Directive NIS 2 : quels sont les secteurs concernés ?

Le 10 novembre 2022, les députés européens ont adopté la directive NIS 2 (Network and Information Security 2), qui a pour objectif de renforcer les exigences en matière de cybersécurité pour les entreprises européennes. Elle approfondit la directive NIS, votée six ans plus tôt mais qui n'était pas suffisante pour faire face à l'augmentation des cyberattaques sur le continent européen. Pour mieux comprendre le passage de NIS à NIS 2, vous pouvez vous référer à cet article de blog.

Un des principaux changements concerne le champ des entités concernées par la nouvelle directive, bien plus étendu. Qui est concerné par la directive NIS 2 ?

ALieu de l'organisation

Selon l'article 2 du texte officiel, la directive concerne uniquement des organisations qui fournissent leurs services ou exercent leurs activités au sein de l'UE. C'est ensuite à chaque pays de se charger des organisations fournissant un service ou exerçant une activité sur son territoire. Par exemple, la transposition de NIS 2 en Belgique, déjà votée le 26 avril 2024 et appelée loi établissant un cadre pour la cybersécurité des réseaux et des systèmes d'information d'intérêt général pour la sécurité publique, concerne uniquement les entreprises belges.

BTaille de l'organisation

NIS 2 s'appliquera à toutes les organisations considérées comme des moyennes ou grandes entreprises au sens de la recommandation 2003/361/CE de la Commission du 6 mai 2003.

Selon ce mode de calcul, la taille de l'entreprise s'évalue non seulement par le nombre de salariés, mais aussi par son chiffre d'affaires annuel. Ainsi, une moyenne entreprise vérifie au moins un des deux points suivants :

• au moins 50 travailleurs à temps plein ;
• au moins 10 millions d'euros de chiffre d'affaires annuel total.

Ce critère de taille ne sera toutefois pas une condition nécessaire pour deux cas particuliers. Quelle que soit leur taille, les entités appartenant à l'un de ces deux types d'organisations seront nécessairement concernées par NIS 2 :

• les infrastructures numériques fournissant certains services (services DNS, registres de noms de domaine de premier niveau, services de confiance qualifiés, réseaux de communications électroniques publics, services de communications électroniques publics, services de communications électroniques accessibles au public) ;
• l'administration publique (pouvoirs centraux et au niveau régional).

CServices fournis

Le texte européen liste en annexe tous les secteurs pour lesquels la directive s'appliquera. L'annexe 1 définit les « secteurs hautement critiques » et l'annexe 2 les « autres secteurs critiques » :

L'article 3 de la directive permet de distinguer deux types d'entités régulées en fonction de leur niveau de criticité.

• Les entités essentielles (EE) : les grandes entreprises au sens de la recommandation du 6 mai 2003 (plus de 250 salariés et/ou plus de 50 millions d'euros de chiffre d'affaires) qui font partie des « secteurs hautement critiques » (définis ci-dessus), ainsi que les deux cas particuliers des infrastructures numériques et des administrations publiques.
• Les entités importantes (EI) : les moyennes entreprises au sens de la recommandation du 6 mai 2003 qui font partie des « secteurs hautement critiques », ainsi que les moyennes et grandes entreprises qui font partie des « autres secteurs critiques ».

Avec la directive, c'est « un véritable changement en termes de volumétrie » qui s'opère. En effet, la précédente directive NIS ne concernait que 7 secteurs d'activités, répartis entre opérateurs de services essentiels (OSE) et fournisseurs de services numériques (FSN). Avec la nouvelle distinction entre entités essentielles et entités importantes, ce sont maintenant 18 secteurs d'activités qui seront touchés.

En France, il y aurait environ 600 types d'entités selon les estimations d'Yves Verhoeven, sous-directeur Stratégie de l'ANSSI. Cela pourrait représenter 10 000 entités différentes au total en France.