Q: Quel est le calendrier global de la transposition de la directive ?

Afin de respecter l’échéance européenne fixée en octobre 2024, l’ANSSI envisage deux temps : <ul> <li>La phase de préparation du projet de loi en 2023, en vue de sa présentation au Parlement et de son adoption au plus tôt pendant l’année 2024 ;</li> <li>La phase de production des décrets et arrêtés qui aboutira à l’issue des consultations, afin de les soumettre à une validation interministérielle pour publication des textes dans les mois suivants la promulgation de la loi.</li> </ul> La présente Foire Aux Questions a pour but d’apporter une orientation générale aux futures entités régulées et autres parties intéressées dans le cadre de l’application de la directive NIS 2. Elle est dépourvue de force juridique et n’engage en aucune façon l’ANSSI. La directive 2022/2555 du Parlement Européen et du Conseil du 14 décembre 2022 telle que publiée au Journal officiel de l’Union européenne est l’unique référence permettant de déterminer l’intégralité des conditions relatives à l’application de cette même directive.

Question 1

Comment savoir si la directive NIS 2 s'applique à mon entité ?

Accepted Answer

De manière générale, pour déterminer si l'activité d'une entité relève d'un secteur ou d'un sous-secteur identifié dans l'une des annexes de la directive, il convient de se référer aux définitions auxquelles ces annexes renvoient.

L'entité titulaire de la personnalité morale serait alors susceptible d'être considérée comme entité essentielle ou comme entité importante si l'une de ses activités relève d'un secteur ou sous-secteur identifié dans les annexes de la directive. Elle doit également remplir les autres critères de définition d’une entité essentielle ou importante énoncés par la directive tels que le fait d’excéder les seuils (effectif, chiffre d’affaire ou bilan annuel de l’entreprise) correspondant, selon les cas, aux petites ou au moyennes entreprises au sens de la définition de la PME donnée à l’article 2 de l’annexe de la recommandation européenne 2003/361. Il appartient à l'entité de déterminer si elle entre dans l’une de ces catégories. L'ANSSI met également à disposition MonEspaceNIS2, un espace numérique permettant aux futures entités essentielles et importantes de déterminer si elles relèvent de la règlementation. Ce portail permettra aussi de s’enregistrer en ligne.

Par exemple, l’annexe 1 de la directive mentionne la « gestion des services TIC » et l’article 6 §39 définit un « fournisseur de services gérés » : « une entité qui fournit des services liés à l’installation, à la gestion, à l’exploitation ou à l’entretie

Question 2

Quel est le calendrier global de la transposition de la directive ?

Accepted Answer

Afin de respecter l’échéance européenne fixée en octobre 2024, l’ANSSI envisage deux temps :

La phase de préparation du projet de loi en 2023, en vue de sa présentation au Parlement et de son adoption au plus tôt pendant l’année 2024 ;
La phase de production des décrets et arrêtés qui aboutira à l’issue des consultations, afin de les soumettre à une validation interministérielle pour publication des textes dans les mois suivants la promulgation de la loi.

La présente Foire Aux Questions a pour but d’apporter une orientation générale aux futures entités régulées et autres parties intéressées dans le cadre de l’application de la directive NIS 2. Elle est dépourvue de force juridique et n’engage en aucune façon l’ANSSI. La directive 2022/2555 du Parlement Européen et du Conseil du 14 décembre 2022 telle que publiée au Journal officiel de l’Union européenne est l’unique référence permettant de déterminer l’intégralité des conditions relatives à l’application de cette même directive.

Question 3

Quelle est la date officielle d'entrée en vigueur de NIS 2 ?

Accepted Answer

La directive NIS 2 a été publiée le 27 décembre 2022 au Journal Officiel de l’Union européenne et elle prévoit un délai de 21 mois pour que chaque Etat membre transpose en droit national les différentes exigences réglementaires. NIS 2 rentrera donc en vigueur en France au plus tard en octobre 2024.

||| Il est utile de préciser que la date d’entrée en vigueur ne correspond pas à la date d’application de l’ensemble des exigences réglementaires qui seront imposées aux entités régulées : certaines exigences seront d’application directe et d’autres seront soumises à un délai de mise en conformité.

La présente Foire Aux Questions a pour but d’apporter une orientation générale aux futures entités régulées et autres parties intéressées dans le cadre de l’application de la directive NIS 2. Elle est dépourvue de force juridique et n’engage en aucune façon l’ANSSI. La directive 2022/2555 du Parlement Européen et du Conseil du 14 décembre 2022 telle que publiée au Journal officiel de l’Union européenne est l’unique référence permettant de déterminer l’intégralité des conditions relatives à l’application de cette même directive.

Question 4

Concrètement qui sera concerné par le nouveau périmètre d'application de NIS 2 ?

Accepted Answer

A l’échelle nationale, NIS 2 s’appliquera à des milliers d’entités appartenant à plus de dix-huit secteurs qui seront désormais régulés.

Environ 600 types d’entités différentes seront concernés, parmi eux des administrations de toutes tailles et des entreprises allant des PME aux groupes du CAC40. Les principaux critères d’intégration ont été définis au niveau européen. Il s’agit principalement du nombre d’employés, du chiffre d’affaires et de la nature de l’activité réalisée par l’entité.

La présente Foire Aux Questions a pour but d’apporter une orientation générale aux futures entités régulées et autres parties intéressées dans le cadre de l’application de la directive NIS 2. Elle est dépourvue de force juridique et n’engage en aucune façon l’ANSSI. La directive 2022/2555 du Parlement Européen et du Conseil du 14 décembre 2022 telle que publiée au Journal officiel de l’Union européenne est l’unique référence permettant de déterminer l’intégralité des conditions relatives à l’application de cette même directive.

Question 5

Quelles sont les exigences en matière de cybersécurité auxquelles les entités régulées à la directive NIS 2 devront se soumettre ?

Accepted Answer

La directive NIS 2 définit dans son article 21 dix mesures de gestion des risques en matière de cybersécurité minimales à mettre en œuvre par les futures entités essentielles et importantes. Ces mesures garantissent, pour les réseaux et les systèmes d’information des futures entités essentielles et importantes, « un niveau de sécurité adapté et proportionné au risque existant, en tenant compte de l’état des connaissances ».

Ces mesures seront précisées dans les textes législatifs et réglementaires prévus par la transposition de la directive NIS 2 en droit national. Ces exigences de cybersécurité s’inscriront dans la suite logique de l’actuelle réglementation NIS 1, et porteront principalement sur des aspects d’hygiène informatique fondamentale, afin que les entités puissent se protéger contre les menaces les plus courantes.

Au niveau national, le détail des mesures sera défini prochainement et intègrera notamment le principe de proportionnalité entre les entités essentielles et les entités importantes, ainsi que les avis donnés par les entités au travers des consultations en cours. L’ANSSI travaille actuellement à la rédaction de ce référentiel d’exigences, qui s’articulerait autour d’une vingtaine d’objectifs de sécurité et qui sera la traduction technique, opérationnelle et organisationnelles des mesures listées l’article 21 de la directive NIS 2. Chaque objectif serait assorti de mesures proposées qui constitueraient des « moyens acceptables de conformité », dont le res

Question 6

Quel sera le coût financier pour les entités ?

Accepted Answer

Cette question est complexe car il y a autant de réponses possibles que d’entités.

Tout dépend de l’état actuel du niveau de sécurité numérique de l’entité. Si certaines sont déjà bien avancées en la matière, pour d’autres, beaucoup reste à faire. A cela s’ajoutent la dépendance de l’entité aux technologies numériques, le nombre d’équipements numériques dont elle dispose et le nombre de personnes en charge de la sécurité numérique qu’elle peut mobiliser.

L’ANSSI accompagne les entités privées et publiques dans leur réflexion et propose aussi bien des outils de diagnostic (MonServiceSécurisé…) que des parcours de sécurité pour qu’elles puissent augmenter rapidement et de manière efficace leur niveau de maturité cyber.

La présente Foire Aux Questions a pour but d’apporter une orientation générale aux futures entités régulées et autres parties intéressées dans le cadre de l’application de la directive NIS 2. Elle est dépourvue de force juridique et n’engage en aucune façon l’ANSSI. La directive 2022/2555 du Parlement Européen et du Conseil du 14 décembre 2022 telle que publiée au Journal officiel de l’Union européenne est l’unique référence permettant de déterminer l’intégralité des conditions relatives à l’application de cette même directive.

Articles fréquemment lus

Toutes les catégories