné, peut se rapprocher du champ d'application direct. C'est une évaluation de chaque situation, et non un résultat général pour le secteur.
Taille : êtes-vous une petite, moyenne ou grande entreprise ?
La directive lie l'obligation directe à la taille : en substance, il s'agit des moyennes et grandes entreprises opérant dans les secteurs désignés, avec des exceptions qui peuvent varier selon le secteur. Beaucoup d'entreprises d'installation sont de petite ou moyenne taille en termes d'effectifs et de chiffre d'affaires, et échappent aussi pour cette raison souvent à l'obligation directe, même si le secteur avait une relation. La taille seule n'est cependant jamais le résultat complet ; le secteur et la taille doivent être examinés ensemble, et la transposition nationale peut s'écarter de la directive elle-même sur certains points.
Position dans la chaîne : accès aux bâtiments et systèmes des clients
C'est ici que réside le véritable point d'attention pour les installateurs. Une entreprise d'installation qui travaille pour un hôpital, une entreprise énergétique, une régie de l'eau ou une grande entreprise logistique accède souvent physiquement aux lieux : dans les bâtiments, aux armoires de comptage, aux systèmes de gestion technique du bâtiment, parfois avec un identifiant propre sur les systèmes du client. Pour le client qui relève lui-même de l'obligation de diligence, c'est précisément le type d'accès auquel l'article 23 de la directive fait référence : les risques qui émergent via les fournisseurs et les prestataires font partie de la sécurité propre de cette organisation. C'est pourquoi les entreprises d'installation reçoivent des questionnaires, des dispositions contractuelles ou des exigences en matière de contrôle d'accès, même sans être elles-mêmes soumises à l'obligation.
Que signifie concrètement « affecté par la chaîne d'approvisionnement » pour vous ?
Être affecté par la chaîne d'approvisionnement signifie que vous ne relevez pas vous-même de l'obligation de signalement ou d'enregistrement, mais qu'un client peut vous demander de démontrer comment vous gérez l'accès, les mots de passe, les mises à jour et les incidents. Cela se fait généralement par le biais d'un questionnaire de sécurité ou d'une annexe au contrat. Ceux qui ne peuvent pas fournir de réponse courent le risque que le marché soit confié à un concurrent capable de répondre rapidement et convaincamment. Ce n'est donc pas une obligation légale qui pèse directement sur votre entreprise, mais une réalité commerciale qui découle de l'obligation de votre client. lire l'explication pour chaque situation donne un aperçu de la façon dont ces deux voies — directement soumis à l'obligation et affecté par la chaîne d'approvisionnement — se distinguent en pratique.
Que pouvez-vous faire maintenant ?
La première étape consiste à clarifier laquelle des trois catégories s'applique à votre entreprise : entité essentielle, entité importante, affectée par la chaîne d'approvisionnement, ou non affectée. C'est précisément ce à quoi sert la vérification NIS2 : quelques questions sur le secteur, la taille et les clients pour lesquels vous travaillez, avec une indication et une explication de la raison. déterminer votre position en quelques questions ne nécessite ni compte ni frais. Si le résultat est « affectée par la chaîne d'approvisionnement », la question suivante est pratique : quels questionnaires de sécurité et quelles exigences contractuelles pouvez-vous attendre, et comment documentez-vous les réponses pour ne pas avoir à les repenser à chaque fois. consulter les questions fréquemment posées sur la vérification et le dossier en donne une première impression, et lire où proviennent les informations disponibles sur la plateforme montre comment les résultats sont alignés sur la directive et la loi nationale.
Voulez-vous déjà savoir si votre entreprise d'installation tend vers entité essentielle, entité importante, affectée par la chaîne d'approvisionnement ou non affectée ? Effectuez la vérification NIS2 gratuite, ou commencez par consulter la base de connaissances pour examiner les concepts à votre rythme.