Mise en conformité NIS2
La mise en conformité NIS2 impose aux entreprises concernées de renforcer leur gestion des risques de cybersécurité, leur gouvernance et la notification de leurs incidents. Issue de la directive (UE) 2022/2555, dite directive NIS 2, cette obligation n’est pas encore pleinement transposée en droit français, mais elle se prépare dès maintenant. Nos avocats vous accompagnent sur le volet juridique : identification des obligations applicables, gouvernance, contrats avec vos prestataires informatiques et procédures internes.
Une approche adaptée à votre entreprise
Nous analysons les exigences NIS2 en tenant compte de votre secteur d’activité, de votre organisation et de vos enjeux spécifiques.
Une approche juridique transversale
Nous articulons les enjeux de cybersécurité, de gouvernance et de contrats informatiques dans une approche juridique cohérente.
Une anticipation des évolutions réglementaires
Nous vous aidons à préparer votre conformité en tenant compte de l’évolution du cadre juridique français et des obligations à venir.
Contactez-nous
Ils parlent de nous
Notre accompagnement juridique pour la mise en conformité NIS2
Notre accompagnement à la mise en conformité avec la directive NIS2 couvre l’analyse de vos obligations juridiques, la sécurisation de vos contrats informatiques et l’adaptation de vos procédures internes, en lien avec notre pratique d’avocat en droit informatique.
Diagnostic juridique NIS2 et identification des obligations applicables
Nous analysons votre activité, votre organisation et vos documents existants pour déterminer les obligations NIS2 susceptibles de vous concerner. Ce diagnostic permet d’identifier les écarts juridiques et les actions prioritaires, sans se substituer à un audit NIS2 portant sur la sécurité technique des systèmes d’information.
Gouvernance et organisation de la conformité NIS2
Nous accompagnons la direction dans la définition des responsabilités en matière de cybersécurité et la formalisation des politiques et procédures internes. Nous contribuons à structurer les processus de décision, de suivi et de sensibilisation aux exigences réglementaires.
Sécurisation des contrats IT et de la chaîne de sous-traitance
Nous analysons, rédigeons et adaptons vos contrats informatiques (cloud, SaaS, hébergement, infogérance) pour encadrer les engagements de sécurité de vos prestataires : notification des incidents, responsabilité, audit, sous-traitance et réversibilité.
Gestion juridique des incidents de cybersécurité
En cas d’incident, nous évaluons les obligations de notification applicables et vous assistons dans la préparation des déclarations et la préservation des preuves. Nous analysons également les conséquences juridiques et contractuelles de l’incident, en coordination avec vos équipes techniques.
Documentation de conformité et préparation aux contrôles
Nous accompagnons la formalisation des procédures, la documentation des mesures de conformité et la constitution des justificatifs nécessaires pour préparer d’éventuels contrôles. Nous vous aidons également à adapter ces documents aux évolutions du cadre réglementaire.
Assistance en cas de contrôle, de litige ou de manquement
Nous vous assistons dans vos échanges avec les autorités compétentes, la préparation des réponses aux contrôles et l’évaluation des risques de sanction. Le cabinet peut également défendre vos intérêts dans les procédures administratives ou contentieuses et les litiges avec vos prestataires informatiques.
Beaubourg Avocats vous accompagne dans la préparation juridique de votre mise en conformité NIS2.
Quelles entreprises sont concernées par la directive NIS2 ?
La directive NIS2 vise les entreprises et organisations relevant de 18 secteurs d’activité, selon des critères liés à leur activité, leur taille et, dans certains cas, à la criticité des services fournis.
Les secteurs d’activité concernés par NIS2
La directive distingue deux catégories de secteurs :
- Les secteurs hautement critiques : énergie, transports, santé, eau potable et eaux usées, banque, infrastructures des marchés financiers, infrastructures numériques, gestion des services TIC, administrations publiques et espace.
- Les autres secteurs critiques : services postaux, gestion des déchets, industrie chimique, agroalimentaire, certaines activités manufacturières, fournisseurs numériques et recherche.
L’appartenance à l’un de ces secteurs ne suffit pas à établir l’assujettissement : la nature précise des activités et les critères de taille doivent également être examinés.
Entités essentielles et entités importantes : quelles différences ?
La directive distingue deux catégories d’organisations :
- Les entités essentielles (EE) : principalement les grandes organisations des secteurs hautement critiques.
- Les entités importantes (EI) : notamment les entreprises moyennes de ces secteurs et les entreprises moyennes ou grandes des autres secteurs critiques.
Certaines entités peuvent être concernées indépendamment de leur taille. Ces deux catégories sont soumises à des modalités de supervision différentes, notamment en matière de contrôles.
Les fournisseurs et sous-traitants sont-ils également concernés ?
Une entreprise non directement soumise à NIS2 peut être concernée indirectement par les exigences de ses clients. Les organisations assujetties peuvent notamment imposer à leurs fournisseurs et prestataires informatiques des engagements contractuels de sécurité, de notification des incidents ou d’audit.
Ces obligations contractuelles n’entraînent toutefois pas automatiquement l’assujettissement du fournisseur à NIS2.
Quelles sont les principales obligations de conformité NIS2 ?
La directive NIS2 prévoit plusieurs exigences de cybersécurité que les entreprises concernées doivent anticiper. Leur application en France dépend encore des textes nationaux de transposition.
Gouvernance et responsabilité des dirigeants
Les organes de direction doivent approuver et superviser les mesures de gestion des risques de cybersécurité. La directive prévoit également leur formation et encadre leur responsabilité en cas de manquement.
Gestion des risques et sécurité des systèmes d’information
Les entités concernées doivent prévoir des mesures de sécurité proportionnées aux risques : analyse des risques, gestion des vulnérabilités, contrôle des accès, sauvegardes et continuité d’activité. Une certification ISO 27001 peut contribuer à cette démarche, mais ne suffit pas, à elle seule, à établir la conformité NIS2.
Sécurité des fournisseurs et de la chaîne d’approvisionnement
Les entreprises doivent évaluer les risques de cybersécurité liés à leurs fournisseurs et prestataires directs, notamment dans le cadre de leurs relations contractuelles.
Gestion et notification des incidents significatifs
La directive prévoit une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final au plus tard un mois après cette notification, sous réserve des règles particulières applicables.
Enregistrement et documentation de conformité
Les entités concernées doivent communiquer les informations d’identification requises et documenter leurs mesures de cybersécurité. Les modalités françaises d’enregistrement restent à préciser par les textes de transposition.
Directive NIS2 en France : où en est la transposition ?
Le calendrier de transposition de la directive NIS2
La directive NIS2 devait être transposée dans les États membres de l’Union européenne au plus tard le 17 octobre 2024. La transposition de NIS2 en France reste en cours. Après son adoption par le Sénat, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est désormais examiné en première lecture à l’Assemblée nationale, au stade de la séance publique. Les modalités d’application restent à préciser par les textes nationaux.
Quelles obligations s’appliquent déjà aux entreprises ?
Dans l’attente de la transposition française de NIS2, les entreprises restent soumises aux obligations de sécurité déjà applicables, notamment celles du RGPD, des réglementations sectorielles et de leurs engagements contractuels. Une cyberattaque entraînant une violation de données personnelles présentant un risque pour les droits et libertés des personnes doit notamment être notifiée à la CNIL.
Pour les entités financières concernées, le règlement DORA, applicable depuis le 17 janvier 2025, constitue un régime sectoriel spécifique. Ses dispositions se substituent aux exigences correspondantes de NIS2, notamment en matière de gestion des risques informatiques et de notification des incidents.
Comment anticiper les exigences de NIS2 ?
Les entreprises susceptibles d’être concernées peuvent dès maintenant préparer leur conformité. L’ANSSI propose un pré-enregistrement volontaire pour faciliter leur futur enregistrement obligatoire. Elle met également à disposition le Référentiel Cyber France (ReCyF), qui présente des mesures de cybersécurité recommandées pour anticiper les exigences de NIS2. Ce référentiel reste, à ce stade, un document de travail non obligatoire.
Quels contrôles et sanctions sont prévus en cas de non-conformité NIS2 ?
La directive NIS2 prévoit des contrôles de conformité, notamment des audits, des inspections et des demandes de justificatifs. Les entités essentielles peuvent faire l’objet de contrôles préventifs et a posteriori, tandis que les entités importantes sont principalement soumises à des contrôles a posteriori. Les autorités compétentes peuvent également imposer des mesures correctives.
En cas de manquement aux obligations de gestion des risques ou de notification des incidents, la directive impose aux États membres de prévoir des amendes administratives dont les plafonds sont d’au moins :
- 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles ;
- 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial pour les entités importantes.
Le montant le plus élevé est retenu pour déterminer le plafond minimal à prévoir. Des mesures peuvent également viser les dirigeants, dans les conditions prévues par le droit national.
En France, ces sanctions propres à NIS2 ne sont pas encore applicables tant que la transposition nationale n’est pas entrée en vigueur. Les entreprises doivent néanmoins anticiper ces risques et tenir compte des obligations de cybersécurité déjà applicables.
Anticipez votre mise en conformité NIS2
Beaubourg Avocats vous accompagne dans l’analyse de vos obligations et la préparation juridique de votre conformité NIS2.
Ils parlent de nous