Directive (UE) 2022/2555
NIS2, pour un éditeur de logiciels
Depuis le 18 octobre 2024, NIS2 atteint une entreprise par son type d'entité et sa taille, 67 types dans les deux annexes ; la question est lequel vous êtes.
Répondez ci-dessus pour lire la détermination de votre cas ; l'outil complet reprend vos réponses.
Continuer dans la détermination gratuiteLa détermination complète répond à chaque question et conserve la lecture comme document daté pour €29.
En un coup d'œil
Cinq outils, gratuits, sans compte
- Vérification gratuiteVotre entreprise relève-t-elle de NIS2, et est-elle essentielle ou importante ?Cinq questions tirées des articles 2, 3 et 26 face aux 67 types d'entités des annexes I et II, avec pour résultat une détermination écrite, la loi de l'État et ce qui s'applique directement.
- GuideOù vous enregistrer, État par ÉtatL'autorité, la voie et la loi pour chacun des vingt-sept, avec le jour de lecture.
- DélaiLe délai d'incident : 24 heures, 72 heures, un moisLe moment de la connaissance en entrée ; les trois délais de l'article 23, paragraphe 4, le CSIRT de l'État, et l'alerte précoce, la notification et le rapport final rédigés avec les éléments de la directive.
- CorrespondanceNIS2 mis en correspondance avec ISO 27001Les 13 sections de l'annexe du règlement d'exécution face aux mesures ISO 27001 qui y satisfont, et les deux endroits où il demande davantage.
- GuideLe registre de transposition, État par ÉtatChaque mesure nationale communiquée à la Commission, 305 de 25 des 27 États, avec l'acte que chaque État appelle sa loi NIS2 et les États pour lesquels le registre est vide.
- GuideLes États membres, une page chacunCe qui s'applique dans chacun des 27 États, d'après les registres : la loi NIS2, le CSIRT, le coordinateur et l'autorité CRA, l'autorité RGPD, l'organisme d'accréditation, avec les deux outils de champ d'application préremplis pour l'État.
- GuideUn profil fournisseur gratuitPour le fournisseur d'une entreprise soumise à NIS2 : répondre une fois aux questions du client sur les dix mesures, et partager un lien.
- GuideNIS2 pour les petites entreprises : êtes-vous concerné ?En général pas du fait de la taille. Quelques services sont concernés à toute taille, et les clients concernés vous interrogeront de toute façon sur votre sécurité.
Chaque modèle gratuit sur une page
Deux instruments et un registre
La directive, appliquée à partir du
18 octobre 2024
Une directive s'impose par le droit national. 25 des 27 États membres avaient communiqué à la Commission au moins une mesure de transposition au 23 octobre 2026 ; le registre nomme l'acte que chacun appelle sa loi NIS2.
Le règlement d'exécution
13 sections, effet direct
Le règlement d'exécution (UE) 2024/2690 fixe les mesures techniques et les seuils d'incident pour les fournisseurs de services en nuage et les autres fournisseurs numériques, le même texte dans chaque État, sans transposition. Il a été écrit à partir d'ISO 27001.
Le registre, au plus tard le
17 janvier 2025
Les fournisseurs de services d'informatique en nuage, de centres de données, de services gérés, de places de marché, de moteurs de recherche et de réseaux sociaux devaient transmettre leur nom, leurs adresses, les États membres desservis et leurs plages IP à leur autorité compétente pour le registre de l'ENISA, au titre de l'article 27.
L'enregistrement en Autriche, d'après les pages de l'autorité(en anglais)
Enregistrement NIS2, fait en une semaine: 490 €
Champ d'application tranché et chaque champ préparé, en 5 jours ouvrés.
16 articles, à partir des sources primaires
Quelle loi, et ce qu'elle ajoute à ISO 27001
- ArticleNIS2 pour un éditeur SaaS : vous êtes un fournisseur de services d'informatique en nuage, et voici ce qui en découleLe considérant 33 de la directive nomme le logiciel en tant que service parmi les modèles de services en nuage, de sorte qu'un éditeur SaaS de taille moyenne ou plus est une entité de NIS2 en tant que fournisseur de services d'informatique en nuage : importante sous les plafonds des moyennes entreprises, essentielle au-dessus.
- ArticleNIS2 pour les fournisseurs de services gérés et les MSSP : une entité de l'annexe I par définition, et le fournisseur sur lequel tombe la diligence de chaque clientL'article 6(39) fait de quiconque installe, gère, exploite ou entretient des TIC pour des clients, sur place ou à distance, un fournisseur de services gérés, et l'article 6(40) fait de ceux qui aident à la gestion des risques de cybersécurité des MSSP.
- ArticleNIS2 pour les places de marché en ligne, les moteurs de recherche et les réseaux sociaux : les fournisseurs numériques de l'annexe II, et pourquoi ils ne sont jamais essentiels par la tailleTrois définitions empruntées à trois autres actes décident si une plateforme est un fournisseur numérique sous NIS2 : une place de marché où des consommateurs concluent des contrats à distance, un moteur de recherche qui explore en principe tous les sites, une plateforme où des utilisateurs finaux se connectent et partagent.
- ArticleEssentielle ou importante sous NIS2 : la règle de taille, les règles sans condition de taille et les sept manières d'être essentielleQue NIS2 atteigne une entreprise, c'est l'article 2 ; qu'elle soit essentielle ou importante, c'est l'article 3 ; et la différence, c'est une supervision ex ante, un plafond d'amende plus élevé et une lecture plus stricte de tout le reste.
- ArticleL'enregistrement NIS2 : les deux listes sur lesquelles vous pouvez figurer, ce que vous communiquez, pour quand et à qui (article 3(4) et article 27)NIS2 prévoit deux enregistrements, pas un.
- ArticleLes dix mesures de l'article 21(2) de NIS2 en liste de contrôle : chaque point cité, les sections du règlement derrière, et les mesures ISO 27001 qui les produisent déjàL'article 21(2) dresse dix mesures que toute entité essentielle et importante doit prendre, des politiques d'analyse des risques à l'authentification à plusieurs facteurs.
- ArticleL'article 20 de NIS2 pour la direction : ce que l'organe de direction doit approuver, superviser et apprendre, les douze endroits où le règlement d'exécution le nomme, et ce que signifie la responsabilitéL'article 20 de NIS2 impose à l'organe de direction d'une entité essentielle ou importante d'approuver les mesures de gestion des risques en matière de cybersécurité, d'en superviser la mise en œuvre, de pouvoir être tenu responsable des violations de l'article 21 par l'entité, et de suivre une formation.
- ArticleISO 27001 vs NIS2 : ce que le certificat couvre et ce qu'il ne couvre pasNIS2 est une loi et l'ISO 27001 une norme certifiable, elles ne sont donc pas des alternatives.
- ArticleCRA ou NIS2 : lequel s'applique à une société de logiciels, et peut-on être sous les deux ?Le règlement sur la cyberrésilience régit les produits mis sur le marché ; NIS2 régit les entités qui fournissent des services.
- ArticleLa transposition de NIS2, État par État : ce que montre le registre de la Commission elle-mêmePas le tableau de suivi d'un cabinet : les mesures nationales que les États membres ont communiquées à la Commission comme transposant la directive (UE) 2022/2555, lues auprès de l'Office des publications le 12 septembre 2026. 25 des 27 États en ont communiqué au moins une, 303 mesures en tout ; l'Espagne et l'Irlande aucune ; la France 15 textes, dont aucun ne mentionne NIS2.
Notification
- ArticleNIS2 ou CRA : quelle horloge d'incident court pour un éditeur de logiciels, et ce qui rend un incident « important »Les deux textes vous donnent 24 heures, 72 heures et un mois, et les deux font partir l'horloge du moment où vous « avez connaissance ».
- ArticleLe délai d'incident NIS2 pour une entreprise de logiciels : l'alerte précoce à 24 heures, la notification à 72 heures, le rapport final à un mois, ce qui rend un incident important pour un fournisseur cloud, et une page qui rédige les trois rapportsL'article 23, paragraphe 4, de NIS2 fait courir trois délais à partir du moment où une entité essentielle ou importante a connaissance d'un incident important : une alerte précoce dans les 24 heures, une notification d'incident dans les 72, et un rapport final dans le mois qui suit cette notification, avec un rapport intermédiaire sur demande et un rapport d'avancement lorsque l'incident est encore en cours.
- ArticleÀ quel CSIRT notifier au titre du CRA ? Au coordinateur de votre établissement principal, les 27 nommésL'article 14 adresse la notification au CSIRT désigné comme coordinateur par l'État membre de votre établissement principal ; l'ENISA a publié les 27 le 10 septembre 2026.
Ce que les acheteurs demandent
- ArticleQuels pays de l'UE citent l'ISO 27001 dans leurs marchés publics : 1 548 avis allemands, 829 polonais, et la Grèce a la part la plus élevéeSur 365 jours, l'ISO 27001 apparaît dans 3 415 avis TED.
- ArticleISO 27001 vs SOC 2 en Europe : ce que les acheteurs demandent vraimentPour vendre en Europe, visez l'ISO 27001 : les appels d'offres publics de l'UE l'ont citée 3 405 fois en un an, contre 104 pour SOC 2, et elle a mené chacun des douze mois derrière ce chiffre.
- ArticleDORA pour un éditeur de logiciels : les clauses contractuelles de l'article 30 que votre client bancaire enverra, le registre d'informations où vous figurerez, et ce qu'ISO 27001 répond déjàDepuis le 17 janvier 2025, chaque banque, assureur, entreprise d'investissement et établissement de paiement de l'Union gère ses éditeurs de logiciels au titre du règlement (UE) 2022/2554, DORA.
Ce qu'il vous demande
34 exigences en 5 groupes
Obligations
5- 20(1) La direction approuve et supervise les mesures de sécurité
- 20(2) Formez la direction, proposez la même formation au personnel
- 21(1) Prenez des mesures proportionnées aux risques de vos systèmes
et 2 de plus
Devoirs
10- 21(4) Corrigez sans délai toute mesure non conforme
- 23(1) Notifiez les incidents importants au CSIRT ou à l'autorité
- 23(2) Informez les destinataires des cybermenaces importantes
et 7 de plus
Mesures
10- 21(2)(a) Ayez une analyse des risques et une politique sécurité
- 21(2)(b) Traitez les incidents selon une procédure écrite
- 21(2)(c) Tenez sauvegardes, plan de reprise et gestion de crise
et 7 de plus
Clauses
1- 23(3) Jugez un incident important selon perturbation, perte ou préjudice
Échéances
8- 23(4)(a) Envoyez l'alerte précoce sous 24 heures
- 23(4)(b) Envoyez la notification d'incident sous 72 heures
- 23(4)(d) Envoyez le rapport final un mois après la notification
et 5 de plus
Onze des treize sections de l'article 21 sont un système ISO 27001 ; les deux autres sont des enregistrements
StandardOS tient les enregistrements ISO 27001 qui répondent à onze des treize sections du règlement d'exécution, l'enregistrement d'incident d'où partent les horloges de l'article 23, et les preuves qu'une autorité de supervision ou un auditeur demande, dans un seul espace de travail, en six langues.
Les dates sont lues dans les articles 27 et 41 de la directive et jamais saisies sur cette page. Ceci n'est pas un avis juridique, et la directive est le texte à lire : Directive (UE) 2022/2555.
Voir aussi:Un logiciel NIS2 pour les consultantsArticlesOutils gratuitsJeux de données ouverts