Le logiciel NIS2 qui pilote votre mise en conformité

Deux critères se combinent : le secteur et la taille. L'entité doit relever d'un des secteurs listés en annexe de la directive et atteindre au moins la taille d'une moyenne entreprise au sens européen, soit en pratique cinquante salariés ou dix millions d'euros de chiffre d'affaires ou de bilan. La directive écarte elle-même ce critère de taille dans plusieurs cas : fournisseurs de services DNS, prestataires de services de confiance, ou entité qui est l'unique fournisseur, dans son pays, d'un service essentiel. L'échéance européenne de transposition était fixée au 17 octobre 2024, le détail du dispositif relevant ensuite du texte national.

Le classement dépend du secteur et de la taille : les grandes entreprises des secteurs jugés hautement critiques sont essentielles, les autres entités dans le champ sont importantes. Les mesures de gestion des risques attendues sont les mêmes ; ce qui change, c'est le contrôle. Une entité essentielle est supervisée a priori, avec inspections et audits possibles sans soupçon préalable. Une entité importante relève d'un contrôle a posteriori, déclenché par un indice de manquement ou un incident. Les plafonds de sanction diffèrent également.

Non. NIS2 est une directive, pas un référentiel certifiable : aucun organisme n'émet de certificat NIS2, et un prestataire qui vous en promet un vend autre chose. Ce que l'autorité de contrôle attend, c'est la démonstration que vos mesures de gestion des risques sont définies, mises en oeuvre, évaluées et documentées. Une certification ISO 27001, ou une certification européenne portant sur un produit ou un service, peut servir d'élément de preuve, mais ne dispense pas de cette démonstration.

Non, mais elle couvre une bonne partie du chemin. Un système de management certifié apporte déjà l'appréciation des risques, la gestion des incidents, la continuité d'activité et la maîtrise des fournisseurs. Restent les points propres à la directive : les délais de notification à l'autorité, la responsabilité formelle des organes de direction et leur obligation de formation, et surtout le périmètre, qui est celui de vos activités régulées et pas seulement celui que vous avez choisi de certifier. Le travail utile consiste à mesurer cet écart, pas à tout reprendre.

La directive impose aux États membres des plafonds minimaux : pour une entité essentielle, au moins dix millions d'euros ou 2 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu ; pour une entité importante, au moins sept millions d'euros ou 1,4 %. L'amende n'est pas le seul levier. L'autorité peut ordonner des mesures correctives, rendre un manquement public et, pour les seules entités essentielles, suspendre temporairement une autorisation ou viser les responsabilités dirigeantes.

Pas nécessairement, et c'est là que se joue la difficulté. La directive ne s'applique qu'aux entités qui entrent dans son champ, mais elle vous rend responsable de la sécurité de votre chaîne d'approvisionnement, y compris pour des prestataires qui n'ont eux-mêmes aucune obligation directe. Vous devez apprécier le risque lié à chaque fournisseur, tenir compte de la qualité de ses pratiques de sécurité et traduire vos exigences dans les contrats. Un fournisseur hors périmètre n'est pas un fournisseur hors analyse.

Parce que la conformité NIS2 se démontre par des liens, pas par une liste. L'autorité veut voir quelle mesure couvre quelle exigence, quel risque la justifie, quelle preuve l'atteste et à quelle date elle a été revue. Un tableur perd ces liens dès qu'un périmètre bouge ou qu'un responsable change de poste, et il ne conserve pas l'historique des décisions. Une plateforme les maintient, signale ce qui n'est plus à jour et produit les livrables sans ressaisie. Dans Vailor, chaque contrôle NIS2 est relié à ses preuves et à ses actions, et une preuve collectée une fois sert à tous vos référentiels.