NIS2 et cybersécurité pour les entreprises
NIS2 : êtes-vous concerné ?
C'est la directive européenne sur la sécurité des réseaux : elle s'applique dans toute l'Union, et chaque État la transpose dans sa propre loi. Ceux qui entrent dans son périmètre doivent s'enregistrer, adopter des mesures de gestion du risque et signaler les incidents dans des délais qui se comptent en heures, pas en jours. Les sanctions se calculent en pourcentage du chiffre d'affaires. Ce qui surprend presque tout le monde : cela ne concerne pas que les grandes entreprises. Le périmètre couvre les secteurs nommés par la directive — énergie, transports, santé, eau, infrastructures numériques, alimentaire, certaines industries — et s'étend à la chaîne d'approvisionnement. Si vous fournissez une entreprise concernée, ses obligations deviennent des exigences contractuelles envers vous : c'est pourquoi beaucoup l'apprennent par un questionnaire envoyé par un client, et non par un avis officiel. Que cela vous atteigne dépend de votre secteur, de votre taille, de votre pays et de vos clients — cela ne se règle pas depuis une page web.
Qui est concerné, et comment on l'apprend
La loi répartit les entités concernées en deux groupes : entités essentielles et entités importantes. Ce qui compte, c'est le secteur — énergie, transports, santé, banques, infrastructures numériques, eau, déchets, alimentaire, industrie manufacturière, services postaux, chimie, espace, services numériques et administration publique — et la taille de l'entreprise. On ne le décide pas soi-même : l'agence italienne de cybersécurité (ACN) inscrit les entités sur une liste et le leur notifie. Les entités concernées s'enregistrent sur le portail de l'ACN, et l'enregistrement se renouvelle chaque année entre le 1er janvier et le 28 février. Cette page explique la règle, elle n'établit pas si elle vous concerne : cela se tranche sur vos propres chiffres, avec l'agence et avec votre conseil juridique.
Les échéances qui comptent
La directive européenne est la 2022/2555. L'Italie l'a transposée par le décret législatif 138 du 4 septembre 2024, en vigueur depuis le 16 octobre 2024, et des délais précis en découlent. Depuis janvier 2026, les entités concernées doivent savoir reconnaître un incident important et le signaler à l'agence : une alerte précoce sous 24 heures, la notification proprement dite sous 72 heures, un rapport final sous un mois. Et une date approche : au 31 octobre 2026, les mesures de sécurité de base fixées par l'ACN doivent être opérationnelles, pas planifiées. À partir de ce jour, l'agence peut commencer à inspecter.
Si vous fournissez une entreprise concernée
C'est la partie qui surprend presque tout le monde, et elle touche bien plus d'entreprises que la liste elle-même. NIS2 demande aux entités concernées de sécuriser leur chaîne d'approvisionnement : recenser les fournisseurs informatiques pertinents, revoir les clauses des contrats, les contrôler dans la durée. Vous pouvez ne pas figurer sur la liste de l'ACN et recevoir quand même un questionnaire, une nouvelle clause au renouvellement, ou la demande de démontrer comment vous conservez les données qu'on vous confie. Ce n'est pas la loi qui s'adresse à vous : c'est votre client, qui répond de ces données y compris pour la part qui se trouve chez vous. Celui qui ne sait pas répondre est remplacé, en général au renouvellement et sans discussion.
Ce que l'on risque
Les sanctions se calculent sur le chiffre d'affaires, pas sur un tarif fixe : jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial pour les entités essentielles, jusqu'à 7 millions ou 1,4% pour les importantes, le montant le plus élevé s'appliquant. Mais une conséquence pèse plus que l'argent : la responsabilité incombe aux organes de direction, qui doivent approuver les mesures et surveiller leur mise en œuvre, et qui peuvent, dans les cas graves, être temporairement écartés de leurs fonctions dirigeantes. Ce n'est pas une amende que l'on transmet au service informatique.
Ce dont nous nous occupons
Qui dirige une entreprise détient adresses, commandes et habitudes d'achat de ses clients. Si elles sortent, le dommage n'est pas l'activité à l'arrêt un jour : c'est la confiance, et elle ne se rachète pas. Nous nous occupons de trois choses — qui peut entrer, ce qui reste consigné quand quelqu'un essaie, et comment on repart si quelque chose tourne mal.
Pourquoi vous ne trouverez pas la liste ici
Nous ne publions pas quelles défenses nous utilisons, et ce n'est pas de la réticence : un fournisseur qui met ses dispositifs en vitrine travaille pour ceux qui les étudient. Avec qui évalue sérieusement, on en parle en tête-à-tête, références et journaux à l'appui. Écrivez-nous et nous vous dirons ce que nous pouvons montrer et à quelles conditions.
Comment on commence
Un appel de découverte, une demi-heure, sans engagement et sans frais. On regarde ce que vous faites, qui sont vos clients et où en sont vos systèmes aujourd'hui : on comprend alors si NIS2 vous concerne et ce dont vous avez vraiment besoin. Pour parler, nous ne demandons ni accès ni documents — cela vient après, si l'on continue.
Combien ça coûte
Cela se décide au cas par cas, et ce n'est pas une esquive : une entreprise avec dix ordinateurs dans un bureau et une avec trois sites et un logiciel relié à ses fournisseurs n'ont pas le même travail devant elles. Ce qui fait monter la note, c'est le nombre de systèmes, leur âge et l'étroitesse du délai ; ce qui la fait baisser, c'est d'arriver avant que le problème ne devienne urgent. Après l'appel, vous connaissez un chiffre, avant de vous engager à quoi que ce soit.
Ce que vous vous demandez sans doute
« J'ai déjà quelqu'un qui s'occupe des ordinateurs. » Il vous est utile, et c'est un autre métier : maintenir les machines en marche n'est pas répondre d'une obligation légale devant une autorité. Les deux rôles coexistent. — « Nous sommes petits, qui voudrait nous attaquer ? » Presque aucune attaque ne choisit sa cible : des programmes automatiques essaient des adresses au hasard et entrent là où ils trouvent une ouverture. Petit ne veut pas dire invisible, cela veut dire plus facile. — « On verra plus tard. » C'est la réponse la plus fréquente, et la raison pour laquelle tout se fait ensuite dans l'urgence et mal : une échéance légale ne se négocie pas, et celui qui arrive en dernier paie davantage.
Demander un devis
Deux champs, le reste est facultatif. Une personne répond.