NIS 2 : comment préparer sa feuille de route pour se mettre en conformité ? Nos experts répondent à vos questions

Les entreprises concernées sont soumises lorsqu’elles remplissent les critères la qualifiant d’entreprise de taille moyenne ou grande (majoritairement) ET qu’elles interviennent dans un secteur des annexes du texte européen. Concernant les critères de taille et de CA, il s’agit d’un cumul de ces deux critères.

Existe-t-il un lien de la transposition dans la loi française ?

L’ANSSI est en charge de la réalisation de la transposition de la directive NIS 2 dans le droit français et a jusqu’au 17 octobre 2024 pour le faire. L’agence communiquera sur le texte de la transposition FR de NIS 2 le moment venu.

Vous pouvez d’ores et déjà consulter le texte européen. Les mesures de sécurité minimales attendues sont listées dans l’article 21. En guise de référence, voici le rappel des règles demandées dans le cadre de la transposition de la première directive NIS (2016/1148).

Selon la directive européenne NIS 2, sont concernées les entreprises assurant la « Production, transformation et distribution de denrées alimentaires » (annexe 2).

La grille des critères établie dans la directive européenne donne un cadre pour les autorités de contrôle en charge de la réalisation de la transposition dans le droit national. Cela signifie que l’ANSSI est en droit d’ajouter (et non pas de supprimer) certains secteurs qu’elle jugerait pertinents dans son projet de transposition.

C’est à l’ANSSI de trancher concernant ce point, notamment vis-à-vis des montages juridiques (holding, filiales, GIE, etc.) existants.

Les règles déterminant si une entité est concernée ou non par NIS2 se veulent uniformes. Il est très probable qu’une entité soit soumise à la directive dans l’ensemble des pays dans lesquels elle est établie.
Selon l’article 26, chaque entité est soumise à la législation du pays dans lequel elle est établie, sauf exception pour les secteurs numériques, télécommunications et administration publique. L’applicabilité dépendra de la nature des établissements implantés dans différents pays.

Si votre activité n’est pas concernée vous ne devriez alors pas être soumis à la directive NIS 2. Le fait d’avoir des clients étatiques sensibles ne vous soumet pas de facto à la directive. En revanche cela n’empêche pas vos clients de vous imposer un certain nombre de mesures de sécurité contractuellement (tirées du référentiel de sécurité de leur choix).

La directive NIS 2 impose aux entités concernées d’assurer la sécurité de leur chaîne d’approvisionnement, ce qui laisse supposer qu’elles devront imposer des exigences à leurs prestataires sans précision sur le périmètre géographique. La directive ne s'applique pas directement à vos sous-traitants/partenaires, mais vous impose de vous assurer qu'ils possèdent un niveau de sécurité équivalent (clauses de sécurité contractuelles et contrôles).

Les entités du secteur « denrées alimentaires » sont soumises à la directive NIS 2 lorsque l’activité a un but de fabrication, de production ou de transport. La taille de l’entité étant d’environ 200 personnes, vous serez considéré comme EI (Entité Importante).

En fonction des services fournis par les ESN, ces dernières pourront ou non être soumises à la directive NIS 2.
Ces dernières pourraient être comprises dans les secteurs « Gestion des services TIC » et « Infrastructure numérique », voir le détail des types d’activité dans la grille ci-dessus.
 

Pour reprendre les termes de la directive européenne, les administrations publiques soumises sont les :

• Entités de l’administration publique des pouvoirs publics centraux définies comme telles par un État membre conformément au droit national
• Entités de l’administration publique au niveau régional définies comme telles par un État membre conformément au droit national

L’ANSSI décidera d’étendre ou non le périmètre d’application aux entités départementales ou locales, notamment vis-à-vis de leurs compétences qui justifieraient leur inclusion dans le périmètre (de plus, les collectivités assurant par exemple la gestion de l’eau ou des déchets devraient être concernées, ces secteurs étant mentionnés dans les annexes du texte européen).