Mesures techniques NIS2: ce qu'exige l'article 21(2)

À qui cela s'applique

Onze types de fournisseurs numériques, du DNS et du nuage aux places de marché et aux services de confiance.

Les dates

En vigueur depuis le 7 novembre 2024, sans transition.

La seule chose à faire

Vérifiez d'abord votre type d'entité. S'il figure parmi les onze, l'annexe s'applique intégralement et chaque section indique la ligne de l'article 21, paragraphe 2, qu'elle traite.

Les treize sections, et le point de l'article 21, paragraphe 2, que chacune traite

La correspondance est celle du règlement lui-même: chaque intitulé de section nomme le point de l'article 21, paragraphe 2, qu'il met en œuvre. Deux en nomment plusieurs, donc une section peut traiter deux ou trois de vos lignes NIS2 à la fois.

Ce que cela a remplacé

Commission Implementing Regulation (EU) 2018/151, repealed by Article 15. Quiconque travaille encore avec les anciennes règles sur les fournisseurs de services numériques travaille avec un acte abrogé.

Chaque exigence ci-dessus est citée du Journal officiel, dans votre langue, par le catalogue que lit cette page. Lu le 17 octobre 2026. Le texte néerlandais porte sa rectification: Corrigendum R(03), OJ L, 2026/90675 of 7 August 2026, to point 9.2(c)(viii) of the Annex, in Dutch. EUR-Lex

Questions fréquentes

Cela s'applique-t-il à toute entité NIS2?

Non, et c'est ce qui se comprend le plus facilement de travers. L'article 1er nomme 11 types et les appelle les entités concernées. Un hôpital, une banque ou un opérateur énergétique est essentiel ou important au sens de NIS2 et entièrement hors de cette annexe. L'article 21, paragraphe 2, continue de les lier selon ses propres termes; ce règlement ajoute le détail pour les 11 qu'il nomme.

En quoi est-ce différent de NIS2 elle-même?

NIS2 énumère dix intitulés et dit que les mesures doivent être appropriées et proportionnées, ce dont personne ne peut rien faire. Ce règlement dit lesquelles: 161 exigences numérotées en treize sections, chacune nommant le point de l'article 21, paragraphe 2, qu'elle met en œuvre.

La taille de l'entreprise change-t-elle ce que nous devons?

Pas le si, seulement le comment. L'article 2, paragraphe 1, applique l'annexe aux entités concernées sans seuil de taille propre. L'article 2, paragraphe 2, demande ensuite de tenir compte de votre exposition au risque, de votre taille et de la probabilité d'incidents lors de la mise en œuvre. La taille façonne la mesure, elle ne l'excuse pas.

Un petit incident est-il jamais à notifier?

Collectivement oui, et c'est le piège. L'article 4 compte comme un seul incident important des incidents qui, individuellement, ne le sont pas. Trois conditions, toutes requises: au moins deux fois en six mois, la même cause première apparente, et ensemble le critère de perte financière de l'article 3, paragraphe 1, point a).

Que sont devenues les anciennes règles?

Commission Implementing Regulation (EU) 2018/151, repealed by Article 15. C'était le règlement sur les exigences de sécurité et la notification des incidents pour les fournisseurs de services numériques sous la première directive SRI, et quiconque s'en sert encore se sert d'un acte abrogé.

Voir aussi:NIS2Outils gratuits