Sous NIS2, "important" n'est pas un niveau de sécurité allégé

Un exercice de cadrage NIS2 peut se conclure par un moment de soulagement. L'équipe parcourt son secteur selon les annexes I et II, vérifie son effectif et son chiffre d'affaires par rapport aux seuils de taille, et conclut qu'elle est une entité « importante » plutôt qu'une entité « essentielle ». La nouvelle remonte comme une bonne nouvelle : nous sommes dans le niveau allégé, donc le programme de sécurité peut être adapté en conséquence. La liste des contrôles est réduite, le processus d'incident est mis de côté pour une phase ultérieure, et la direction apprend que NIS2 s'applique en douceur.

Cette interprétation du terme « important » est une erreur. Les niveaux essentiel et important ne constituent pas une version lourde et une version légère de la même obligation de sécurité. Ce sont deux régimes de supervision et d'application attachés à la même obligation. Le niveau dans lequel une équipe se situe modifie la manière dont elle sera contrôlée, les outils supplémentaires d'application dont l'autorité peut se doter, et le seuil minimal des amendes nationales maximales. Il ne modifie pas les mesures de sécurité qu'elle doit mettre en place.

Les obligations qui ne changent pas avec le niveau

Les obligations substantielles de NIS2 sont rédigées pour les deux niveaux en même temps. L'article 21(1) de la Directive (UE) 2022/2555 (adoptée le 14 décembre 2022) exige des États membres qu'ils veillent à ce que les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité des réseaux et des systèmes d'information qu'elles utilisent pour leurs opérations ou pour la fourniture de leurs services, et pour prévenir ou minimiser l'impact des incidents sur les bénéficiaires de leurs services et sur d'autres services. La liste minimale qui suit à l'article 21(2), allant de l'analyse des risques et de la gestion des incidents à la sécurité de la chaîne d'approvisionnement, au contrôle d'accès et à l'utilisation du chiffrement, est une liste unique. Il n'existe pas d'annexe plus courte de mesures pour les entités importantes et pas d'annexe plus longue pour les entités essentielles.

L'obligation de notification est rédigée de la même manière. L'article 23 exige des entités essentielles et importantes qu'elles notifient les incidents significatifs au CSIRT ou à l'autorité compétente : un avertissement précoce dans les 24 heures suivant la prise de conscience de l'incident et une notification d'incident dans les 72 heures. Pour les prestataires de services de confiance, ce deuxième délai est de 24 heures lorsque l'incident significatif affecte la fourniture de leurs services de confiance. Un rapport final doit être transmis dans le mois suivant la notification de l'incident ; si l'incident est toujours en cours à ce moment-là, un rapport d'avancement est requis, suivi d'un rapport final dans le mois suivant la résolution de l'incident. Le délai ne ralentit pas pour le niveau important. Une entité importante qui considère que sa préparation à la notification des incidents est facultative a mal lu le même article auquel une entité essentielle est tenue de se conformer.

Ainsi, la première correction est factuelle. Si l'exercice de cadrage conclut « important, donc moins de contrôles », il a inventé une distinction que la directive ne prévoit pas. L'article 21 est la source de l'obligation, et l'article 21 ne connaît pas le niveau dans lequel vous vous situez.

L'étiquette n'est même pas un indicateur du travail à fournir

Il existe une deuxième erreur, plus discrète, sous-jacente à la première : l'hypothèse selon laquelle « important » correspond à « plus petit », de sorte qu'un programme allégé serait proportionné de toute façon. La classification ne fonctionne pas de cette manière. Selon l'article 3, les entités essentielles sont, en gros, des entités d'un type figurant à l'annexe I (les secteurs à haute criticité, tels que l'énergie, les transports, la banque, la santé et les infrastructures numériques) qui dépassent les plafonds pour les moyennes entreprises dans la Recommandation 2003/361/CE de la Commission du 6 mai 2003, ainsi que des types spécifiques qui sont essentiels indépendamment de leur taille. Les prestataires qualifiés de services de confiance, les registres de noms de TLD et les prestataires de services DNS sont essentiels quelle que soit leur taille. Les entités importantes sont, par défaut, l'ensemble résiduel de l'article 3(2) : des entités d'un type visé à l'annexe I ou II qui ne remplissent pas les conditions pour être considérées comme essentielles. Lu en combinaison avec l'article 2, cet ensemble résiduel ne comprend pas toutes les entités de l'annexe I ou II qui ne sont pas essentielles. La règle générale couvre les entités de taille moyenne et grande ; les petites entités ne sont concernées que par des voies spécifiques indépendantes de la taille. Les États membres peuvent également identifier des entités comme importantes en vertu de l'article 2(2)(b) à (e), et une grande entité de l'annexe II peut être désignée comme essentielle en vertu de l'article 3(1)(e) ou devenir essentielle par le biais de l'identification d'entités critiques en vertu de l'article 3(1)(f).

En suivant ce raisonnement, l'étiquette se détache de la taille. Une grande multinationale opérant dans un secteur spécifié de l'annexe II, par exemple la production industrielle de denrées alimentaires ou de produits chimiques, ou un prestataire numérique comme une place de marché en ligne, peut être une entité « importante » même avec des dizaines de milliers d'employés, car la taille seule ne fait pas passer un secteur de l'annexe II au niveau essentiel. En revanche, un petit prestataire DNS est essentiel quelle que soit sa taille. Les mesures proportionnées pour ce grand fabricant important ne sont pas modestes, car la proportionnalité dans l'article 21(1) est déterminée par l'exposition aux risques de l'entité, sa taille, la probabilité et la gravité des incidents, et l'état de l'art, et non par son niveau. On ne peut pas déduire son niveau de travail à partir du mot « important ». Une entreprise qui le fait risque de sous-dimensionner ses mesures. Cette dernière phrase relève du jugement du praticien, et non d'une statistique.

Ce que le niveau change réellement

Le niveau fait trois choses qui méritent d'être nommées car elles sont réelles.

Premièrement, il définit la posture de supervision. L'article 32, qui régit les entités essentielles, donne aux autorités compétentes un ensemble d'outils proactifs : des audits de sécurité réguliers et ciblés, des inspections sur site, une supervision hors site incluant des contrôles aléatoires, et des analyses de sécurité. Une entité essentielle peut être auditée parce qu'il est temps de le faire, sans qu'un incident soit nécessaire. Les audits ciblés peuvent être payés par l'entité et peuvent donner lieu à des mesures d'application ; ils ne constituent pas un exercice gratuit. L'article 33, qui régit les entités importantes, est rédigé autour d'un déclencheur réactif. Ses mesures de supervision et d'application s'appliquent « lorsqu'elles reçoivent des éléments, des indications ou des informations indiquant qu'une entité importante n'est apparemment pas conforme ». L'article 33 précise qu'il s'agit d'une supervision ex post. Les informations issues d'un incident ou de sa notification en vertu de l'article 23 peuvent fournir ce déclencheur si elles indiquent une possible non-conformité. Une plainte, un rapport médiatique ou des informations provenant d'une autre autorité peuvent également le faire. Un incident n'est pas, en soi, une preuve de non-conformité.

Deuxièmement, il définit des outils d'application supplémentaires pour les entités essentielles. L'article 32(5) permet à l'autorité, en dernier recours, de suspendre une certification ou une autorisation concernant les parties pertinentes du service, ou de demander qu'une personne physique occupant des responsabilités managériales au niveau du directeur général ou du représentant légal soit temporairement interdite d'exercer ces fonctions. Ces outils sont prévus pour les entités essentielles, et non pour les entités importantes.

Troisièmement, il définit le seuil minimal des amendes nationales maximales pour les infractions aux articles 21 ou 23. L'article 34(4) exige que les entités essentielles soient soumises à des amendes administratives d'un montant maximal d'au moins 10 000 000 EUR ou d'au moins 2 % du chiffre d'affaires annuel mondial total, selon le montant le plus élevé. L'article 34(5) fixe le seuil minimal pour les entités importantes à un montant maximal d'au moins 7 000 000 EUR ou d'au moins 1,4 % du chiffre d'affaires annuel mondial total. Ces chiffres sont les niveaux minimaux que chaque État membre doit appliquer pour le montant maximal de ses amendes pour ces infractions. Ils ne constituent pas un plafond au niveau de l'UE, et ne constituent pas une formule pour chaque amende individuelle.

Ces trois différences modifient votre relation opérationnelle avec le régulateur. Aucune d'entre elles ne réduit les mesures de sécurité que vous êtes tenu de mettre en place.

Une supervision réactive est une raison d'être plus rigoureux, et non moins

Voici l'erreur qu'une équipe de cadrage peut commettre. La supervision plus légère du niveau important est facile à interpréter comme une pression moindre. Sur le plan opérationnel, cela peut se retourner contre elle. Une entité essentielle a plus de chances de rencontrer l'autorité lors d'un audit planifié en vertu de l'article 32, alors que les systèmes fonctionnent normalement. Cette rencontre peut encore donner lieu à des constats et à des coûts. Ce qu'elle offre, en revanche, c'est une chance de combler les lacunes avant qu'un incident ne survienne. Une entité importante est soumise à une action de supervision en vertu de l'article 33 dès qu'il y a une indication de non-conformité. Elle peut également avoir d'autres interactions réglementaires, y compris des notifications d'incidents en vertu de l'article 23. Le considérant 122 de la même directive indique que les entités importantes ne doivent pas être tenues de documenter systématiquement leur conformité aux mesures de gestion des risques cyber. Ce n'est pas une licence pour ne disposer d'aucune preuve. C'est une raison, en tant que conseil de praticien plutôt qu'obligation légale, de conserver les décisions de risque, le processus d'incident et les journaux dont vous auriez réellement besoin si votre première conversation avec l'autorité est une enquête plutôt qu'un audit.

Ainsi, le niveau qui est supervisé de manière plus légère est celui qui doit se superviser lui-même. Une supervision plus légère ne signifie pas un risque moindre. C'est un risque reporté à un moment plus défavorable.

L'objection honnête

Le contre-argument le plus fort est le mot « proportionné » dans l'article 21(1). Une petite entité importante peut, et doit, mettre en place un ensemble de mesures plus léger qu'un grand opérateur énergétique essentiel, et la directive le prévoit exactement ainsi. C'est vrai. Mais il faut remarquer ce qui fait le travail : la taille et l'exposition aux risques, et non l'étiquette de niveau. La proportionnalité réduirait également le programme d'une petite entité essentielle, et augmenterait celui du grand fabricant de l'annexe II malgré son statut d'entité importante. (Une grande banque n'est pas le bon exemple ici : le règlement (UE) 2022/2554 (DORA) est la lex specialis pour les entités financières couvertes et remplace les articles 21 et 23 de NIS2 ainsi que les dispositions relatives à la supervision et à l'application, conformément à l'article 4 et au considérant 28 de la directive NIS2.) Le niveau et l'évaluation de proportionnalité sont des axes différents. Interpréter le niveau comme un raccourci pour l'évaluation de proportionnalité est la manière dont une grande entité importante se retrouve avec les contrôles d'une petite entité.

La règle à retenir

Considérez la classification essentielle/importante comme une ligne de supervision, d'application et de pénalités, et non comme une ligne de portée des mesures de sécurité. Déduisez vos obligations de l'article 21 et de votre propre évaluation des risques, dimensionnez vos mesures en fonction de la proportionnalité par rapport à ce risque, et laissez le niveau vous indiquer comment vous serez contrôlé, quels outils d'application supplémentaires existent, et le seuil minimal des amendes nationales maximales. Lorsque le niveau est important, interprétez la supervision réactive de l'article 33 comme un signal pour conserver les preuves dont vous auriez besoin dans le cadre d'une enquête, et non pour reporter le travail.

Une mise en garde juridique importante s'applique tout au long de ce raisonnement. NIS2 est une directive, de sorte que les obligations opérationnelles lient par le biais de la loi de transposition de chaque État membre. La date limite de transposition du 17 octobre 2024 (Directive (UE) 2022/2555, article 41) n'a pas été respectée uniformément. La Commission européenne a engagé des procédures d'infraction contre 23 États membres le 28 novembre 2024 et, le 8 juillet 2026, a renvoyé l'Irlande, l'Espagne, la France et les Pays-Bas devant la Cour de justice pour non-transmission de la transposition complète (communiqué de presse IP/26/1499). L'architecture de classification de base et les critères de taille proviennent de la directive et de la Recommandation 2003/361/CE. La loi nationale rend les obligations opérationnelles et peut ajouter des dispositions supplémentaires ; elle n'invente pas indépendamment les seuils de taille de l'UE. Une entreprise située dans un État membre qui achève encore sa transposition doit s'appuyer sur l'architecture de la directive et confirmer les détails dans la loi nationale au fur et à mesure de son adoption.

Séparer les obligations qui vous accompagnent à travers les niveaux des éléments de supervision et d'application qui changent avec eux, et cartographier les deux par rapport aux articles et à votre loi nationale de transposition, est le type de croisement de références que ISMS Copilot est conçu pour soutenir. Le niveau vaut la peine d'être correctement compris pour votre exposition aux pénalités et vos relations avec le régulateur. C'est la mauvaise variable pour laisser façonner l'ampleur de votre programme de sécurité.

Il s'agit d'une analyse pratique de conformité, et non de conseils juridiques. Confirmez la classification et les obligations de votre entité en fonction de la loi nationale de transposition de votre État membre et, le cas échéant, avec votre autorité compétente ou votre conseiller juridique.