NIS2 hors de l'UE : ce qu'exige la directive et ce que demandent les clients

La directive couvre les entités des types listés aux annexes I et II qui sont au moins des moyennes entreprises au sens de la recommandation 2003/361/CE et qui fournissent leurs services dans l'Union (art. 2(1)). Certains types sont couverts quelle que soit leur taille, dont les prestataires de services de confiance, les registres de domaines de premier niveau et les fournisseurs de services DNS (art. 2(2)).

Deux portes

• Directe. L'article 26(1)(b) rattache les fournisseurs numériques cités plus haut, registres de TLD compris, à l'État de leur établissement principal dans l'UE. Sans établissement dans l'Union, l'entreprise qui y offre ses services désigne un représentant (art. 26(3)).
• Par les clients. Un client européen soumis à NIS2 doit gérer la sécurité de sa chaîne d'approvisionnement (art. 21(2)(d)). Ses exigences vous arrivent par le contrat, le questionnaire et les droits d'audit.

Sans représentant, tout État membre où l'entreprise fournit ses services peut engager une action contre elle pour violation de la directive (art. 26(3)). Pour ces mêmes types de fournisseurs, le règlement d'exécution (UE) 2024/2690 du 17 octobre 2024 fixe les exigences techniques et méthodologiques des mesures de l'article 21(2) et précise quand un incident est important.

Notre part

Nous établissons si votre service relève de l'article 26(1)(b) et préparons les mesures et documents qu'exige le règlement 2024/2690. Vous désignez le représentant ; le contrat avec lui et l'analyse juridique de votre statut relèvent d'un avocat.

L'article 21(3) impose à l'entité d'évaluer le fournisseur concret : vulnérabilités, qualité des produits, pratiques de cybersécurité et procédures de développement sécurisé. En pratique : un questionnaire, une annexe sécurité, des délais de notification et une clause d'audit.

Clients financiers

Si votre client est une banque, un établissement de paiement ou de monnaie électronique, c'est DORA qui s'applique à lui : l'article 4 de NIS2 donne la priorité aux actes sectoriels de l'UE aux exigences équivalentes. L'article 30 de DORA fixe alors les clauses du contrat.

Les mesures sont proportionnées aux risques, à la taille de l'entité et à la probabilité des incidents, compte tenu de l'état de l'art et des normes européennes et internationales (art. 21(1)). Les dirigeants supervisent leur mise en œuvre, peuvent être tenus responsables et suivent une formation (art. 20).

Nous rapprochons ce que vous appliquez déjà, par exemple les contrôles ISO/IEC 27001, de l'article 21(2), comblons les écarts et réunissons une preuve par point.

Les États membres devaient adopter leurs mesures nationales au plus tard le 17 octobre 2024 et les appliquer dès le 18 octobre 2024 (art. 41). Plusieurs ont pris du retard : le 8 juillet 2026, la Commission européenne a saisi la Cour de justice contre l'Irlande, l'Espagne, la France et les Pays-Bas faute de transposition complète notifiée. Nous vérifions donc les exigences dans la loi nationale du pays concerné le jour où le travail commence.