La réponse courte
La métallurgie et l'industrie manufacturière ne sont pas mentionnées en tant que telles dans les annexes de la directive NIS2. Cela ne signifie pas que le secteur échappe à la directive. Une partie de l'industrie manufacturière relève de la directive, à savoir lorsque l'activité coïncide avec l'un des secteurs mentionnés — pensez à la fabrication de certains dispositifs médicaux, de machines, d'équipements électriques ou de pièces de véhicules, qui figurent à l'annexe II en tant que secteur de production. Une entreprise de construction ordinaire ou un sous-traitant en tôlerie n'en font généralement pas partie.
Le fait que votre entreprise relève précisément de cette énumération n'est pas facile à déterminer au premier coup d'œil : la directive utilise des codes NACE et des descriptions qui sont plus précis que « métallurgie » ou « industrie manufacturière » en tant que terme générique. En outre, la taille et la position dans la chaîne entrent en jeu, et ces trois facteurs doivent être examinés ensemble avant qu'une conclusion soit possible. déterminer votre position en quelques questions fournit une première indication à ce sujet, sans que vous ayez besoin de consulter le texte complet vous-même.
Secteur : quelle partie de l'industrie manufacturière est effectivement mentionnée
L'annexe I énumère les secteurs considérés comme « essentiels », tels que l'énergie, l'eau potable et les transports — les services publics classiques. L'annexe II ajoute les secteurs considérés comme « importants », et une partie de l'industrie manufacturière s'y trouve également : la fabrication de certains dispositifs médicaux et de diagnostics in vitro, les ordinateurs et produits électroniques, l'équipement électrique, les machines et appareils, et les véhicules à moteur et leurs pièces. Un fournisseur qui relève précisément de ce groupe de produits peut donc effectivement être soumis à la directive lui-même, même si l'entreprise ne s'est jamais considérée comme « infrastructure critique ».
Pour les entreprises qui se situent en dehors de cette énumération — pensez au travail des métaux général, à la tôlerie, au soudage ou à la construction sans produit final spécifiquement mentionné — la condition sectorielle ne s'applique pas. Cela n'exclut pas une obligation via la chaîne d'approvisionnement, ce que nous aborderons plus loin.
Taille : la limite entre petite-moyenne et grande entreprise
Si le secteur correspond, la taille de l'entreprise est ensuite prise en compte. La directive utilise la classification européenne des micro-, petites, moyennes et grandes entreprises, basée sur le nombre d'employés combiné au chiffre d'affaires ou au total du bilan. Les petites et moyennes entreprises sont généralement exclues de l'obligation directe, à l'exception de celles que le législateur national peut désigner. Les seuils précis et les éventuelles exceptions figurent dans le texte de la directive et la transposition nationale ; nous n'inventons pas ces chiffres ici, mais ils peuvent être trouvés via la source officielle.
Pour une entreprise familiale comptant quinze employés qui relève précisément d'un groupe de produits mentionné, le secteur n'est donc pas une obligation automatique — la taille peut être décisive pour qu'aucune obligation directe ne naisse. Pour le constructeur de machines plus important, exportateur, comptant des centaines d'employés, cette même classification sectorielle peut bien entraîner une obligation.
Position dans la chaîne : également touché sans obligation propre
La majorité de la métallurgie et de l'industrie manufacturière n'est pas touchée par la liste sectorielle, mais par le client. Une entité essentielle ou importante — une entreprise énergétique, un service d'eau, un grand fabricant de dispositifs médicaux — doit évaluer les risques de sa propre chaîne d'approvisionnement en vertu de son obligation de diligence. Cela se traduit en pratique par des questionnaires de sécurité, des exigences contractuelles et parfois une procédure obligatoire de signalement des incidents au client, tandis que l'entreprise fournisseur elle-même n'est pas soumise à la loi. Celui qui, en tant que tourneur CNC, entreprise de soudage ou fournisseur de pièces, travaille pour une telle partie, subit donc les conséquences plutôt via le contrat que via la loi elle-même. La façon d'interpréter et de répondre à un tel questionnaire est une question distincte ; l'explication par sujet présente les situations les plus courantes côte à côte.
Systèmes de production connectés au réseau
Une raison pour laquelle les donneurs d'ordres de l'industrie manufacturière posent des questions précisément à ce sujet est le lien entre l'automatisation de bureau et la production. Les machines, les automates programmables et les chaînes de production qui fonctionnaient autrefois de manière isolée sont désormais connectées, dans de nombreuses entreprises, au même réseau que la planification, la facturation et le courrier électronique. Un donneur d'ordres qui évalue sa propre chaîne ne regarde pas seulement les systèmes de bureau, mais aussi la manière dont ces systèmes de production sont isolés, qui y a accès et ce qui se passe en cas de défaillance ou de panne. Cela explique pourquoi les questionnaires dans ce secteur vont souvent au-delà de « disposez-vous d'une politique de mots de passe » et posent spécifiquement des questions sur la segmentation du réseau entre le bureau et la production.
Que faire si la situation reste peu claire
Parce que le secteur, la taille et la position dans la chaîne d'approvisionnement sont indépendants les uns des autres, il est tout à fait possible qu'une entreprise de travail des métaux ne corresponde précisément à aucun des trois critères, à l'un d'entre eux ou aux trois à la fois. Une réponse univoque nécessite de comparer côte à côte le code NACE propre à l'entreprise, les derniers chiffres d'activité et une vue d'ensemble des principaux clients. la façon dont le résultat de la vérification a été obtenu indique les sources utilisées, y compris la date à laquelle elles ont été consultées. Pour déterminer votre situation définitive, un juriste ou l'autorité de surveillance désignée reste votre interlocuteur approprié.
Souhaitez-vous une première orientation pour votre propre entreprise sans y consacrer une demi-journée : la vérification NIS2 est gratuite et ne pose que des questions sur votre secteur, votre taille et quelques points concernant vos principaux donneurs d'ordres. questions fréquemment posées sur la NIS2 et l'industrie manufacturière répond à un certain nombre de questions qui reviennent souvent dans ce secteur, avant même que vous ayez besoin d'appeler.