NIS 2 : le guide qui remplace votre veille juridique.

Déterminer si vous êtes dans le périmètre, et à quelle catégorie

Le périmètre est la question qui décide de tout le reste : résolvez-la donc en premier et consignez le raisonnement. NIS 2 s'applique aux entités opérant dans l'un des 18 secteurs listés qui atteignent également un seuil de taille. La règle par défaut est le plancher de la moyenne entreprise : au moins 50 employés, ou un chiffre d'affaires annuel et un bilan supérieurs à 10 millions d'euros. En deçà de ce plancher, vous êtes généralement hors périmètre, mais pas toujours : la directive inclut certains fournisseurs indépendamment de leur taille lorsque le service est suffisamment critique (par exemple les fournisseurs de DNS, les registres de noms de domaine de premier niveau, et certains fournisseurs de communications électroniques publiques et de services de confiance).

Les deux catégories, essentielles et importantes, ne sont pas deux listes parmi lesquelles vous choisissez. Elles découlent de votre secteur et de votre taille. Les secteurs hautement critiques (énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, administration publique, espace) produisent des entités essentielles aux plus grandes tailles ; les autres secteurs listés, ainsi que les entités plus petites dans les secteurs hautement critiques, sont généralement classés comme importants. La conséquence pratique est l'intensité de la supervision, et non un ensemble d'obligations plus souple : les mesures de sécurité et les délais de notification sont identiques pour les deux catégories.

Essentielles ou importantes : là où les deux catégories divergent réellement

Les deux catégories portent les mêmes mesures de l'Article 21 et le même calendrier de notification d'incident. Ce qui change, c'est la manière dont le régulateur vous surveille et ce qu'il peut faire lorsque quelque chose ne va pas. Les entités essentielles font l'objet d'une supervision proactive, ex ante : une autorité peut inspecter et exiger des preuves sans attendre un incident. Les entités importantes sont supervisées de manière réactive, ex post, ce qui signifie que l'examen suit généralement un incident ou une plainte crédible. Les plafonds de sanctions diffèrent également, et cet écart est la raison la plus souvent citée pour confirmer votre catégorie tôt.

Lisez le tableau comme le ferait un auditeur : les mesures et les délais ne sont négociables pour personne, donc la catégorie vous indique surtout quelle marge d'erreur vous avez avant que quelqu'un ne vienne enquêter. Les entités essentielles doivent partir du principe qu'une inspection peut survenir un mardi sans histoire. Les entités importantes doivent partir du principe que le premier vrai test sera un incident en direct, ce qui est le pire moment pour découvrir que vos preuves sont minces.

Les dix mesures de l'Article 21, et pourquoi ISO 27001 est la réponse habituelle

L'Article 21(2) liste dix catégories de mesures de gestion des risques de cybersécurité que chaque entité dans le périmètre doit mettre en œuvre, proportionnellement à son exposition au risque. La directive décrit des résultats, pas des contrôles, et c'est délibéré : elle vous dit ce qui doit être couvert et vous laisse le comment.

1. Politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information.
2. Gestion des incidents (détection, réponse et obligations de notification ci-dessous).
3. Continuité des activités, y compris la gestion des sauvegardes et la reprise après sinistre, et gestion de crise.
4. Sécurité de la chaîne d'approvisionnement, couvrant la sécurité des relations avec les fournisseurs directs et les prestataires de services.
5. Sécurité de l'acquisition, du développement et de la maintenance des réseaux et systèmes d'information, y compris le traitement et la divulgation des vulnérabilités.
6. Politiques et procédures pour évaluer l'efficacité des mesures.
7. Pratiques d'hygiène cyber de base et formation à la sécurité.
8. Politiques et procédures relatives à la cryptographie et, le cas échéant, au chiffrement.
9. Sécurité des ressources humaines, politiques de contrôle d'accès et gestion des actifs.
10. Authentification multifacteur, communications sécurisées et communication d'urgence sécurisée le cas échéant.

Lisez cette liste à côté d'un ensemble de mesures de l'Annexe A et le recoupement est évident. C'est pourquoi, en pratique, la voie la plus courante vers une conformité démontrable est un système de management de la sécurité de l'information ISO 27001. NIS 2 nomme les résultats ; ISO 27001 vous donne le système de management, la discipline de traitement des risques et les preuves documentées qui se mappent sur neuf des dix catégories sans grande traduction. Vous n'avez pas strictement besoin d'un certificat pour satisfaire NIS 2, mais la structure d'un ISMS est le moyen le plus propre de produire les enregistrements qu'une autorité attend.

La manière la plus rapide pour une équipe d'intégrer à la fois l'obligation et la construction est de coupler la vision réglementaire avec la vision de mise en œuvre : le cours NIS 2 Directive Lead Implementer pour le programme lui-même, et le cours ISO 27001 Lead Implementer pour établir l'ISMS qui porte l'essentiel du poids de l'Article 21.

Le compte à rebours de notification : 24 heures, 72 heures, un mois

L'obligation de notification se déclenche en cas d'incident important, c'est-à-dire un incident qui a causé ou est susceptible de causer une perturbation opérationnelle grave ou une perte financière, ou qui a affecté d'autres parties par un dommage matériel ou immatériel considérable. Le compte à rebours se déroule ensuite en trois étapes vers votre CSIRT national ou votre autorité compétente.

• 24 heures : une alerte précoce. Indiquez si vous soupçonnez que l'incident est illicite ou malveillant et s'il pourrait avoir un impact transfrontalier. C'est un signalement, pas un rapport forensique.
• 72 heures : une notification d'incident. Mettez à jour l'alerte précoce avec une évaluation initiale, incluant la gravité, l'impact et tout indicateur de compromission dont vous disposez.
• Un mois : un rapport final. Un compte rendu complet de l'incident, sa cause profonde probable, l'atténuation appliquée et tout impact transfrontalier. Si l'incident est toujours en cours à un mois, vous fournissez un rapport d'avancement et un rapport final à sa clôture.

Les délais semblent généreux jusqu'à ce que vous les confrontiez à un incident réel. L'alerte de 24 heures tombe alors que vous êtes encore en train de confirmer ce qui s'est passé, donc le processus doit être défini à l'avance : qui décide qu'un incident est « important », qui rédige l'alerte précoce, qui a l'autorité pour la déposer, et vers quel portail ou contact elle est envoyée dans chaque État membre où vous opérez. Répétez-le. Un exercice sur table qui se termine par une alerte précoce rédigée contre la montre vaut plus que n'importe quel document de politique sur la notification.

Responsabilité de la direction et erreurs qui apparaissent dans la salle d'audit

NIS 2 fait remonter la responsabilité. Les organes de direction doivent approuver les mesures de gestion des risques de cybersécurité, superviser leur mise en œuvre et suivre une formation afin de pouvoir identifier les risques eux-mêmes. La non-conformité peut être imputée à des individus nommément désignés, et pour les entités essentielles, les autorités peuvent imposer des interdictions temporaires aux individus exerçant des fonctions de direction. Le conseil d'administration est engagé, et « le RSSI s'occupe de la sécurité » n'est plus une réponse complète face à un régulateur.

Les échecs récurrents que nous observons sont rarement exotiques. Ils sont prévisibles, et ils sont évitables :

• Traiter la transposition comme uniforme. La directive est transposée en droit national et le calendrier, les seuils, les obligations d'enregistrement et les portails de notification varient selon les pays. Vérifiez l'autorité nationale de chaque État membre où vous opérez avant de supposer que le texte de l'UE s'applique tel quel.
• Ignorer l'obligation d'enregistrement et d'auto-identification. De nombreux États membres exigent que les entités dans le périmètre s'enregistrent auprès de l'autorité compétente. Être dans le périmètre et non enregistré constitue un constat à part entière, distinct de toute lacune de sécurité.
• Sous-investir dans la sécurité de la chaîne d'approvisionnement. C'est l'une des dix mesures, et c'est là que les plus grandes entités sont les plus exposées. Un processus de risque fournisseur léger est une faiblesse visible.
• Confondre catégories et obligations. Les entités importantes supposent parfois qu'une supervision plus légère signifie des obligations plus légères. Ce n'est pas le cas : les mêmes mesures et le même compte à rebours de notification s'appliquent.
• Pas de processus de notification répété. L'alerte de 24 heures est l'obligation la plus souvent manquée, parce que personne n'a pris la décision ni rédigé le brouillon jusqu'à ce que l'incident l'impose.

Si votre équipe a besoin de se repérer sur le périmètre, les catégories et les obligations avant de s'engager dans une construction, le cours NIS 2 Directive Foundation est le bon point de départ ; passez aux parcours Lead Implementer et ISO 27001 une fois que vous cadrez le programme lui-même.

NIS 2 interagit avec d'autres régimes de l'UE (DORA régit la résilience opérationnelle du secteur financier et y prévaut généralement en tant que règle plus spécifique ; le règlement sur l'IA ajoute ses propres obligations pour les systèmes d'IA), donc confirmez quel régime est chef de file pour une obligation donnée plutôt que de notifier le même incident deux fois ou, pire, pas du tout. En cas de doute, la posture sûre est celle que la directive elle-même récompense : des décisions documentées, un mapping de contrôles maintenu et un processus de notification que vous avez éprouvé avant d'en avoir besoin.