NIS2 et cybersécurité pour les entreprises
NIS2 : êtes-vous concerné ?
C'est la directive européenne sur la sécurité des réseaux : elle s'applique dans toute l'Union, et chaque État la transpose dans sa propre loi. Ceux qui entrent dans son périmètre doivent s'enregistrer, adopter des mesures de gestion du risque et signaler les incidents dans des délais qui se comptent en heures, pas en jours. Les sanctions se calculent en pourcentage du chiffre d'affaires. Ce qui surprend presque tout le monde : cela ne concerne pas que les grandes entreprises. Le périmètre couvre les secteurs nommés par la directive — énergie, transports, santé, eau, infrastructures numériques, alimentaire, certaines industries — et s'étend à la chaîne d'approvisionnement. Si vous fournissez une entreprise concernée, ses obligations deviennent des exigences contractuelles envers vous : c'est pourquoi beaucoup l'apprennent par un questionnaire envoyé par un client, et non par un avis officiel. Que cela vous atteigne dépend de votre secteur, de votre taille, de votre pays et de vos clients — cela ne se règle pas depuis une page web.
Qui est concerné, et comment on l'apprend
La loi répartit les entités concernées en deux groupes : entités essentielles et entités importantes. Ce qui compte, c'est le secteur — énergie, transports, santé, banques, infrastructures numériques, eau, déchets, alimentaire, industrie manufacturière, services postaux, chimie, espace, services numériques et administration publique — et la taille de l'entreprise. On ne le décide pas soi-même : l'agence italienne de cybersécurité (ACN) inscrit les entités sur une liste et le leur notifie. Les entités concernées s'enregistrent sur le portail de l'ACN, et l'enregistrement se renouvelle chaque année entre le 1er janvier et le 28 février. Cette page explique la règle, elle n'établit pas si elle vous concerne : cela se tranche sur vos propres chiffres, avec l'agence et avec votre conseil juridique.
Les échéances qui comptent
La directive européenne est la 2022/2555. L'Italie l'a transposée par le décret législatif 138 du 4 septembre 2024, en vigueur depuis le 16 octobre 2024, et des délais précis en découlent. Depuis janvier 2026, les entités concernées doivent savoir reconnaître un incident important et le signaler à l'agence : une alerte précoce sous 24 heures, la notification proprement dite sous 72 heures, un rapport final sous un mois. Et une date approche : au 31 octobre 2026, les mesures de sécurité de base fixées par l'ACN doivent être opérationnelles, pas planifiées. À partir de ce jour, l'agence peut commencer à inspecter.
Si vous fournissez une entreprise concernée
C'est la partie qui surprend presque tout le monde, et elle touche bien plus d'entreprises que la liste elle-même. NIS2 demande aux entités concernées de sécuriser leur chaîne d'approvisionnement : recenser les fournisseurs informatiques pertinents, revoir les clauses des contrats, les contrôler dans la durée. Vous pouvez ne pas figurer sur la liste de l'ACN et recevoir quand même un questionnaire, une nouvelle clause au renouvellement, ou la demande de démontrer comment vous conservez les données qu'on vous confie. Ce n'est pas la loi qui s'adresse à vous : c'est votre client, qui répond de ces données y compris pour la part qui se trouve chez vous. Celui qui ne sait pas répondre est remplacé, en général au renouvellement et sans discussion.
Ce que l'on risque
Les sanctions se calculent sur le chiffre d'affaires, pas sur un tarif fixe : jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial pour les entités essentielles, jusqu'à 7 millions ou 1,4% pour les importantes, le montant le plus élevé s'appliquant. Mais une conséquence pèse plus que l'argent : la responsabilité incombe aux organes de direction, qui doivent approuver les mesures et surveiller leur mise en œuvre, et qui peuvent, dans les cas graves, être temporairement écartés de leurs fonctions dirigeantes. Ce n'est pas une amende que l'on transmet au service informatique.
Trouver un professionnel vérifié
Boutique Hacker ne vend pas de tests : il met en relation ceux qui ont besoin de sécurité avec des professionnels aux certifications pratiques vérifiées. Le travail, le devis et le contrat se conviennent directement avec le membre choisi, selon les règles d'engagement du réseau.