Mon entreprise est-elle soumise à NIS2 ?

## Mon entreprise relève-t-elle de la NIS2 ? Le fait que votre entreprise soit soumise à la directive NIS2 dépend de deux éléments : le secteur dans lequel vous opérez et la taille de votre organisation. La directive identifie dans deux annexes les secteurs qu'elle considère comme importants pour la société ou l'économie, allant de l'énergie et des transports à l'infrastructure numérique et à la gestion des eaux usées. Si votre entreprise relève d'un tel secteur ET de la taille définie par la directive, vous êtes probablement une entité « essentielle » ou « importante », avec toutes les obligations qui en découlent. Mais la réponse ne s'arrête pas là. Beaucoup plus d'entreprises se situent en dehors de ce secteur et cette taille, et reçoivent néanmoins les exigences : en tant que fournisseur, installateur ou prestataire de services d'une entreprise qui, elle, est soumise. Ces organisations assujetties doivent en effet évaluer leur propre chaîne d'approvisionnement, ce qui se traduit par des questionnaires et des exigences contractuelles pour les entreprises qui n'ont elles-mêmes jamais besoin de s'enregistrer auprès d'un autorité de contrôle. ### Secteur : annexes I et II La directive énumère les secteurs dans deux annexes. L'annexe I énumère les secteurs considérés comme essentiels : notamment l'énergie, les transports, les services bancaires, l'eau potable, l'infrastructure numérique et l'administration publique. L'annexe II énumère les secteurs considérés comme importants, tels que les services postaux et de courrier, la gestion des déchets, la chimie, l'alimentation et certains services numériques. Une entreprise d'installation, un prestataire de services informatiques ou un cabinet de conseil ne figurent généralement pas par leur nom dans ces annexes, mais les descriptions sont plus larges que le nom ne le suggère. Quiconque doute que son activité relève de l'un de ces secteurs devrait lire la description dans le texte officiel lui-même, et non seulement le nom du secteur. ### Taille : quand votre entreprise compte En plus du secteur, la directive tient compte de la taille de l'organisation, selon la classification standard de l'UE en petites, moyennes et grandes entreprises sur la base du nombre d'employés et du chiffre d'affaires ou du total du bilan. Pour la plupart des secteurs, la règle est : plus l'entreprise est grande, plus tôt elle relève du champ d'application. Il existe également des exceptions où la taille joue un rôle moins important, par exemple lorsqu'une organisation est le seul fournisseur d'un service particulier dans un pays. Ces exceptions sont décrites avec précision dans la directive et dans la loi nationale sur laquelle elle est basée ; une évaluation exacte pour votre propre situation revient à vous, à votre juriste ou à l'autorité de contrôle. ### Le plus grand groupe se situe en dehors et reçoit néanmoins les exigences La partie de la directive qui attire le plus l'attention concerne l'obligation de diligence : les organisations assujetties doivent prendre des mesures appropriées et évaluer également leurs fournisseurs à cet égard. C'est exactement ce avec quoi le plus grand nombre d'entreprises doit composer. Une entreprise d'installation qui entretient des systèmes de gestion des bâtiments pour une entreprise énergétique, une entreprise de nettoyage qui travaille pour un hôpital, ou un partenaire informatique d'une municipalité : aucun d'eux n'a besoin de s'enregistrer lui-même, mais tous peuvent recevoir un questionnaire. Cela s'appelle souvent en pratique « affecté par la chaîne » : vous ne relevez pas vous-même de la directive, mais un client qui en relève peut quand même vous demander de démontrer que votre sécurité est en ordre. Le fait que cela s'applique à votre entreprise dépend de qui sont vos clients et de l'importance de votre service pour eux. C'est difficile à évaluer sans aperçu du secteur, de la taille et du rôle dans la chaîne ensemble. [[LINK:/nis2-check|En quelques questions, vous voyez à peu près où se situe votre entreprise]], avec une explication du pourquoi et une suggestion pour l'étape suivante. ### Institutions financières : un régime distinct Les banques, les assureurs et autres institutions financières ne relèvent pas de la NIS2 mais d'un règlement distinct sur la résilience opérationnelle numérique, conçu spécifiquement pour le secteur financier. Celui qui opère dans ce secteur reconnaît généralement cela dès la première question d'admission sur le secteur. ### Que faire si la réponse n'est pas claire Le secteur et la taille ensemble donnent une bonne première indication, mais la limite précise entre « essentiel », « important », « affecté par la chaîne » et « non affecté » demande des solutions sur mesure. [[LINK:/onderwerpen|La base de connaissances avec tous les sujets par situation]] fournit par concept une explication et renvoie à la source du texte officiel. Si vous hésitez encore après avoir lu cela, un juriste ou l'autorité de contrôle dans votre pays est la partie appropriée pour évaluer votre situation spécifique ; secria.eu s'abstient consciemment de s'exprimer à ce sujet. Voulez-vous d'abord savoir d'où viennent les informations de cette plateforme et comment elles sont tenues à jour ? [[LINK:/hoe-het-werkt|Lisez ici comment nous tenons à jour les sources]]. Les réponses aux questions pratiques sur l'utilisation de la plateforme se trouvent dans [[LINK:/veelgestelde-vragen|l'aperçu des questions fréquemment posées]]. La réponse courte à « mon entreprise relève-t-elle de la NIS2 » vous est donnée en plaçant côte à côte le secteur, la taille et le rôle dans la chaîne. Effectuez le contrôle gratuit et lisez la base de connaissances ; elles vous donnent déjà sans compte un premier aperçu justifié de la situation de votre entreprise.