Toute explication de la directive (UE) 2022/2555 dit que NIS2 partage ses entités en essentielles et importantes, et la plupart s'arrêtent là. Le partage vaut d'être compris, parce qu'il est le partage entre l'article 32 et l'article 33, entre un superviseur qui peut vous auditer avant que rien n'ait mal tourné et un qui agit sur preuves, et entre un plafond d'amende de 10 000 000 EUR et un de 7 000 000 EUR. Il est décidé par deux articles lus dans l'ordre : l'article 2 dit si vous êtes concerné du tout, l'article 3 de quelle sorte vous êtes. Tous deux citent un test de taille tiré d'une recommandation de 2003 qui se compte d'une manière que la plupart des entreprises ratent la première fois. Cet article prend les deux dans l'ordre, avec le texte, et s'arrête là où la détermination gratuite du champ d'application commence.
Article 2 : êtes-vous une entité de la directive
L'article 2(1) applique la directive aux « entités publiques ou privées d'un type visé à l'annexe I ou II qui constituent des entreprises moyennes en vertu de l'article 2 de l'annexe de la recommandation 2003/361/CE, ou qui dépassent les plafonds prévus au paragraphe 1 dudit article, et qui fournissent leurs services ou exercent leurs activités au sein de l'Union ». Trois conditions, et la première est celle à vérifier en premier : être d'un type que les annexes dressent. L'annexe I regroupe les secteurs hautement critiques, 11 au total, et l'annexe II les autres secteurs critiques, 7 de plus ; à elles deux, elles décrivent 67 types d'entités, et une entreprise entre dans le champ en étant l'une d'elles, pas en lui vendant. Un éditeur de logiciels regarde en général quatre lignes : les fournisseurs de services d'informatique en nuage, les fournisseurs de services gérés et les fournisseurs de services de sécurité gérés à l'annexe I, et les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux à l'annexe II. Les 67 lignes sont dans l'outil de champ d'application en six langues, au mot près.
La seconde condition est la taille. L'annexe de la recommandation définit une entreprise moyenne comme une entreprise de moins de 250 salariés dont soit le chiffre d'affaires annuel n'excède pas 50 millions d'EUR, soit le total du bilan n'excède pas 43 millions d'EUR ; une petite entreprise a moins de 50 salariés et un chiffre d'affaires ou un bilan n'excédant pas 10 millions d'EUR ; une microentreprise moins de 10 salariés et 2 millions d'EUR. NIS2 prend les entreprises moyennes et tout ce qui est plus grand, de sorte que le plancher est le plafond des petites : 50 salariés, ou plus de 10 millions d'EUR à la fois de chiffre d'affaires et de bilan. Deux choses sur le comptage. L'article 3 de la recommandation compte l'entreprise avec ses entreprises partenaires et ses entreprises liées, de sorte qu'une filiale de 30 personnes d'un groupe de 400 personnes n'est pas petite. Et NIS2 écarte l'article 3(4) de cette annexe, la règle qui tient hors des classes de PME une entreprise détenue à 25 % ou plus par des organismes publics, de sorte qu'une entreprise à capitaux publics est mesurée comme toute autre.
L'article 2(2) fait ensuite entrer certaines entités « quelle que soit leur taille » : les fournisseurs de réseaux ou de services publics de communications électroniques, les prestataires de services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS, par ce qu'ils fournissent ; le seul fournisseur dans un État membre d'un service essentiel au maintien d'activités sociétales ou économiques critiques, une entité dont la perturbation affecterait significativement la sécurité, la sûreté ou la santé publiques ou induirait un risque systémique, et une entité critique pour son secteur au niveau national ou régional, chacune par un acte de l'État membre ; et l'administration centrale, avec l'administration régionale après une évaluation fondée sur les risques. L'article 2(3) ajoute les entités recensées comme critiques au titre de la directive (UE) 2022/2557, et l'article 2(4) les entités fournissant des services d'enregistrement de noms de domaine. Un bureau d'enregistrement est une catégorie à part : l'article 3(3) dresse les bureaux d'enregistrement à côté des entités essentielles et importantes, et leur obligation est l'article 28.
Article 3 : essentielle, ou importante
L'article 3(1) dresse les entités essentielles en sept points, et l'article 3(2) rend importante toute autre entité d'un type de l'annexe I ou II. Les sept, cités :
| Point | Le texte | Qui c'est, en pratique |
|---|---|---|
| (a) | « les entités d'un type visé à l'annexe I qui dépassent les plafonds applicables aux moyennes entreprises prévus à l'article 2, paragraphe 1, de l'annexe de la recommandation 2003/361/CE » | Toute grande entité de l'annexe I : un fournisseur de services en nuage ou de services gérés de 250 salariés ou plus, ou de plus de 50 millions d'EUR de chiffre d'affaires et 43 millions d'EUR de bilan |
| (b) | « les prestataires de services de confiance qualifiés et les registres de noms de domaine de premier niveau ainsi que les fournisseurs de services DNS, quelle que soit leur taille » | Trois sortes essentielles à toute taille ; un prestataire de services de confiance non qualifié est important sauf s'il est grand |
| (c) | « les fournisseurs de réseaux publics de communications électroniques publics ou de services de communications électroniques accessibles au public qui constituent des moyennes entreprises en vertu de l'article 2 de l'annexe de la recommandation 2003/361/CE » | Les opérateurs télécoms moyens ; les grands sont essentiels par (a), les petits importants |
| (d) | « les entités de l'administration publique visées à l'article 2, paragraphe 2, point f) i) » | L'administration centrale |
| (e) | « toute autre entité d'un type visé à l'annexe I ou II qui est identifiée par un État membre en tant qu'entité essentielle en vertu de l'article 2, paragraphe 2, points b) à e) » | Une entité que l'État a identifiée et choisi de rendre essentielle plutôt qu'importante |
| (f) | « les entités recensées en tant qu'entités critiques en vertu de la directive (UE) 2022/2557, visées à l'article 2, paragraphe 3, de la présente directive » | Les entités critiques au titre de la directive sur la résilience, quelle que soit leur ligne sectorielle |
| (g) | « si l'État membre en dispose ainsi, les entités que cet État membre a identifiées avant le 16 janvier 2023 comme des opérateurs de services essentiels conformément à la directive (UE) 2016/1148 ou au droit national » | Les anciens opérateurs de services essentiels de la première directive NIS, là où l'État les garde essentiels |
Lu au regard d'un éditeur de logiciels, le tableau dit trois choses. Un type de l'annexe II n'est jamais essentiel par la taille : un grand fabricant de machines, de dispositifs médicaux ou d'électronique, une grande place de marché ou un grand moteur de recherche est important au titre de l'article 3(2) si grand soit-il, sauf si un État l'identifie au titre du point (e) ou s'il est une entité critique au titre du point (f). Un type de l'annexe I est essentiel par la seule taille, ce qui place un fournisseur de services en nuage, de centre de données, de CDN, de services gérés ou de services de sécurité gérés qui franchit les plafonds des moyennes entreprises sous la supervision de l'article 32 sans acte de personne. Et les trois sortes du point (b) sont essentielles à toute taille, ce qui fait qu'un fournisseur DNS de deux personnes est une entité essentielle et qu'un fournisseur de services en nuage de deux personnes n'est pas une entité du tout, sauf si un État l'identifie.
Ce qu'est la différence
Les mesures sont les mêmes. L'article 21 s'applique aux entités essentielles et importantes indistinctement, et pour les fournisseurs numériques de son article 1, le règlement d'exécution (UE) 2024/2690 fixe le détail technique de ces mesures et les seuils d'incident à l'identique pour les deux. Les horloges de l'article 23 sont les mêmes. Ce qui diffère, c'est la supervision, les amendes et la lecture de la proportionnalité.
La supervision des entités essentielles est ex ante et ex post (article 32) : l'autorité compétente peut mener des inspections sur place et une supervision à distance, des audits réguliers et ciblés, des audits ad hoc lorsqu'un incident important ou une infraction les justifie, des scans de sécurité, et des demandes d'informations et de preuves, à tout moment ; lorsque ses injonctions ne sont pas suivies, elle peut, en dernier ressort, suspendre une certification ou une autorisation et demander à une juridiction d'interdire à la direction d'exercer des fonctions de direction (article 32(5)). La supervision des entités importantes est ex post (article 33) : les mêmes instruments, mais « lorsqu'elles reçoivent des preuves, des indications ou des informations selon lesquelles une entité importante ne se conformerait pas ». Les amendes suivent l'article 34 : pour les entités essentielles « un montant maximal d'au moins 10 000 000 EUR ou d'un montant maximal d'au moins 2 % du chiffre d'affaires annuel mondial total » (article 34(4)), pour les entités importantes « un montant maximal d'au moins 7 000 000 EUR ou d'un montant maximal d'au moins 1,4 % » (article 34(5)), le montant le plus élevé étant retenu dans chaque cas, l'État membre restant libre de fixer ses plafonds au-dessus. Les deux sortes ont un organe de direction qui doit approuver les mesures, en superviser la mise en œuvre et peut être tenu responsable, et dont les membres doivent suivre une formation (article 20).
La liste, le registre et l'État
Deux enregistrements découlent du statut, et ils sont différents. L'article 3(3) imposait à chaque État membre d'établir, au plus tard le 17 avril 2025, une liste de ses entités essentielles et importantes et des bureaux d'enregistrement, à partir des informations que les entités transmettent au titre de l'article 3(4) : nom, adresse et coordonnées, secteur et sous-secteur, et les États membres où elles fournissent des services. L'article 27 est un second registre, plus étroit, tenu par l'ENISA, pour les fournisseurs DNS, les registres de premier niveau, les bureaux d'enregistrement, les fournisseurs de services en nuage, de centres de données, de CDN, de services gérés, de services de sécurité gérés, de places de marché, de moteurs de recherche et de réseaux sociaux, qui devaient transmettre leur nom, leur secteur, leurs adresses, leurs coordonnées, les États membres desservis et leurs plages IP à leur autorité compétente au plus tard le 17 janvier 2025.
Sur la liste de quel État vous figurez, c'est l'article 26. Une entité relève de la compétence de l'État membre où elle est établie, sauf que les fournisseurs numériques qui viennent d'être dressés relèvent de l'État membre de leur établissement principal dans l'Union, « l'État membre où les décisions relatives aux mesures de gestion des risques en matière de cybersécurité sont principalement prises » (article 26(2)), et qu'une entité non établie dans l'Union relève de l'État où elle désigne son représentant (article 26(3)). L'acte de l'État, tel que communiqué à la Commission, est sur le registre de transposition ; lequel d'entre eux en a un, au jour de la lecture, fait l'objet d'un article à part.
Quatre cas qu'un éditeur de logiciels rate
Un fournisseur de services en nuage de 40 salariés et 8 millions d'EUR de chiffre d'affaires, indépendant, n'est pas une entité de la directive : un type de l'annexe I, sous le plafond des petites, et aucune des règles sans condition de taille ne s'applique. Il lui sera tout de même demandé, par chaque client essentiel et important, de démontrer la sécurité de la chaîne d'approvisionnement que l'article 21(2)(d) fait gérer à ces clients. Le même fournisseur détenu par un groupe de 300 personnes est une entreprise moyenne par l'article 3 de la recommandation et important ; le même fournisseur avec 250 salariés est essentiel.
Un constructeur de machines de 2 000 salariés est important, pas essentiel : annexe II, et l'article 3(1)(a) n'atteint que l'annexe I.
Un bureau d'enregistrement sans autre ligne est dans le champ au titre de l'article 2(4) à toute taille, avec l'article 28 pour obligation et une place sur la liste de l'article 3(3) et dans le registre de l'article 27, mais il n'est ni essentiel ni important sauf s'il est aussi d'un type des annexes.
Un fournisseur de services gérés établi aux États-Unis, avec des clients dans trois États membres et sans établissement dans l'Union, doit désigner un représentant dans l'un des États où il offre ses services, et relève de la loi de cet État ; sans représentant, chacun des trois peut agir contre lui.
La détermination du champ d'application applique ces règles à vos réponses et écrit le résultat avec les articles cités ; la correspondance NIS2 vers ISO 27001 est là où les mesures de l'article 21 vont ensuite, et les horloges de l'article 23 sont ce que le statut emporte dans un incident. Si NIS2 ou le CRA est votre loi du tout vient avant les deux.
Sources
- Directive (UE) 2022/2555 (NIS2), article 2(1) à (4), article 3(1) à (4), article 20, article 21(1) et (2), article 26(1) à (3), article 27, article 28, articles 32 à 34, annexes I et II, lus sur EUR-Lex en six langues.
- Recommandation 2003/361/CE de la Commission, annexe, articles 2 et 3.
- Règlement d'exécution (UE) 2024/2690 de la Commission, article 1.
Ceci n'est pas un avis juridique. L'acte de l'État membre peut ajouter aux catégories de la directive au titre de l'article 2(2)(b) à (e), de l'article 2(5) et de l'article 3(1)(g), et c'est la détermination de l'État qui compte.