Un fournisseur de services gérés figure deux fois dans NIS2. Une fois comme entité : l'annexe I dresse les « fournisseurs de services gérés » et les « fournisseurs de services de sécurité gérés » sous la gestion des services TIC, interentreprises, et les définitions de l'article 6 sont assez larges pour prendre la majeure partie du secteur. Et une fois comme fournisseur : l'article 21(2)(d) fait gérer à chaque entité essentielle et importante la sécurité de sa chaîne d'approvisionnement, et le considérant 86 désigne les fournisseurs de services de sécurité gérés comme les fournisseurs à choisir avec une « diligence accrue ». La seconde atteint un MSP sous le seuil de taille que la première n'atteint pas. Cet article prend les deux, avec le texte, dans l'ordre où elles arrivent.

Les définitions prennent la majeure partie du secteur

Article 6(39) : un fournisseur de services gérés est « une entité qui fournit des services liés à l'installation, à la gestion, à l'exploitation ou à l'entretien de produits, de réseaux, d'infrastructures ou d'applications TIC ou d'autres réseaux et systèmes d'information, par l'intermédiaire d'une assistance ou d'une administration active, soit dans les locaux des clients, soit à distance ». Article 6(40) : un fournisseur de services de sécurité gérés est « un fournisseur de services gérés qui effectue ou fournit une assistance pour des activités liées à la gestion des risques en matière de cybersécurité ». Le considérant 86 donne les exemples du second : la réponse aux incidents, les tests d'intrusion, les audits de sécurité et le conseil.

Deux traits de la définition comptent. Elle porte sur ce qui est fait, pas sur la façon dont c'est vendu : l'hébergement, la supervision, l'application des correctifs, le service d'assistance, l'exploitation du réseau, l'administration des sauvegardes et la gestion des identités pour des clients sont tous « gestion, exploitation ou entretien » de leurs systèmes, qu'ils soient facturés au forfait, au projet ou à l'abonnement. Et « assistance ou administration active » couvre le conseil qui touche aux systèmes, pas seulement l'infogérance qui les exploite ; un testeur d'intrusion est un MSSP d'après la propre liste du considérant 86. Une entreprise qui vend un logiciel que le client exploite est un fabricant sous le CRA et pas un MSP pour cela ; une entreprise qui l'exploite pour le client est un MSP pour cela. Les deux lignes de l'annexe I sont dans l'outil de champ d'application au mot près.

La taille décide de quelle sorte d'entité

L'article 2(1) applique la directive à une entité d'un type dressé qui est au moins une entreprise moyenne au sens de la recommandation 2003/361/CE : 50 salariés ou plus, ou plus de 10 millions d'EUR à la fois de chiffre d'affaires et de bilan, comptés pour l'entreprise avec ses entreprises partenaires et liées. Un MSP ou un MSSP de cette taille est une entité importante au titre de l'article 3(2). Un fournisseur au-dessus des plafonds des moyennes entreprises, 250 salariés ou à la fois 50 millions d'EUR de chiffre d'affaires et 43 millions d'EUR de bilan, est une entité essentielle au titre de l'article 3(1)(a), parce que les deux lignes sont des types de l'annexe I et que les types de l'annexe I sont essentiels par la seule taille : supervision ex ante au titre de l'article 32, plafond d'amende d'au moins 10 000 000 EUR ou 2 % du chiffre d'affaires mondial au titre de l'article 34(4). Sous le plafond des petites, l'entreprise est hors de la directive en tant qu'entité, sauf si son État membre l'identifie au titre de l'article 2(2)(b) à (e), ce qu'un État peut faire pour un MSP qui est le seul fournisseur d'un service essentiel ou critique pour un secteur. Les sept manières d'être essentielle ont leur propre article.

Un seul État, décidé par l'établissement principal

Les fournisseurs de services gérés et les fournisseurs de services de sécurité gérés sont dans la liste de l'article 26(1)(b) : la compétence revient à l'État membre de l'établissement principal dans l'Union, le lieu « où les décisions relatives aux mesures de gestion des risques en matière de cybersécurité sont principalement prises » (article 26(2)), et un fournisseur établi hors de l'Union qui y offre des services désigne un représentant dans un État membre où il le fait et relève de la compétence de cet État (article 26(3)). Un MSP avec des ingénieurs dans trois États et des clients dans dix a un seul superviseur. L'acte de l'État le nomme ; l'acte que chaque État a communiqué à la Commission est sur la page du registre.

La même liste est celle de l'article 27 : les MSP et les MSSP devaient transmettre leur nom, leur secteur, leurs adresses, leurs coordonnées, les États membres desservis et leurs plages IP à leur autorité compétente pour le registre de l'ENISA au plus tard le 17 janvier 2025, et doivent notifier les changements dans les trois mois.

Les mesures et les seuils sont uniformes

Le règlement d'exécution (UE) 2024/2690 nomme les fournisseurs de services gérés et les fournisseurs de services de sécurité gérés à son article 1, de sorte que pour eux les exigences techniques et méthodologiques des mesures de l'article 21(2) sont l'annexe du règlement, 13 sections, les mêmes dans chaque État, et que le caractère important d'un incident est décidé par ses articles 3 et 10. L'article 10 donne aux MSP et aux MSSP les quatre critères des fournisseurs de services en nuage : le service totalement indisponible pendant plus de 30 minutes ; la disponibilité limitée pour plus de 5 % des utilisateurs du service dans l'Union ou plus de 1 million d'entre eux, le plus petit nombre étant retenu, pendant plus d'une heure ; l'intégrité, la confidentialité ou l'authenticité des données stockées, transmises ou traitées compromise par une action suspectée d'être malveillante ; ou compromise avec un impact sur plus de 5 % ou plus de 1 million des utilisateurs dans l'Union, le plus petit nombre étant retenu. Les utilisateurs se comptent au titre de l'article 3(3) comme les clients sous contrat plus les personnes physiques et morales associées aux clients professionnels qui utilisent le service, ce qui pour un MSP signifie les utilisateurs de ses clients. La page de correspondance place les 13 sections face à ISO 27001 ; les horloges qu'un incident important déclenche ont leur propre article.

Le considérant 3 du règlement dit que son annexe est écrite à partir de l'ISO/IEC 27001 et 27002, entre autres. Pour un MSP, c'est aussi la réponse à la question du fournisseur ci-dessous : les preuves que la diligence du client demande et les preuves que le superviseur demande sont les mêmes enregistrements.

Le fournisseur sur lequel tombe chaque diligence

L'article 21(2)(d) impose à chaque entité essentielle et importante de traiter « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs », et l'article 21(3) lui fait tenir compte « des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé ». Le considérant 85 nomme les fournisseurs de services de sécurité gérés et les éditeurs de logiciels comme les fournisseurs dont il s'agit ; le considérant 86 dit que les MSSP ont eux-mêmes été la cible de cyberattaques et présentent, du fait de leur intégration étroite dans les opérations des entités, un risque particulier, de sorte que les clients doivent faire preuve d'une diligence accrue en choisissant un fournisseur de services de sécurité gérés.

Pour un MSP, c'est l'obligation qui arrive en premier et de toutes parts, quelle que soit sa propre taille : le questionnaire, la clause contractuelle, la demande du certificat et la clause de notification d'incident du contrat-cadre. Un MSP de 30 salariés sans obligation propre au titre de la directive a des clients tenus de l'évaluer, et l'évaluation se fait au regard des mêmes mesures. La réponse praticable est celle qui sert aux deux : un système ISO 27001 avec les 13 sections du règlement mises en correspondance, un certificat d'un organisme accrédité, une procédure d'incident qui respecte l'horloge contractuelle du client aussi bien que celle de l'article 23, et les preuves conservées là où un client, un superviseur ou un auditeur peut les voir sans projet.

Que faire ce trimestre

Décidez la ligne, la classe de taille telle que comptée et l'État de l'établissement principal, et consignez la détermination ; l'outil de champ d'application le fait à partir de cinq réponses. Vérifiez l'enregistrement au titre de l'article 27 et sa date. Rapprochez le SMSI des 13 sections et comblez les lacunes. Mettez les quatre seuils de l'article 10, la règle de la « prise de connaissance » et les clauses de notification des clients dans une seule procédure d'incident. Préparez la réponse fournisseur une fois, à partir des mêmes enregistrements, pour le prochain questionnaire.

Sources

  • Directive (UE) 2022/2555 (NIS2), article 2(1) et (2), article 3(1) et (2), article 6(39) et (40), article 21(2)(d) et (3), article 23(4), article 26(1) à (3), article 27(1) à (3), article 32, article 34(4), annexe I point 9, considérants 84 à 86.
  • Règlement d'exécution (UE) 2024/2690 de la Commission, considérant 3, article 1, article 3, article 10, annexe.
  • Recommandation 2003/361/CE de la Commission, annexe, articles 2 et 3.

Ceci n'est pas un avis juridique. L'acte de l'État membre nomme l'autorité, le portail et le formulaire, et peut identifier un MSP au titre de l'article 2(2)(b) à (e) quelle que soit sa taille.