L'annexe II de la directive (UE) 2022/2555 comporte un secteur appelé « fournisseurs numériques » avec trois lignes : les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux. Ce sont les seules plateformes que la directive nomme, et elles figurent dans l'annexe des « autres secteurs critiques », pas dans celle des secteurs « hautement critiques », ce qui décide d'une chose que le conseil d'une plateforme voudra savoir en premier : si grande qu'elle devienne, c'est une entité importante et non essentielle, sauf si un État membre en fait une. Cet article prend les trois définitions, le statut, l'État, le registre et les seuils propres à ces trois-là, et l'endroit où passe la ligne vers un éditeur SaaS et vers le Cyber Resilience Act.

Trois définitions, empruntées à trois actes

NIS2 définit deux des trois par renvoi. L'article 6(28) renvoie « place de marché en ligne » à l'article 2, point n), de la directive 2005/29/CE, qui dit : « un service utilisant un logiciel, y compris un site internet, une partie de site internet ou une application, exploité par un professionnel ou pour son compte qui permet aux consommateurs de conclure des contrats à distance avec d'autres professionnels ou consommateurs ». L'article 6(29) renvoie « moteur de recherche en ligne » à l'article 2, point 5), du règlement (UE) 2019/1150 : « un service numérique qui permet aux utilisateurs de formuler des requêtes afin d'effectuer des recherches sur, en principe, tous les sites internet ou les sites internet dans une langue donnée, sur la base d'une requête lancée sur n'importe quel sujet sous la forme d'un mot-clé, d'une demande vocale, d'une expression ou d'une autre entrée, et qui renvoie des résultats dans quelque format que ce soit dans lesquels il est possible de trouver des informations en rapport avec le contenu demandé ». L'article 6(33) définit la troisième lui-même : une plateforme de services de réseaux sociaux est « une plateforme qui permet aux utilisateurs finaux de se connecter, de partager, de découvrir et de communiquer entre eux sur plusieurs terminaux, notamment par conversations en ligne, publications, vidéos et recommandations ».

Chaque définition a un bord qui exclut une entreprise qui se donnerait ce nom. La définition de la place de marché est écrite pour les consommateurs : une plateforme sur laquelle des professionnels ne contractent qu'avec d'autres professionnels n'est pas une « place de marché en ligne » au sens de l'article 2(n), quelle que soit sa taille, et est plus probablement un fournisseur de services d'informatique en nuage pour le logiciel qu'elle exploite. La définition du moteur de recherche exige des recherches sur « en principe, tous les sites internet » : un champ de recherche sur un site, un catalogue ou les documents d'une entreprise est une fonctionnalité, pas un moteur de recherche. La définition des réseaux sociaux exige que des utilisateurs finaux se connectent et communiquent entre eux sur plusieurs terminaux, ce qu'une zone de commentaires sous des articles ne satisfait pas et qu'une plateforme communautaire satisfait. Les trois lignes sont dans l'outil de champ d'application au mot près, avec le reste des annexes I et II.

Importants, si grands soient-ils

L'article 2(1) place une entité d'un type dressé dans le champ à partir de la taille moyenne : 50 salariés ou plus, ou plus de 10 millions d'EUR à la fois de chiffre d'affaires et de bilan, comptés pour l'entreprise avec ses entreprises partenaires et liées. En dessous, une plateforme est hors champ en tant qu'entité, sauf si son État membre l'identifie au titre de l'article 2(2)(b) à (e). Au-dessus, la plateforme est une entité importante au titre de l'article 3(2), et elle reste importante quelle que soit sa taille, parce que l'article 3(1)(a), la règle qui rend les grandes entités essentielles, n'atteint que « les entités d'un type visé à l'annexe I ». Les deux voies par lesquelles une plateforme de l'annexe II devient essentielle sont un acte de l'État membre au titre de l'article 3(1)(e), qui suppose d'abord une identification au titre de l'article 2(2)(b) à (e), et le recensement comme entité critique au titre de la directive (UE) 2022/2557 (article 3(1)(f)).

Importante signifie la supervision de l'article 33, ex post, sur preuves ou indices de non-conformité, et le plafond d'amende de l'article 34(5) d'au moins 7 000 000 EUR ou 1,4 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu. Les mesures de l'article 21 et les horloges de l'article 23 sont les mêmes que pour une entité essentielle. Les sept manières d'être essentielle, et ce que le statut change, ont leur propre article.

Un seul État, le registre et le règlement

Les trois fournisseurs numériques sont dans la liste de l'article 26(1)(b), de sorte que la compétence revient à l'État membre de l'établissement principal dans l'Union, « l'État membre où les décisions relatives aux mesures de gestion des risques en matière de cybersécurité sont principalement prises » (article 26(2)), et une plateforme établie hors de l'Union qui y offre son service désigne un représentant dans un État membre où elle le fait (article 26(3)). L'acte de l'État, tel que communiqué à la Commission, est sur le registre de transposition.

Ils sont aussi dans la liste de l'article 27 : la plateforme devait transmettre son nom, son secteur, ses adresses, ses coordonnées, les États membres desservis et ses plages IP à son autorité compétente pour le registre de l'ENISA au plus tard le 17 janvier 2025, et notifie les changements dans les trois mois.

Et ils sont à l'article 1 du règlement d'exécution (UE) 2024/2690, de sorte que les exigences techniques et méthodologiques des mesures de l'article 21(2) sont l'annexe du règlement, 13 sections, les mêmes dans chaque État, mises en correspondance section par section avec ISO 27001.

Les seuils sont une part des utilisateurs, pas une horloge

Pour les fournisseurs de services en nuage et de services gérés, le premier critère du règlement est le temps : un service totalement indisponible pendant plus de 30 minutes. Pour les trois fournisseurs numériques, non. Les articles 11, 12 et 13 donnent aux places de marché, aux moteurs de recherche et aux réseaux sociaux les mêmes quatre critères, et aucun n'a de durée : la plateforme totalement indisponible pour plus de 5 % de ses utilisateurs dans l'Union, ou plus de 1 million d'entre eux, le plus petit nombre étant retenu ; plus de 5 % ou plus de 1 million de ses utilisateurs dans l'Union touchés par une disponibilité limitée ; l'intégrité, la confidentialité ou l'authenticité des données stockées, transmises ou traitées compromise par une action suspectée d'être malveillante ; ou compromise avec un impact sur plus de 5 % ou plus de 1 million de ses utilisateurs dans l'Union, le plus petit nombre étant retenu. Les critères généraux de l'article 3(1) s'appliquent par-dessus : la perte financière directe supérieure à 500 000 EUR ou 5 % du chiffre d'affaires, l'exfiltration de secrets d'affaires, la mort ou des dommages considérables à la santé, l'accès effectif et suspecté d'être malveillant susceptible de causer une perturbation opérationnelle grave. Les utilisateurs se comptent au titre de l'article 3(3) comme les clients sous contrat plus les personnes physiques et morales associées aux clients professionnels qui utilisent le service, ce qui pour une place de marché signifie les acheteurs et les vendeurs, et pour un moteur de recherche ou un réseau social les personnes qui l'utilisent.

La conséquence pour une procédure d'incident est que la plateforme doit connaître son nombre d'utilisateurs dans l'Union et la part touchée par une panne, dans les premières heures, parce que ce nombre est le test d'importance. Une panne totale de cinq minutes d'une plateforme de 30 millions d'utilisateurs dans l'Union est un incident important ; une panne de deux heures pour 2 % d'entre eux ne l'est pas, sur la seule disponibilité. Puis l'article 23 : alerte précoce dans les 24 heures de la prise de connaissance, notification dans les 72 heures, rapport final dans un délai d'un mois. Les horloges, avec les seuils cités en entier, ont leur propre article.

Les lignes vers un éditeur SaaS et vers le CRA

Une plateforme est aussi du logiciel en tant que service pour les entreprises qui y vendent ou y font de la publicité, et une entreprise peut être à la fois place de marché et fournisseur de services d'informatique en nuage pour différentes parties de son offre ; la ligne de l'annexe I apporte alors avec elle la possibilité d'être essentielle par la taille. NIS2 pour un éditeur SaaS a son propre article. Le Cyber Resilience Act n'atteint la plateforme que là où elle livre quelque chose d'installé : une application mobile, un client de caisse pour vendeurs, un SDK. La plateforme utilisée par un navigateur n'est pas un produit comportant des éléments numériques, d'après la propre lecture qu'a la Commission du règlement (UE) 2024/2847, et l'enregistrement d'incident est un seul enregistrement avec le formulaire NIS2 et, pour l'application, le formulaire CRA. Quelle loi atteint quelle partie est l'article pour cela.

Sources

  • Directive (UE) 2022/2555 (NIS2), article 2(1) et (2), article 3(1) et (2), article 6(28), (29) et (33), article 21(2), article 23(4), article 26(1) à (3), article 27(1) à (3), article 33, article 34(5), annexe II point 6.
  • Directive 2005/29/CE, article 2, point n), telle que modifiée par la directive (UE) 2019/2161 ; règlement (UE) 2019/1150, article 2, point 5).
  • Règlement d'exécution (UE) 2024/2690 de la Commission, article 1, article 3, articles 11 à 13, annexe.
  • Recommandation 2003/361/CE de la Commission, annexe, articles 2 et 3.

Ceci n'est pas un avis juridique. L'acte de l'État membre nomme l'autorité, le portail et le formulaire, et peut identifier une plateforme au titre de l'article 2(2)(b) à (e) et la rendre essentielle au titre de l'article 3(1)(e).