NIS2 : toutes les pages et tous les articles
Directive (UE) 2022/2555 · article 2, article 3, article 26
Votre entreprise relève-t-elle de NIS2, et est-elle essentielle ou importante ? Cinq questions, chacune avec l'article dont elle vient, et les annexes telles que la directive les dresse dans votre langue. Le résultat est une détermination écrite que vous pouvez classer : si vous êtes une entité de la directive, de quel type, la loi de quel État membre et quel acte, ce qui s'applique à vous directement, et par où commencer. Rien de ce que vous saisissez ne quitte cette page.
Entreprise (facultatif, pour le titre du document) De quel type d'entité de l'annexe I ou II êtes-vous ? La directive dresse des types d'entités par secteur ; une entreprise entre dans le champ en étant l'une d'elles, pas en étant le fournisseur de l'une d'elles. Choisissez la ligne qui décrit ce que vous fournissez. Un éditeur qui exploite son produit en tant que service est en général un fournisseur de services d'informatique en nuage ; celui qui exploite les systèmes de ses clients, un fournisseur de services gérés.
De quel type d'entité de l'annexe I ou II êtes-vous ? Choisir un type d'entité Aucun de ceux-ci ne nous décrit Électricité: Entreprises d’électricité au sens de l’article 2, point 57), de la directive (UE) 2019/944 du Parlement européen et du Conseil, qui remplissent la fonction de «fourniture» au sens de l’article 2, point 12), de ladite directive Électricité: Gestionnaires de réseau de distribution au sens de l’article 2, point 29), de la directive (UE) 2019/944 Électricité: Gestionnaires de réseau de transport au sens de l’article 2, point 35), de la directive (UE) 2019/944 Électricité: Producteurs au sens de l’article 2, point 38), de la directive (UE) 2019/944 Électricité: Opérateurs désignés du marché de l’électricité au sens de l’article 2, point 8), du règlement (UE) 2019/943 du Parlement européen et du Conseil Électricité: Acteurs du marché au sens de l’article 2, point 25), du règlement (UE) 2019/943 fournissant des services d’agrégation, de participation active de la demande ou de stockage d’énergie au sens de l’article 2, points 18), 20) et 59), de la directive (UE) 2019/944 Électricité: Exploitants d’un point de recharge qui sont responsables de la gestion et de l’exploitation d’un point de recharge, lequel fournit un service de recharge aux utilisateurs finals, y compris au nom et pour le compte d’un prestataire de services de mobilité Réseaux de chaleur et de froid: Opérateurs de réseaux de chaleur ou de réseaux de froid au sens de l’article 2, point 19), de la directive (UE) 2018/2001 du Parlement européen et du Conseil Pétrole: Exploitants d’oléoducs Pétrole: Exploitants d’installations de production, de raffinage, de traitement, de stockage et de transport de pétrole Pétrole: Entités centrales de stockage au sens de l’article 2, point f), de la directive 2009/119/CE du Conseil Gaz: Entreprises de fourniture au sens de l’article 2, point 8, de la directive 2009/73/CE du Parlement européen et du Conseil Gaz: Gestionnaires de réseau de distribution au sens de l’article 2, point 6, de la directive 2009/73/CE Gaz: Gestionnaires de réseau de transport au sens de l’article 2, point 4, de la directive 2009/73/CE Gaz: Gestionnaires d’installation de stockage au sens de l’article 2, point 10, de la directive 2009/73/CE Gaz: Gestionnaires d’installation de GNL au sens de l’article 2, point 12, de la directive 2009/73/CE Gaz: Entreprises de gaz naturel au sens de l’article 2, point 1, de la directive 2009/73/CE Gaz: Exploitants d’installations de raffinage et de traitement de gaz naturel Hydrogène: Exploitants de systèmes de production, de stockage et de transport d’hydrogène Transports aériens: Transporteurs aériens au sens de l’article 3, point 4), du règlement (CE) nº 300/2008 utilisés à des fins commerciales Transports aériens: Entités gestionnaires d’aéroports au sens de l’article 2, point 2), de la directive 2009/12/CE du Parlement européen et du Conseil, aéroports au sens de l’article 2, point 1), de ladite directive, y compris les aéroports du réseau central énumérés à l’annexe II, section 2, du règlement (UE) nº 1315/2013 du Parlement européen et du Conseil, et entités exploitant les installations annexes se trouvant dans les aéroports Transports aériens: Services du contrôle de la circulation aérienne au sens de l’article 2, point 1), du règlement (CE) nº 549/2004 du Parlement européen et du Conseil Transports ferroviaires: Gestionnaires de l’infrastructure au sens de l’article 3, point 2), de la directive 2012/34/UE du Parlement européen et du Conseil Transports ferroviaires: Entreprises ferroviaires au sens de l’article 3, point 1), de la directive 2012/34/UE, y compris les exploitants d’installation de service au sens de l’article 3, point 12), de ladite directive Transports par eau: Sociétés de transport par voie d’eau intérieure, maritime et côtier de passagers et de fret, telles qu’elles sont définies pour le domaine du transport maritime à l’annexe I du règlement (CE) nº 725/2004 du Parlement européen et du Conseil, à l’exclusion des navires exploités à titre individuel par ces sociétés Transports par eau: Entités gestionnaires des ports au sens de l’article 3, point 1), de la directive 2005/65/CE du Parlement européen et du Conseil, y compris les installations portuaires au sens de l’article 2, point 11), du règlement (CE) nº 725/2004, ainsi que les entités exploitant des infrastructures et des équipements à l’intérieur des ports Transports par eau: Exploitants de services de trafic maritime (STM) au sens de l’article 3, point o), de la directive 2002/59/CE du Parlement européen et du Conseil Transports routiers: Autorités routières au sens de l’article 2, point 12), du règlement délégué (UE) 2015/962 de la Commission chargées du contrôle de la gestion de la circulation, à l’exclusion des entités publiques pour lesquelles la gestion de la circulation ou l’exploitation de systèmes de transport intelligents constituent une partie non essentielle de leur activité générale Transports routiers: Exploitants de systèmes de transport intelligents au sens de l’article 4, point 1), de la directive 2010/40/UE du Parlement européen et du Conseil Établissements de crédit au sens de l’article 4, point 1), du règlement (UE) nº 575/2013 du Parlement européen et du Conseil Exploitants de plates-formes de négociation au sens de l’article 4, point 24), de la directive 2014/65/UE du Parlement européen et du Conseil Contreparties centrales au sens de l’article 2, point 1), du règlement (UE) nº 648/2012 du Parlement européen et du Conseil Prestataires de soins de santé au sens de l’article 3, point g), de la directive 2011/24/UE du Parlement européen et du Conseil Laboratoires de référence de l’Union européenne visés à l’article 15 du règlement (UE) 2022/2371 du Parlement européen et du Conseil Entités exerçant des activités de recherche et de développement dans le domaine des médicaments au sens de l’article 1 er, point 2, de la directive 2001/83/CE du Parlement européen et du Conseil Entités fabriquant des produits pharmaceutiques de base et des préparations pharmaceutiques au sens de la NACE Rév. 2, section C, division 21 Entités fabriquant des dispositifs médicaux considérés comme critiques en cas d’urgence de santé publique (liste des dispositifs médicaux critiques en cas d’urgence de santé publique) au sens de l’article 22 du règlement (UE) 2022/123 du Parlement européen et du Conseil Fournisseurs et distributeurs d’eaux destinées à la consommation humaine au sens de l’article 2, point 1) a), de la directive (UE) 2020/2184 du Parlement européen et du Conseil, à l’exclusion des distributeurs pour lesquels la distribution d’eaux destinées à la consommation humaine constitue une partie non essentielle de leur activité générale de distribution d’autres produits et biens Entreprises collectant, évacuant ou traitant les eaux urbaines résiduaires, les eaux ménagères usées ou les eaux industrielles usées au sens de l’article 2, points 1), 2) et 3), de la directive 91/271/CEE du Conseil, à l’exclusion des entreprises pour lesquelles la collecte, l’évacuation ou le traitement des eaux urbaines résiduaires, des eaux ménagères usées ou des eaux industrielles usées constituent une partie non essentielle de leur activité générale Fournisseurs de points d’échange internet Fournisseurs de services DNS, à l’exclusion des opérateurs de serveurs racines de noms de domaine Registres de noms de domaine de premier niveau Fournisseurs de services d’informatique en nuage Fournisseurs de services de centres de données Fournisseurs de réseaux de diffusion de contenu Prestataires de services de confiance Fournisseurs de réseaux de communications électroniques publics Fournisseurs de services de communications électroniques accessibles au public Fournisseurs de services gérés Fournisseurs de services de sécurité gérés Entités de l’administration publique des pouvoirs publics centraux définies comme telles par un État membre conformément au droit national Entités de l’administration publique au niveau régional définies comme telles par un État membre conformément au droit national Exploitants d’infrastructures terrestres, détenues, gérées et exploitées par des États membres ou par des parties privées, qui soutiennent la fourniture de services spatiaux, à l’exclusion des fournisseurs de réseaux de communications électroniques publics Prestataires de services postaux au sens de l’article 2, point 1 bis), de la directive 97/67/CE, y compris les prestataires de services d’expédition Entreprises exécutant des opérations de gestion des déchets au sens de l’article 3, point 9), de la directive 2008/98/CE du Parlement européen et du Conseil, à l’exclusion des entreprises pour lesquelles la gestion des déchets n’est pas la principale activité économique Entreprises procédant à la fabrication de substances et à la distribution de substances ou de mélanges au sens de l’article 3, points 9 et 14, du règlement (CE) nº 1907/2006 du Parlement européen et du Conseil et entreprises procédant à la production d’articles au sens de l’article 3, point 3), dudit règlement, à partir de substances ou de mélanges Entreprises du secteur alimentaire au sens de l’article 3, point 2), du règlement (CE) nº 178/2002 du Parlement européen et du Conseil qui exercent des activités de distribution en gros ainsi que de production et de transformation industrielles Fabrication de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro: Entités fabriquant des dispositifs médicaux au sens de l’article 2, point 1), du règlement (UE) 2017/745 du Parlement européen et du Conseil et entités fabriquant des dispositifs médicaux de diagnostic in vitro au sens de l’article 2, point 2), du règlement (UE) 2017/746 du Parlement européen et du Conseil, à l’exception des entités fabriquant des dispositifs médicaux mentionnés à l’annexe I, point 5, cinquième tiret, de la présente directive Fabrication de produits informatiques, électroniques et optiques: Entreprises exerçant l’une des activités économiques visées dans la NACE Rév. 2, section C, division 26 Fabrication d’équipements électriques: Entreprises exerçant l’une des activités économiques visées dans la NACE Rév. 2, section C, division 27 Fabrication de machines et équipements n.c.a.: Entreprises exerçant l’une des activités économiques visées dans la NACE Rév. 2, section C, division 28 Construction de véhicules automobiles, remorques et semi-remorques: Entreprises exerçant l’une des activités économiques visées dans la NACE Rév. 2, section C, division 29 Fabrication d’autres matériels de transport: Entreprises exerçant l’une des activités économiques visées dans la NACE Rév. 2, section C, division 30 Fournisseurs de places de marché en ligne Fournisseurs de moteurs de recherche en ligne Fournisseurs de plateformes de services de réseaux sociaux Organismes de recherche Quelle est la taille de l'entreprise ? Tailles au sens de l'annexe de la recommandation 2003/361/CE, comptées pour l'entreprise avec ses entreprises partenaires et liées. L'article 2(1) de la directive vise les entreprises moyennes et au-delà.
Micro ou petite : moins de 50 salariés et un chiffre d'affaires ou un bilan de 10 millions d'EUR au plus Moyenne : au moins 50 et moins de 250 salariés, ou plus de 10 millions d'EUR à la fois de chiffre d'affaires et de bilan, et au plus 50 millions d'EUR de chiffre d'affaires ou 43 millions d'EUR de bilan Grande : 250 salariés ou plus, ou plus de 50 millions d'EUR de chiffre d'affaires et plus de 43 millions d'EUR de bilan
L'une des règles sans condition de taille s'applique-t-elle ? L'article 2(2) à (4) fait entrer certaines entités quelle que soit leur taille. Les quatre premières se décident par ce que vous fournissez ; les deux suivantes supposent un acte de votre État membre, qui vous l'aura notifié ; la dernière est un statut au titre de la directive sur les entités critiques.
Aucune de celles-ci Nous fournissons un réseau public de communications électroniques ou un service de communications électroniques accessible au public (article 2(2)(a)(i)) Nous sommes un prestataire de services de confiance au sens du règlement (UE) nº 910/2014 (article 2(2)(a)(ii)) Nous sommes un registre de noms de domaine de premier niveau ou un fournisseur de services DNS (article 2(2)(a)(iii)) Nous fournissons des services d'enregistrement de noms de domaine (article 2(4)) Notre État membre nous a identifiés comme seul fournisseur d'un service essentiel au maintien d'activités sociétales ou économiques critiques (article 2(2)(b)) Notre État membre nous a identifiés au titre de l'article 2(2)(c) à (e) : une perturbation de notre service aurait un impact important sur la sécurité, la sûreté ou la santé publiques, ou induirait un risque systémique, ou nous sommes critiques pour notre secteur au niveau national ou régional Nous sommes identifiés comme entité critique au titre de la directive (UE) 2022/2557 (article 2(3))
Où l'entreprise est-elle établie ? L'article 26 donne à chaque entité un État membre. Pour les fournisseurs de services en nuage, de centres de données, de réseaux de diffusion de contenu, de services gérés, de services de sécurité gérés, de places de marché, de moteurs de recherche et de réseaux sociaux, c'est l'établissement principal dans l'Union, le lieu où les décisions de cybersécurité sont principalement prises ; un fournisseur non établi dans l'Union désigne un représentant dans un État où il offre ses services (article 26(3)).
Dans un État membre (pour les fournisseurs numériques ci-dessus : notre établissement principal dans l'Union) Hors de l'Union, avec un représentant désigné dans un État membre Hors de l'Union, sans représentant désigné
La détermination Répondez aux trois premières questions et la détermination s'écrit ici.
Essentielle ou importante : les règles, lues dans l'ordre Le registre de transposition, État par État NIS2 mis en correspondance avec ISO 27001 Les horloges de l'article 23 à côté de celles du CRA