Directive NIS2 : résumé en français pour RSSI et responsables conformité

Non. Il s'agit d'un résumé non officiel destiné à rendre la structure et les obligations de la directive accessibles. Pour toute interprétation contraignante, consultez le texte officiel au JO L 333/80 (27 décembre 2022) ou via EUR-Lex (CELEX 32022L2555). Les lois de transposition nationales de votre État membre peuvent imposer des obligations plus strictes ou différemment délimitées que la directive elle-même.

Les entités opérant dans les secteurs de l'Annexe I (haute criticité) ou de l'Annexe II (autre criticité) qui atteignent le seuil de taille de moyenne entreprise (50+ salariés ou 10 millions EUR+ de chiffre d'affaires, selon la Recommandation 2003/361/CE). Certaines entités sont dans le champ d'application quelle que soit leur taille, notamment les registres de TLD, les fournisseurs DNS, les prestataires de services de confiance et les administrations publiques centrales. Les sections 4, 6 et 7 du PDF couvrent le champ d'application en détail.

La directive est entrée en vigueur le 16 janvier 2023. Les États membres avaient jusqu'au 17 octobre 2024 pour la transposer en droit national ; l'application a débuté le 18 octobre 2024 (la même date à laquelle NIS1 a été abrogée). Le calendrier complet, y compris la date limite de transmission de la liste d'entités à la Commission (17 avril 2025) et le calendrier de révision périodique, figure à la Section 16.

Pour les entités essentielles : 10 000 000 EUR ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour les entités importantes : 7 000 000 EUR ou 1,4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. La directive prévoit également des sanctions non pécuniaires, notamment des interdictions temporaires de gestion pour la direction des entités essentielles (mesure de dernier recours). La Section 15 couvre les facteurs de détermination des amendes.

Oui, de deux façons. Directement : les fournisseurs non européens de DNS, cloud, centres de données, CDN, MSP/MSSP, places de marché en ligne, moteurs de recherche et réseaux sociaux offrant des services dans l'UE doivent désigner un représentant dans l'UE et se conformer à la directive. Indirectement : tout fournisseur non européen de produits ou services à des entités essentielles ou importantes de l'UE sera soumis aux exigences contractuelles de sécurité de la chaîne d'approvisionnement imposées par ses clients européens au titre de l'Article 21(2)(d). La Section 17 couvre les deux cas.

Trois délais, tous déclenchés par la prise de connaissance d'un incident significatif : 24 heures pour une alerte précoce, 72 heures pour une notification d'incident complète, et un mois pour le rapport final. Les destinataires de services doivent également être notifiés sans délai injustifié si une cybermenace significative est probable. La Section 10 présente la matrice complète de notification.