NIS2 s'applique-t-elle à votre entreprise ? Statut, obligations et délais
Répondez à une vingtaine de questions courtes sur votre activité, votre secteur, votre taille et vos clients. Découvrez si vous êtes probablement une entité essentielle ou importante, ce que cela signifie, quels délais s'appliquent et où se situent vos lacunes de sécurité.
Vérifier mon statut
Ce n'est pas un avis juridique
Il s'agit d'une évaluation préliminaire et automatisée fondée sur vos réponses. NIS2 est une directive : chaque État membre la transpose dans son droit national, et c'est ce droit qui décide qui est couvert, comment s'enregistrer et quels sont les délais. Utilisez le résultat pour préparer un échange avec un conseil ou votre autorité nationale.
Questionnaire
Comment fonctionne le test
Champ d'application. NIS2 couvre les organisations qui fournissent des services ou exercent des activités dans l'UE, appartiennent à l'un des types d'entités de l'annexe I ou II, et sont au moins de taille moyenne. Certains types sont couverts quelle que soit leur taille : prestataires de services de confiance qualifiés, registres de TLD, fournisseurs DNS, fournisseurs de communications électroniques publiques et organismes de l'administration centrale.
Taille. Nous appliquons les seuils de la recommandation 2003/361/CE de la Commission : moins de 50 personnes et un chiffre d'affaires ou un bilan jusqu'à 10 millions d'euros correspond à une petite entreprise ; moins de 250 personnes et un chiffre d'affaires jusqu'à 50 millions d'euros ou un bilan jusqu'à 43 millions d'euros correspond à une entreprise moyenne ; au-delà, c'est une grande entreprise. Le chiffre d'affaires et le bilan sont liés par « ou », donc une entreprise de 49 personnes avec 60 millions d'euros de chiffre d'affaires et 50 millions d'euros de bilan est une grande entreprise.
Catégorie. Les grandes entités des secteurs de l'annexe I sont essentielles ; les entités moyennes de l'annexe I et les entités moyennes ou grandes de l'annexe II sont importantes. Les entités essentielles sont supervisées avant et après les incidents, les importantes après coup. Les obligations sont les mêmes.
Vos mesures. Douze vérifications suivent les dix domaines de l'art. 21, par. 2, la responsabilité de la direction (art. 20) et la notification des incidents (art. 23). Oui = 2 points, partiellement = 1, non ou je ne sais pas = 0. Les groupes sont pondérés ; si la gouvernance obtient zéro, le niveau ne peut pas dépasser Initial.
Chaque règle, article et date figure dans un fichier de règles publié (nis2-rules.v1.json). Le calcul s'exécute dans votre navigateur ; vos réponses ne sont envoyées nulle part avant que vous ne demandiez le rapport.
Ce que cet outil ne couvre pas
- Les actes sectoriels spécifiques qui remplacent certaines parties de NIS2 pour certaines entités, comme DORA pour les entités financières.
- La directive REC sur la résilience physique des entités critiques, au-delà de la question de savoir si vous avez été identifié à ce titre.
- Les extensions nationales : certains États membres couvrent davantage d'entités ou fixent des délais plus courts que la directive.
- L'agrégation des chiffres pour les groupes, les entreprises partenaires et liées : nous le signalons mais ne le calculons pas.
Sources
| Source | Ce que nous utilisons |
|---|---|
| Directive (UE) 2022/2555 (NIS2), EUR-Lex | Art. 2, 3, 20, 21, 23, 26 à 28, 32 à 34 ; annexes I et II |
| Recommandation 2003/361/CE de la Commission, EUR-Lex | Classes de taille : micro, petite, moyenne |
| Directive (UE) 2022/2557 (REC), EUR-Lex | Entités critiques |
| Règlement (UE) 2022/2554 (DORA), EUR-Lex | Lex specialis du secteur financier |
FAQ
NIS2 s'applique-t-elle à mon entreprise ?
Elle s'applique probablement si vous fournissez des services ou exercez des activités dans l'UE, que votre organisation correspond à l'un des types d'entités de l'annexe I ou II de la directive, et que vous êtes au moins de taille moyenne (50 personnes ou plus, ou plus de 10 millions d'euros à la fois en chiffre d'affaires et en bilan). Certains types sont couverts quelle que soit la taille. Le test ci-dessus vous guide à travers ces critères en environ cinq minutes.
Quelle est la différence entre entités essentielles et importantes ?
Les obligations sont les mêmes : mesures de gestion des risques, responsabilité de la direction et notification des incidents. La différence réside dans la supervision et les amendes. Les entités essentielles sont supervisées de manière proactive (ex ante et ex post) et risquent des amendes maximales d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial ; les entités importantes sont supervisées après coup (ex post) et risquent des amendes maximales d'au moins 7 millions d'euros ou 1,4 %.
Quelles sont les amendes NIS2 ?
La directive fixe des maximums minimaux : pour les entités essentielles, au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu ; pour les entités importantes, au moins 7 millions d'euros ou 1,4 %. Les États membres fixent les sanctions exactes dans leur droit national et peuvent aller plus haut. La direction peut également être tenue personnellement responsable.
Que dois-je notifier et quand ?
Pour un incident important : une alerte précoce dans les 24 heures suivant la prise de connaissance, une notification d'incident dans les 72 heures et un rapport final au plus tard un mois après la notification. Les notifications sont adressées à votre CSIRT national ou à l'autorité compétente.
Je suis un éditeur de logiciels. NIS2 me concerne-t-elle si mes clients sont réglementés ?
Même si vous n'êtes pas vous-même dans le champ d'application, vos clients réglementés doivent gérer la sécurité de leur chaîne d'approvisionnement au titre de l'art. 21, par. 2, point d. Attendez-vous à des questionnaires de sécurité, des audits et des clauses contractuelles. Les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés et les fournisseurs de cloud sont directement dans le champ d'application s'ils sont au moins de taille moyenne.
La loi NIS2 de mon pays est-elle déjà applicable ?
Le délai de transposition était le 17 octobre 2024, mais les États membres ont adopté leurs lois à des moments différents. Le résultat indique l'autorité nationale pour les pays que nous suivons ; nous n'affichons un statut de transposition qu'après qu'une personne l'a vérifié par rapport à la source officielle, avec la date de cette vérification.
Est-ce un avis juridique ?
Non. Il s'agit d'une évaluation préliminaire et automatisée fondée sur vos réponses et sur la version des règles indiquée sur la page. Le droit national décide ; confirmez le résultat avec un conseil ou votre autorité nationale.
YuSMP peut-il aider pour une analyse des écarts ?
Oui. Nous mettons en correspondance vos mesures actuelles avec l'art. 21, réalisons des tests d'intrusion et des audits de sécurité, préparons des preuves SOC 2 et ISO 27001 et mettons en place des pratiques de développement sécurisées. Utilisez le formulaire sous votre résultat.
Services et secteurs
Tests d'intrusion et audits de sécurité
Testez l'efficacité de vos mesures, avec un rapport à présenter à vos clients et auditeurs.
Préparation SOC 2 et ISO 27001
Politiques, contrôles et preuves qui couvrent aussi la majeure partie de l'art. 21.
Cloud et DevOps
Journalisation, sauvegardes, reprise et accès multifacteur dans votre cloud.
Conseil en conformité RGPD
Les incidents de données personnelles et les incidents NIS2 se recoupent souvent.
Conformité à l'AI Act de l'UE
Lorsque votre produit comporte des fonctionnalités d'IA.