Le compte à rebours a commencé ! Les entreprises doivent s'attendre à l'entrée en vigueur prochaine de la directive NIS 2. Les dispositions de l'UE devraient être transposées dans la législation nationale des États membres au plus tard le 18 octobre 2024. Une chose est d’ores et déjà certaine : les obligations relatives à la mise en œuvre de mesures de cybersécurité et à la notification des cyberattaques seront étendues à un nombre nettement plus important d’entreprises dans différents secteurs.
Près de 30 000 entreprises doivent prendre des mesures supplémentaires
Rien qu'en Allemagne, le ministère fédéral de l'Intérieur, chargé de ce dossier, estime à environ 29 500 le nombre d'entreprises qui seront tenues de mettre en œuvre des mesures de cybersécurité. Jusqu'à présent, ces mesures se limitaient aux exploitants d'infrastructures critiques, aux fournisseurs de services numériques et aux entreprises d'intérêt public particulier.
Cette extension significative s'explique par l'introduction des catégories “ entités importantes ” (important entities) et “ entités essentielles ” (essential entities) dans la loi relative à la transposition de la directive NIS 2 et au renforcement de la cybersécurité (NIS2UmsuCG). Cette loi n’a toutefois pas encore été promulguée.
Pour les entreprises du secteur privé, il s'agit d'une transposition à l'identique de la directive NIS 2. Cela signifie que la loi NIS2UmsuCG ne va pas au-delà des exigences du droit européen.
Selon l'Office fédéral de la sécurité, l'évaluation d'impact de la directive NIS 2 constitue l'outil essentiel permettant de déterminer si une entreprise est susceptible d'être concernée par la mise en œuvre nationale de la directive NIS 2 en Allemagne.
Établissements particulièrement importants et établissements importants
Un premier examen du projet de loi permet déjà de déterminer quelles entreprises seront soumises à la réglementation NIS-2. L'identification des entreprises concernées en tant qu„” entités d'importance particulière „ ou ” entités importantes » se fera probablement sur la base d'indicateurs et de seuils liés au chiffre d'affaires annuel ou au nombre d'employés.
Conformément à l'article 28, paragraphe 1, de la loi NIS2UmsuCG, sont considérées comme des installations particulièrement importantes :
- les exploitants d'installations critiques,
- les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau ou les prestataires de services DNS,
- Les fournisseurs de services de télécommunications accessibles au public ou les opérateurs de réseaux de télécommunications publics qui emploient au moins 50 salariés ou dont le chiffre d'affaires annuel et le total du bilan annuel dépassent chacun 10 millions d'euros,
- autres personnes physiques ou morales, ou entités organisationnelles sans personnalité juridique relevant d'une collectivité territoriale, qui proposent à titre onéreux des biens ou des services à d'autres personnes physiques ou morales, qui relèvent de l’un des types d’établissements définis à l’annexe 1 et qui emploient au moins 250 salariés ou réalisent un chiffre d’affaires annuel supérieur à 50 millions d’euros et présentent en outre un total du bilan annuel supérieur à 43 millions d’euros.
Conformément à l'article 28, paragraphe 2, de la loi NIS2UmsuCG, sont considérées comme des entités importantes
- Fournisseurs de services de confiance,
- Les fournisseurs de services de télécommunications accessibles au public ou les opérateurs de réseaux publics de télécommunications qui emploient moins de 50 salariés et dont le chiffre d'affaires annuel et le total du bilan annuel ne dépassent pas 10 millions d'euros chacun,
- les personnes physiques ou morales, ou les entités organisationnelles sans personnalité juridique d'une collectivité territoriale, qui proposent à d'autres personnes physiques ou morales, à titre onéreux, des biens ou des services relevant de l'un des types d'établissements définis dans les annexes 1 et 2, et qui emploient au moins 50 salariés ou dont le chiffre d'affaires annuel et le total du bilan annuel dépassent chacun 10 millions d'euros.
Conseil de lecture : Le règlement sur les bannières de cookies a été adopté : Ce qui est nouveau !
Classement des entreprises selon certains types d'établissements
L'article 28, paragraphe 1, point 4, et l'article 28, paragraphe 2, point 3, de la loi NIS2UmsuCG font en outre référence au classement dans certaines catégories d'établissements.
Parmi les infrastructures particulièrement importantes („ essentielles “) figurent les entreprises qui jouent un rôle crucial pour la collectivité. Leur défaillance aurait des conséquences graves. La directive NIS-2 cite concrètement onze secteurs :
- Énergie (électricité, chauffage urbain, pétrole, gaz naturel, hydrogène)
- Transports (transport aérien, transport ferroviaire, transport maritime, transport routier)
- Secteur bancaire
- Marchés financiers
- Santé (y compris les prestataires de soins de santé, la recherche médicale, l'industrie pharmaceutique, les dispositifs médicaux)
- Eau potable (approvisionnement en eau)
- Eaux usées (évacuation des eaux usées)
- Administrations publiques
- Infrastructure numérique (nœuds Internet, Cloud Fournisseurs d'accès, centres de données, communication électronique)
- Gestion des services TIC (B2B) (Fournisseurs de services gérés, Fournisseurs de services de sécurité gérés)
- Espace
Les sept secteurs suivants font partie des établissements „ importants “ :
- Services postaux et de courrier
- Déchets
- Alimentation
- Produits chimiques
- Services numériques (moteurs de recherche, places de marché en ligne, Cloud-Services, réseaux sociaux Réseaux),
- Industrie (notamment la construction mécanique, la construction automobile et les équipements informatiques)
- Recherche
Si la taille de l'entreprise et le type d'établissement coïncident, la directive NIS 2 s'applique. Si une entreprise exerce une activité critique et qu'une défaillance de cette activité risque d'avoir des répercussions sur l'ordre public, elle peut également relever de la directive NIS 2 même si elle n'atteint pas le seuil de taille requis.
Obligation de déclaration pour les entreprises soumises à la directive NIS 2
L'objectif de la directive NIS 2 est de mettre en place des mesures contraignantes à l'intention des administrations et des entreprises, afin de garantir un niveau élevé et commun de cybersécurité dans l'ensemble de l'Union européenne. Les entités importantes et d'importance critique doivent être protégées contre les dommages causés par les cyberattaques, et le fonctionnement du marché unique européen doit être amélioré. Comme le montre la liste ci-dessus, cela s'accompagne d'un élargissement significatif du champ d'application.
Pour certaines des entreprises concernées, il est prévu une obligation de justifier Sécurité informatique Il faut s'y attendre. Les entreprises soumises à la directive NIS 2 seront également tenues de signaler les incidents de sécurité informatique à l'Office fédéral de la sécurité.
German 
English 
Italian 
French