Vous avez entendu parler de NIS 2 par votre expert-comptable, un client ou un fournisseur. Et vous vous demandez si cela vous touche vraiment.
La réponse tient en deux questions : quelle est votre taille, et dans quel secteur travaillez-vous. Ce guide vous aide à trancher, sans jargon, avec ce que je vois sur le terrain en tant que pentester.
Le critère de taille : 50 salariés ou 10 M€
La directive vise d'abord les entreprises d'au moins 50 salariés, ou dont le chiffre d'affaires et le total de bilan dépassent 10 M€.
En dessous, vous êtes en principe hors périmètre direct. En principe seulement : nous y revenons plus bas.
Une ETI change de catégorie. À partir de 250 salariés, ou de plus de 50 M€ de chiffre d'affaires et 43 M€ de total de bilan, et si son activité figure à l'annexe I, l'entreprise est en principe entité essentielle. Les contrôles de l'autorité y sont plus serrés et les sanctions plus lourdes.
Le critère de secteur : annexes I et II
La taille ne suffit pas. Il faut aussi que votre activité figure aux annexes I ou II de la directive.
- Énergie, transports, santé, eau.
- Infrastructures numériques et services TIC aux entreprises.
- Industrie manufacturière, agroalimentaire, chimie, déchets.
- Services postaux et fournisseurs numériques.
Cette liste n'est pas exhaustive. Si vous hésitez entre deux annexes, la catégorie retenue change vos obligations : il vaut mieux la fixer avant de dépenser quoi que ce soit.
Hors périmètre, mais quand même sollicité
Beaucoup de PME qui ne sont pas concernées reçoivent pourtant un questionnaire de sécurité. Leur client, lui, est soumis à NIS 2 et doit contrôler ses prestataires.
Le questionnaire arrive avant le renouvellement du contrat. Répondre « nous prenons la sécurité au sérieux » ne suffit plus : il faut des preuves.
Ce qu'on vous demandera, en pratique : une politique de sécurité écrite, la gestion des accès, la sauvegarde, un plan de réponse aux incidents, et un test technique récent.
Que faire si vous êtes concerné
Un audit NIS 2 mesure l'écart entre vos mesures de sécurité réelles et les dix mesures de l'article 21 de la directive. Il rend un plan d'action classé par risque. Il ne délivre aucun label, car il n'en existe pas.
Commencez par cadrer le périmètre juridique : quelles entités du groupe, dans quelle catégorie. Puis le périmètre technique : systèmes, sites, prestataires. Le test d'intrusion sert ensuite à vérifier que les mesures tiennent face à une attaque réelle.
Si vous voulez le détail d'un audit, lisez notre page audit NIS 2 pour PME et ETI.
Questions fréquentes
Une PME de 30 salariés est-elle concernée ?
En principe non, sauf si elle remplit un autre critère de la directive. Elle peut en revanche être tenue de répondre à un client soumis à NIS 2.
NIS 2 impose-t-elle un label ?
Non. Aucun label n'existe : un audit rend un écart mesuré et un plan d'action.
Combien de temps dure un audit ?
Pour une PME sur un seul site, de 2 à 5 jours en général. Pour une ETI multi-sites, de 10 à 30 jours.
Par où commencer ?
Par le test d'éligibilité : taille, secteur, catégorie. Ensuite seulement, on choisit la profondeur de l'audit.
NIS 2 se joue sur deux critères : la taille et le secteur. Posez-les sur papier avant tout le reste. Concerné ou simplement sollicité par un client, vous aurez besoin de preuves, pas de promesses. Parlons de votre situation : trente minutes suffisent pour cadrer ce qui vous concerne.
Audit NIS 2 pour PME et ETI
Lire la suite