À qui s'applique NIS2 ? Secteurs, taille et types d'entités

Définition

NIS2 (directive (UE) 2022/2555) énumère les secteurs couverts dans deux annexes. L'annexe I couvre les secteurs hautement critiques : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (interentreprises), administration publique et espace. L'annexe II couvre les autres secteurs critiques : services postaux et d'expédition, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution de denrées alimentaires, fabrication de certains produits (comme les dispositifs médicaux, les ordinateurs et produits électroniques, les équipements électriques, les machines et les véhicules), fournisseurs numériques (places de marché en ligne, moteurs de recherche et plateformes de réseaux sociaux) et recherche. En règle générale, la directive s'applique aux organisations de taille moyenne et aux grandes organisations de ces secteurs ; selon la définition européenne des PME, une organisation est globalement au moins de taille moyenne si elle compte 50 salariés ou plus, ou si son chiffre d'affaires annuel et le total de son bilan dépassent tous deux 10 millions d'euros. Certaines entités sont couvertes quelle que soit leur taille, comme certains fournisseurs de communications électroniques publiques, les prestataires de services de confiance, les fournisseurs de services DNS et les registres de noms de domaine de premier niveau, et les États membres peuvent en désigner d'autres. Les organisations couvertes sont classées en entités essentielles ou importantes. Globalement, les grandes organisations des secteurs de l'annexe I sont essentielles, tandis que les organisations de taille moyenne de l'annexe I et celles de l'annexe II sont importantes, sous réserve des règles indépendantes de la taille et des désignations nationales. Cette classification influe sur la supervision et les sanctions plutôt que sur les mesures de base attendues.

Public concerné

Ce guide est utile pour :

• Les dirigeants d'entreprises de taille intermédiaire dans l'industrie, la logistique, les services numériques, l'agroalimentaire, la chimie ou les chaînes d'approvisionnement liées à la santé
• Les fournisseurs de services gérés et de services TIC travaillant pour des clients professionnels
• Les fournisseurs d'entités couvertes qui reçoivent des questionnaires de sécurité
• Les groupes présents dans plusieurs États membres de l'UE qui ont besoin d'une vision cohérente

Ce qu'il aide à clarifier

Examiner la structure du champ d'application permet de clarifier :

• Si certaines de vos activités correspondent à un secteur de l'annexe I ou de l'annexe II
• Si vous atteignez le seuil de taille ou relevez d'une catégorie couverte quelle que soit la taille
• Quels droits nationaux et quelles autorités des États membres sont pertinents
• Si vos obligations sont directes ou découlent indirectement des contrats avec vos clients

Ce qui est inclus

• Lister chaque activité et ligne de services, et pas seulement la description de l'activité principale
• Rapprocher chaque activité des descriptions de secteurs des annexes I et II
• Vérifier l'effectif, le chiffre d'affaires et le bilan, en tenant compte de la structure du groupe et des entreprises partenaires ou liées, comme l'exige la définition européenne des PME
• Identifier chaque État membre où vous fournissez des services couverts ou disposez d'établissements
• Vérifier la loi nationale de transposition et les orientations des autorités dans chaque pays concerné
• Consigner la conclusion, le raisonnement et la date, et les réexaminer lorsque votre activité évolue
• Si vous êtes hors du champ d'application, lister les clients qui y entrent et les exigences de sécurité qu'ils vous répercutent

Ce qui n'est pas inclus

• Une qualification juridique de l'applicabilité de NIS2 à votre organisation
• L'interprétation d'une loi nationale de transposition spécifique
• L'enregistrement auprès des autorités en votre nom
• Une certification ou une approbation de conformité

Quand le choisir

Utilisez ce guide en amont, avant d'investir dans un programme d'envergure, puis à nouveau chaque fois que vous entrez dans un nouveau secteur ou un nouveau pays, que vous acquérez une entreprise ou que vous franchissez un seuil de taille. Si la réponse n'est pas claire, par exemple parce qu'une activité se situe à la limite d'une description de secteur, sollicitez un conseil juridique plutôt que de faire des suppositions. Même les organisations qui ne sont pas directement concernées ont souvent intérêt à se préparer, car les clients couverts doivent gérer les risques de leur chaîne d'approvisionnement. Cet article constitue une information générale et non un conseil juridique.

Notre approche

Abordez le champ d'application comme une décision documentée plutôt que comme un simple oui ou non. Rassemblez d'abord les faits : activités, données de taille, structure du groupe et pays. Soumettez ensuite la question à vos conseillers juridiques avec ces éléments. En parallèle, examinez les mesures de sécurité attendues par NIS2 ; elles reflètent des bonnes pratiques largement reconnues, de sorte que les améliorer est utile quelle que soit la réponse sur le champ d'application. Notre service Security Baseline Review peut vous fournir une vue écrite des actifs convenus et des observations classées par gravité, avec des observations d'écarts de préparation au regard d'un référentiel convenu lorsque cela est inclus dans le périmètre confirmé. Ces éléments peuvent étayer vos échanges avec vos clients, votre direction et vos conseillers. Il s'agit d'un support d'aide à la décision qui vous permet d'adresser des questions ciblées à vos conseillers juridiques et, le cas échéant, aux organismes de certification. Si vous êtes fournisseur, demandez à vos clients couverts quels contrôles précis ils attendent que vous démontriez, et traitez-les en priorité.

Security Baseline Review

Foire aux questions

Articles connexes