NIS2 — entités essentielles et importantes

• Directive (EU) 2022/2555 — NIS2, Art. 26

Qui doit le désigner

Fournisseurs DNS, registres de TLD, services de cloud computing et de centres de données, CDN, fournisseurs de services gérés et de services de sécurité gérés, places de marché en ligne, moteurs de recherche et plateformes sociales qui ne sont pas établis dans l'Union mais offrent des services dans celle-ci.

Seuils et exemptions

En général, les entités ayant 50 employés ou plus ou un chiffre d'affaires de 10 millions d'euros, mais certains fournisseurs d'infrastructure numérique sont couverts indépendamment de leur taille.

Ce qui doit figurer sur l’étiquette

Pas d'obligation d'étiquetage. L'entité doit être enregistrée auprès de l'autorité de l'État membre où le représentant est établi.

Champs des marketplaces

Non applicable, mais les achats d'entreprise demandent désormais systématiquement si le fournisseur est enregistré NIS2.

Documents à conserver

Mesures de gestion des risques, procédures de gestion des incidents, politique de sécurité de la chaîne d'approvisionnement, plan de continuité des activités et dossier d'enregistrement.

Normes et essais

Non applicable, bien que des audits puissent être imposés aux entités essentielles.

Exigences linguistiques

Rapport dans la langue acceptée par le CSIRT concerné.

À partir de quand

Alerte précoce dans les 24 heures suivant un incident significatif, notification d'incident dans les 72 heures et rapport final dans un mois.

Durée de conservation

Pour la durée de l'enregistrement.

En cas de manquement

Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et la direction peut être tenue personnellement responsable dans plusieurs États membres.

Qui contrôle

Autorités nationales compétentes et CSIRTs.

Où se situe la limite

Les obligations de rapport NIS2 et de rapport CRA Article 14 sont distinctes avec des déclencheurs différents : NIS2 concerne les incidents affectant votre service, CRA concerne les vulnérabilités de votre produit.

Les questions qu’on nous pose

Nous sommes un petit SaaS avec des clients de l'UE — sommes-nous concernés ?

Seulement si vous tombez dans l'un des secteurs listés et répondez aux critères de taille, ou si vous êtes un fournisseur d'infrastructure numérique couvert indépendamment de la taille.