[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:fr:nis2-pour-un-editeur-saas-vous-etes-un-fournisseur-de-services-d-informatique-en-nuage-et-voici-ce-qui-en-decoule":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"fr","nis2-pour-un-editeur-saas-vous-etes-un-fournisseur-de-services-d-informatique-en-nuage-et-voici-ce-qui-en-decoule","NIS2 pour un éditeur SaaS : vous êtes un fournisseur de services d'informatique en nuage, et voici ce qui en découle","Le considérant 33 de la directive nomme le logiciel en tant que service parmi les modèles de services en nuage, de sorte qu'un éditeur SaaS de taille moyenne ou plus est une entité de NIS2 en tant que fournisseur de services d'informatique en nuage : importante sous les plafonds des moyennes entreprises, essentielle au-dessus. Ce qui suit, dans l'ordre où cela arrive : l'État de votre établissement principal, le registre où vous deviez figurer au plus tard le 17 janvier 2025, les mesures du règlement d'exécution 2024\u002F2690, les quatre seuils d'incident de son article 7 et les horloges de l'article 23, et la ligne entre tout cela et le CRA.","2026-09-12","\nUne entreprise qui vend du logiciel en tant que service lit d'ordinaire le Cyber Resilience Act en premier, constate qu'une application web à laquelle on accède « exclusivement par un navigateur web » n'est pas un produit comportant des éléments numériques, et s'arrête. La loi qui l'atteint vraiment est l'autre. La directive (UE) 2022\u002F2555 dresse les fournisseurs de services d'informatique en nuage à l'annexe I, sous l'infrastructure numérique, et son considérant 33 dit ce qu'est un service d'informatique en nuage en des termes qui nomment le modèle d'affaires tel quel. Cet article est ce que cela signifie pour un éditeur SaaS, dans l'ordre où les obligations arrivent.\n\n## La définition nomme le SaaS\n\nL'article 6(30) définit un service d'informatique en nuage comme « un service numérique qui permet l'administration à la demande et l'accès large à distance à un ensemble modulable et variable de ressources informatiques pouvant être partagées, y compris lorsque ces ressources sont réparties à différents endroits ». Le considérant 33 remplit les termes : les ressources informatiques « comprennent des ressources telles que les réseaux, les serveurs ou d'autres infrastructures, les systèmes d'exploitation, les logiciels, le stockage, les applications et les services » ; « les modèles de services liés à l'informatique en nuage comprennent, entre autres, les infrastructures services (IaaS), les plateformes services (PaaS), les logiciels services (SaaS) et les réseaux services (NaaS) » ; les termes ont le sens de l'ISO\u002FIEC 17788:2014 ; « l'administration à la demande » est la capacité du client de provisionner sans intervention humaine du côté du fournisseur, « l'accès large à distance » l'accès par le réseau depuis des clients légers ou lourds, « modulable » et « variable » décrivent des ressources allouées et libérées avec la demande, et « pouvant être partagées » décrit des ressources fournies à plusieurs utilisateurs qui partagent un accès commun au service, le traitement étant effectué séparément pour chacun.\n\nUne application multi-locataire à laquelle les clients s'abonnent, qu'ils utilisent depuis un navigateur et dont ils font évoluer eux-mêmes l'usage, c'est cette définition. Les cas limites sont ceux où un terme fait défaut : un déploiement mono-locataire provisionné à la main pour un client n'est ni à la demande ni partageable ; un produit que le client installe et exploite est du logiciel, pas un service, et relève du CRA. La ligne de l'annexe I est celle sur laquelle la détermination du champ d'application interroge en premier, et [elle y figure au mot près en six langues](\u002Fnis2\u002Fscope).\n\n## La taille décide de quelle sorte d'entité vous êtes\n\nÊtre d'un type dressé est la première condition de l'article 2(1) ; la seconde est la taille. La directive s'applique aux entités « qui constituent des entreprises moyennes en vertu de l'article 2 de l'annexe de la recommandation 2003\u002F361\u002FCE, ou qui dépassent les plafonds prévus » pour les entreprises moyennes : 50 salariés ou plus, ou plus de 10 millions d'EUR à la fois de chiffre d'affaires et de bilan, comptés pour l'entreprise avec ses entreprises partenaires et liées. Un éditeur SaaS de cette taille est une entité importante au titre de l'article 3(2). Un éditeur qui dépasse les plafonds des moyennes entreprises, 250 salariés ou à la fois 50 millions d'EUR de chiffre d'affaires et 43 millions d'EUR de bilan, est une entité essentielle au titre de l'article 3(1)(a), parce que l'informatique en nuage est un type de l'annexe I et que les types de l'annexe I sont essentiels par la seule taille. Sous le plafond des petites, l'entreprise est hors champ, sauf si son État membre l'identifie au titre de l'article 2(2)(b) à (e) ; ses clients lui demanderont tout de même les preuves de chaîne d'approvisionnement que l'article 21(2)(d) leur fait collecter. [Les règles, dans l'ordre, avec les sept manières d'être essentielle, ont leur propre article](\u002Farticles\u002Fessential-or-important-under-nis2-the-size-rule-the-size-blind-rules-and-the-seven-ways-to-be-essential).\n\n## La loi d'un seul État, décidée par le lieu où se prennent les décisions\n\nPour un fournisseur de services d'informatique en nuage, l'article 26(1)(b) place la compétence dans l'État membre de l'établissement principal dans l'Union, et l'article 26(2) dit que c'est « l'État membre où les décisions relatives aux mesures de gestion des risques en matière de cybersécurité sont principalement prises », à défaut celui où les opérations de sécurité sont menées, à défaut celui de l'établissement comptant le plus de salariés. Des clients dans d'autres États membres n'y changent rien. Un éditeur SaaS établi hors de l'Union qui y offre le service désigne un représentant dans un État membre où il offre le service et relève de la compétence de cet État (article 26(3)) ; sans représentant, tout État membre où il fournit le service peut agir contre lui.\n\nL'acte de transposition de cet État est celui qui nomme l'autorité compétente, la voie d'enregistrement, le formulaire de notification et les plafonds d'amende. [L'acte que chaque État a communiqué à la Commission, et les États qui n'en ont communiqué aucun, sont sur la page du registre](\u002Fnis2\u002Ftransposition), lus dans les propres archives de la Commission.\n\n## Le registre\n\nL'article 27 fait tenir par l'ENISA un registre, entre autres, des fournisseurs de services d'informatique en nuage, à partir des informations que les entités transmettent à leur autorité compétente : le nom, le secteur et le sous-secteur, l'adresse de l'établissement principal et des autres établissements dans l'Union ou du représentant, les coordonnées, les États membres où le service est fourni, et les plages IP. La date limite de l'article 27(2) était le 17 janvier 2025, et les changements doivent être notifiés dans les trois mois. Un éditeur SaaS de la taille ci-dessus qui ne s'est pas enregistré est en retard, pas exempté ; la page du registre nomme l'acte de l'État, et l'acte nomme le portail.\n\n## Les mesures sont uniformes, et ce sont celles d'ISO 27001\n\nPour les fournisseurs de services d'informatique en nuage, les dix mesures de l'article 21(2) ne sont pas laissées à l'État membre. Le règlement d'exécution (UE) 2024\u002F2690 s'applique à eux directement, son article 1 nommant les fournisseurs de services d'informatique en nuage parmi « les entités concernées », et son annexe fixe les exigences techniques et méthodologiques de chaque mesure en 13 sections, le même texte dans chaque État. Le considérant 3 du règlement dit d'où viennent ces sections : de normes européennes et internationales, dont l'ISO\u002FIEC 27001. [La page de correspondance place chaque section face aux mesures ISO 27001 qui y satisfont](\u002Fnis2\u002Fiso-27001-mapping) et nomme les deux endroits où elle demande plus qu'un SMSI ne donne.\n\n## Incidents : quatre seuils, trois horloges\n\nLe même règlement décide quand l'incident d'un éditeur SaaS est important, et il remplace le jugement par des chiffres. L'article 3(1) s'applique à toute entité concernée : une perte financière directe supérieure à 500 000 EUR ou à 5 % du chiffre d'affaires annuel, le montant le plus faible étant retenu ; l'exfiltration de secrets d'affaires ; la mort ou des dommages considérables à la santé ; un accès non autorisé effectif, suspecté d'être malveillant et susceptible de causer une perturbation opérationnelle grave. L'article 7 en ajoute quatre pour les fournisseurs de services d'informatique en nuage : le service totalement indisponible pendant plus de 30 minutes ; la disponibilité limitée pour plus de 5 % des utilisateurs du service dans l'Union ou plus de 1 million d'entre eux, le plus petit nombre étant retenu, pendant plus d'une heure ; l'intégrité, la confidentialité ou l'authenticité des données stockées, transmises ou traitées compromise par une action suspectée d'être malveillante ; ou compromise avec un impact sur plus de 5 % ou plus de 1 million des utilisateurs dans l'Union, le plus petit nombre étant retenu. La maintenance programmée est exclue (article 3(2)), et les utilisateurs se comptent comme les clients sous contrat plus les personnes physiques et morales associées aux clients professionnels qui utilisent le service (article 3(3)).\n\nUn incident important déclenche les horloges de l'article 23 : une alerte précoce dans les 24 heures de la prise de connaissance, une notification dans les 72 heures, un rapport final dans un délai d'un mois, au CSIRT ou à l'autorité compétente selon ce que prévoit l'acte de l'État. [Les horloges, à côté de celles du CRA, et les seuils cités en entier](\u002Farticles\u002Fnis2-or-cra-which-incident-clock-runs-for-a-software-company-and-what-makes-an-incident-significant) ont leur propre article ; une demi-heure d'indisponibilité totale est un incident à notifier sans autre jugement, ce qui est un fait à mettre sous les yeux de qui gère votre page de statut.\n\n## La ligne vers le CRA\n\nLe Cyber Resilience Act atteint les produits comportant des éléments numériques. Les lignes directrices de la Commission sur le règlement, C(2026) 5252 du 27 juillet 2026, disent au paragraphe 21 qu'un logiciel « qui s'exécute à distance et auquel l'utilisateur se borne à accéder n'est pas, de ce seul fait, un produit comportant des éléments numériques », ce qui est « typiquement le cas des applications web, y compris les applications web progressives, lorsqu'on y accède exclusivement par un navigateur web ». Le service relève de NIS2. L'exception est l'éditeur SaaS qui livre aussi quelque chose d'installé, un client de bureau, une application mobile, un agent, un SDK : c'est un produit, et le nuage derrière est du traitement de données à distance au titre de l'article 3(2) du CRA lorsqu'une fonction du produit échoue sans lui. [Quelle loi atteint quelle partie](\u002Farticles\u002Fcra-or-nis2-which-one-applies-to-a-software-company) et [quelles parties du backend sont dans le CRA](\u002Farticles\u002Fwhich-parts-of-your-backend-are-inside-the-cra-remote-data-processing) sont les deux articles pour cette entreprise ; l'enregistrement d'incident est alors un seul enregistrement avec deux formulaires.\n\n## Que faire ce trimestre\n\nConsignez la détermination, avec les articles : la ligne de l'annexe I, la classe de taille telle que comptée, l'État de l'établissement principal, importante ou essentielle. [L'outil de champ d'application l'écrit à partir de cinq réponses](\u002Fnis2\u002Fscope). Vérifiez l'enregistrement au regard du portail de l'État et des champs de l'article 27, et la date à laquelle il a été fait. Rapprochez ce que le SMSI a déjà des 13 sections du règlement, et comblez les deux lacunes que la correspondance nomme. Mettez les quatre seuils de l'article 7 et la règle de la « prise de connaissance » dans la procédure d'incident, avec qui notifie et où, avant que le premier incident ne la mette à l'épreuve.\n\n## Sources\n\n- Directive (UE) 2022\u002F2555 (NIS2), article 2(1) et (2), article 3(1) et (2), article 6(30), article 21(2), article 23(4), article 26(1) à (3), article 27(1) à (3), annexe I point 8, considérant 33.\n- Règlement d'exécution (UE) 2024\u002F2690 de la Commission, considérant 3, article 1, article 3, article 7, annexe.\n- Règlement (UE) 2024\u002F2847 (CRA), article 3(1) et (2), considérant 12 ; lignes directrices de la Commission C(2026) 5252, paragraphes 20 et 21.\n- Recommandation 2003\u002F361\u002FCE de la Commission, annexe, articles 2 et 3.\n\nCeci n'est pas un avis juridique. L'acte de l'État membre nomme l'autorité, le portail et le formulaire, et peut ajouter des catégories au titre de l'article 2(2)(b) à (e).\n",1789383965301]