comment enregistrer mon organisation en tant qu'entité soumise à la directive NIS2

L'enregistrement s'effectue auprès de l'autorité nationale de contrôle, non via cette plateforme

L'enregistrement est une étape formelle distincte : une entité classée comme essentielle ou importante en vertu de la loi cybersécurité doit s'enregistrer auprès de l'autorité compétente de contrôle, via le portail prévu à cet effet. Cette étape est indépendante de la rédaction des documents politiques ou de la mise en place des mesures — il s'agit de l'étape administrative par laquelle une organisation devient visible auprès de l'autorité de contrôle en tant qu'entité assujettie. La procédure exacte, le moment auquel cette étape doit intervenir et les données nécessaires sont décrits sur les canaux de l'autorité de contrôle elle-même et dans la loi cybersécurité.

Avant que l'enregistrement ne soit nécessaire, il est utile de déterminer si une organisation relève effectivement de cette catégorie ; comment savoir si mon entreprise est soumise à la directive NIS2 fournit une première évaluation à ce sujet, et la différence entre les deux catégories qui doivent être enregistrées est expliquée sur quelle est la différence entre une entité essentielle et une entité importante«. Pour ceux qui savent déjà que l'enregistrement est obligatoire, la question suivante est généralement pratique : qu'est-ce qui doit être en place avant la soumission de l'enregistrement, et qui au sein de l'organisation le fait. Cela chevauche la mise en place du dossier de diligence requise, dans lequel le statut et le responsable de chaque mesure sont enregistrés — voir qui au sein de mon organisation doit être responsable d'une mesure«. Cette plateforme prépare les textes et les données pour l'enregistrement, mais ne soumet jamais au nom du client auprès du portail de l'autorité de contrôle ; cela reste toujours une démarche personnelle de l'organisation elle-même.

Pourquoi l'obligation d'enregistrement est distincte de l'obligation de diligence requise

L'obligation d'enregistrement et l'obligation de diligence requise sont deux obligations différentes que la directive NIS2 impose aux entités essentielles et importantes : l'article 21, paragraphe 2, de la directive (UE) 2022/2555 décrit les dix mesures qui constituent ensemble l'obligation de diligence requise, tandis que l'obligation de notification et l'enregistrement sont réglementés séparément et ont été transposés aux Pays-Bas dans la loi cybersécurité. L'NCSC fournit des conseils sur la manière dont l'obligation de diligence requise et l'obligation de notification sont liées dans la pratique, et l'autorité de contrôle compétente pour le secteur concerné est celle auprès de laquelle l'enregistrement lui-même a lieu.