Termes clés
- Entité essentielle
- Entité d'un type visé à l'annexe I dépassant les seuils des moyennes entreprises, ou entité expressément désignée (prestataires de services de confiance qualifiés, registres TLD, fournisseurs DNS, etc.), soumise à une supervision proactive [Art. 3 par. 1].
- Entité importante
- Toute entité relevant du champ d'application de la directive NIS 2 qui n'est pas classée comme entité essentielle, soumise à un régime de supervision ex post [Art. 3 par. 2].
- Incident important
- Événement ayant causé ou susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières, ou ayant affecté ou susceptible d'affecter d'autres personnes en causant des dommages considérables [Art. 23 par. 3].
- CSIRT
- Centre de réponse aux incidents de sécurité informatique désigné par chaque État membre pour recevoir les notifications d'incidents et fournir une assistance technique aux entités affectées [Art. 1 par. 2 a)].
- Gestion des incidents
- Ensemble des actions et procédures visant à prévenir, détecter, analyser et contenir un incident ou à y répondre et à y remédier [Art. 6 par. 8].
- Cybermenace importante
- Cybermenace susceptible, compte tenu de ses caractéristiques techniques, d'avoir un impact grave sur les réseaux et systèmes d'information d'une entité ou ses utilisateurs, en causant un dommage matériel, corporel ou moral considérable [Art. 6 par. 11].
- Chaîne d'approvisionnement
- Ensemble des relations entre une entité et ses fournisseurs ou prestataires de services directs, dont la sécurité doit être prise en compte dans les mesures de gestion des risques, y compris via les évaluations coordonnées au niveau de l'Union [Art. 21 par. 2 d), Art. 22].
?
Questions fréquentes
Quelles entités sont soumises à NIS 2 quelle que soit leur taille ?
Les fournisseurs de réseaux de communications électroniques publics, les prestataires de services de confiance, les registres de noms de domaine de premier niveau, les fournisseurs de services DNS, les entités critiques au sens de la directive (UE) 2022/2557 et les entités fournissant des services d'enregistrement de noms de domaine sont soumises à NIS 2 quelle que soit leur taille [Art. 2 par. 2, Art. 2 par. 3, Art. 2 par. 4].
Quelle est la différence entre une entité essentielle et une entité importante ?
Les entités essentielles sont principalement les grandes entreprises des secteurs hautement critiques de l'annexe I (au-dessus des seuils de la recommandation 2003/361/CE), ainsi que certaines entités désignées expressément (prestataires de services de confiance qualifiés, registres TLD, fournisseurs DNS, etc.) [Art. 3 par. 1]. Les entités importantes sont toutes les autres entités couvertes par la directive [Art. 3 par. 2]. Les entités essentielles sont soumises à une supervision proactive (inspections ex ante), tandis que les entités importantes font l'objet de contrôles ex post [Art. 32, Art. 33].
Quels sont les délais de notification d'un incident important ?
L'entité doit soumettre une alerte précoce dans les 24 heures suivant la prise de connaissance de l'incident, une notification d'incident dans les 72 heures avec une évaluation initiale de gravité et d'impact, et un rapport final dans un délai d'un mois après la notification. Un rapport intermédiaire peut être demandé par le CSIRT ou l'autorité compétente [Art. 23 par. 4].
Les organes de direction sont-ils personnellement responsables ?
Oui. Les États membres veillent à ce que les personnes physiques responsables d'une entité essentielle ou agissant en qualité de représentant légal puissent être tenues responsables des manquements à leur devoir de veiller au respect de la directive [Art. 32 par. 6]. En dernier recours, les autorités compétentes peuvent demander l'interdiction temporaire d'exercer des responsabilités dirigeantes [Art. 32 par. 5 b)].
Quelles sont les dix mesures minimales de gestion des risques ?
L'article 21, paragraphe 2, impose au minimum : a) politiques d'analyse des risques et de sécurité des systèmes d'information, b) gestion des incidents, c) continuité des activités et gestion des crises, d) sécurité de la chaîne d'approvisionnement, e) sécurité de l'acquisition, du développement et de la maintenance des réseaux et systèmes d'information, f) évaluation de l'efficacité des mesures, g) cyberhygiène et formation, h) cryptographie et chiffrement, i) sécurité des ressources humaines, contrôle d'accès et gestion des actifs, j) authentification multifacteur et communications sécurisées [Art. 21 par. 2].
NIS 2 s'applique-t-elle aux administrations publiques ?
La directive s'applique aux entités de l'administration publique des pouvoirs publics centraux [Art. 2 par. 2 f) i)] et, le cas échéant, au niveau régional [Art. 2 par. 2 f) ii)]. Les États membres peuvent étendre l'application aux administrations locales et aux établissements d'enseignement [Art. 2 par. 5]. En revanche, les entités exerçant dans les domaines de la sécurité nationale, de la défense ou de l'application de la loi sont exclues [Art. 2 par. 7].
Comment NIS 2 s'articule-t-elle avec les actes juridiques sectoriels de l'Union ?
Lorsqu'un acte juridique sectoriel de l'Union impose des exigences de cybersécurité et de notification d'incidents au moins équivalentes à celles de NIS 2, les dispositions de la directive, y compris la supervision, ne s'appliquent pas aux entités couvertes par cet acte sectoriel [Art. 4 par. 1]. C'est le cas par exemple du règlement (UE) 2022/2554 (DORA) pour le secteur financier.
3
Facteurs d’évaluation et liste de contrôle
Premium4
Questions pour votre avocat
Premium5
Conclusion et résumé
PremiumAnalyse détaillée avec liens sources.
Schalten Sie die KI-Analyse frei — mit markierten Fundstellen und direkten Links zu EUR-Lex. 7 Tage kostenlos testen.
Keine Kreditkarte heute. Kündigung jederzeit.