Mon entreprise est-elle soumise à NIS2 ?
Que votre entreprise soit soumise à la directive NIS2 dépend de deux éléments : le secteur dans lequel vous opérez et la taille de votre organisation. La directive désigne dans deux annexes les secteurs qu'elle considère comme importants pour la société ou l'économie, allant de l'énergie et des transports à l'infrastructure numérique et à la gestion des eaux usées. Si votre entreprise relève d'un tel secteur ET de la taille que la directive considère, vous êtes probablement vous-même une entité « essentielle » ou « importante », avec toutes les obligations qui en découlent.
Mais la réponse ne s'arrête pas là. Beaucoup plus d'entreprises sortent du cadre du secteur et de la taille, et reçoivent quand même les exigences : en tant que fournisseur, installateur ou prestataire de services d'une entreprise soumise à l'obligation. Ces organisations soumises à l'obligation doivent en effet évaluer leur propre chaîne d'approvisionnement, ce qui se traduit par des questionnaires et des exigences contractuelles chez les entreprises qui n'ont jamais besoin de s'enregistrer auprès d'une autorité de surveillance.
Secteur : annexes I et II
La directive énumère les secteurs dans deux annexes. L'annexe I nomme les secteurs considérés comme essentiels : notamment l'énergie, les transports, la banque, l'eau potable, l'infrastructure numérique et l'administration publique. L'annexe II nomme les secteurs considérés comme importants, tels que les services postaux et de messagerie, la gestion des déchets, la chimie, l'alimentation et certains services numériques. Une entreprise d'installation, un prestataire informatique ou un cabinet de conseil ne figure généralement pas nommément dans ces annexes, mais les descriptions sont plus larges que ne le suggère le nom. Quiconque doute que son activité relève de l'un de ces secteurs ferait bien de lire lui-même la description dans le texte officiel, pas seulement le nom du secteur.
Taille : quand votre entreprise compte
Au-delà du secteur, la directive considère la taille de l'organisation, selon la classification standard de l'UE en petites, moyennes et grandes entreprises basée sur le personnel et le chiffre d'affaires ou le total du bilan. Pour la plupart des secteurs, la règle est : plus l'entreprise est grande, plus tôt elle relève du champ d'application. Il existe aussi des exceptions où la taille importe moins, par exemple lorsqu'une organisation est l'unique fournisseur d'un certain service dans un pays. Ces exceptions sont décrites avec précision dans la directive et dans la loi nationale qui en découle ; une évaluation exacte de votre propre situation revient à vous, votre juriste ou l'autorité de surveillance.
Le plus grand groupe y échappe, mais reçoit quand même les exigences
La partie de la directive qui attire le plus d'attention concerne l'obligation de diligence : les organisations soumises à l'obligation doivent prendre des mesures appropriées et, ce faisant, évaluer aussi leurs fournisseurs. C'est précisément ce avec quoi le plus grand groupe d'entreprises doit composer. Une entreprise d'installation qui entretient les systèmes de gestion des bâtiments pour une entreprise énergétique, une entreprise de nettoyage qui travaille pour un hôpital, ou un partenaire informatique d'une commune : aucun d'entre eux n'a besoin de s'enregistrer lui-même, mais tous pourraient recevoir un questionnaire. Dans la pratique, cela s'appelle souvent « affecté par la chaîne d'approvisionnement » : vous n'êtes pas vous-même soumis à la directive, mais un client qui l'est vous demande quand même de montrer que votre sécurité est en ordre.
Que cela s'applique à votre entreprise dépend de qui sont vos clients et de l'importance de votre service pour eux. C'est difficile à évaluer sans une vue d'ensemble du secteur, de la taille ET du rôle dans la chaîne d'approvisionnement en même temps. En quelques questions, vous voyez où se situe approximativement votre entreprise, avec une explication du pourquoi et une proposition pour l'étape suivante.
Institutions financières : une réglementation distincte
Les banques, assurances et autres institutions financières ne relèvent pas de la NIS2 mais d'un règlement distinct sur la résilience opérationnelle numérique, destiné spécifiquement au secteur financier. Quiconque opère dans ce secteur le reconnaît généralement déjà à la première question d'admission sur le secteur.
Que faire si la réponse n'est pas claire
Le secteur et la taille ensemble donnent une bonne première indication, mais la limite précise entre « essentiel », « important », « affecté par la chaîne d'approvisionnement » et « non affecté » demande une approche sur mesure. La base de connaissances couvrant tous les sujets selon la situation fournit pour chaque concept une explication et renvoie à sa localisation dans le texte officiel. Si vous avez encore des doutes après la lecture, un juriste ou l'autorité de surveillance de votre pays est la partie compétente pour évaluer votre situation spécifique; secria.eu s'abstient délibérément de se prononcer à ce sujet.
Voulez-vous d'abord savoir d'où proviennent les informations de cette plateforme et comment elles sont actualisées? Lisez ici comment nous tenons à jour nos sources. Les réponses aux questions pratiques sur l'utilisation de la plateforme se trouvent dans l'aperçu des questions fréquemment posées.
La réponse courte à 'mon entreprise relève-t-elle de la directive (UE) 2022/2555' s'obtient donc en comparant le secteur, la taille et le rôle dans la chaîne d'approvisionnement. Effectuez la vérification gratuite et consultez la base de connaissances; elles vous donnent déjà, sans compte, une première image fondée de la situation de votre entreprise.