Champ d'application et responsabilités de direction (NIS 2)
Identifier si une entité relève de la directive NIS 2, distinguer entités essentielles et importantes, et comprendre la responsabilité des dirigeants.
À retenir
- NIS 2 (directive UE 2022/2555) inclut explicitement les data centers et fournisseurs cloud en annexe I.
- Les entités essentielles sont supervisées proactivement, les entités importantes a posteriori.
- L'article 21 impose des mesures de gestion des risques couvrant aussi la sécurité physique.
- Les dirigeants doivent approuver la politique de sécurité et peuvent être tenus responsables.
Une directive qui élargit fortement le périmètre
La directive (UE) 2022/2555, dite NIS 2, remplace la directive NIS de 2016 et étend considérablement le nombre de secteurs et d'entités concernés par des obligations de cybersécurité. Les opérateurs de data centers, les fournisseurs de cloud computing, les gestionnaires de services TIC managés et les fournisseurs de services de centres de données figurent explicitement parmi les secteurs à haute criticité listés en annexe I du texte.
Entités essentielles et entités importantes
NIS 2 distingue deux catégories, selon la taille de l'entité et le secteur d'activité :
- Entités essentielles : grandes entreprises (plus de 250 salariés ou plus de 50 M€ de chiffre d'affaires) des secteurs les plus critiques — énergie, transport, santé, infrastructures numériques dont les data centers.
- Entités importantes : moyennes entreprises (50 à 250 salariés) des mêmes secteurs, ou grandes entreprises de secteurs moins critiques.
Cette distinction n'est pas qu'administrative : les entités essentielles sont soumises à un régime de supervision proactif (contrôles réguliers, audits programmés), tandis que les entités importantes sont supervisées a posteriori, généralement après un incident ou un signalement.
Point clé
un data center hébergeant des activités de plusieurs clients de secteurs différents doit vérifier son propre classement en tant que fournisseur de services de centre de données, indépendamment du classement de ses clients.
Article 21 : gestion des risques
L'article 21 de la directive impose aux entités concernées de mettre en œuvre des mesures techniques, opérationnelles et organisationnelles proportionnées au risque, couvrant notamment : l'analyse des risques et la politique de sécurité des systèmes d'information, la gestion des incidents, la continuité d'activité et la gestion de crise, la sécurité de la chaîne d'approvisionnement, la sécurité de l'acquisition et de la maintenance des systèmes, ainsi que des politiques de contrôle d'accès et de gestion des actifs — ce qui inclut directement la sécurité physique des sites.
Sur le terrain
pour un data center, l'article 21 se traduit concrètement par la formalisation des procédures de contrôle d'accès physique, la tenue à jour des registres d'accès, et la démonstration que ces mesures sont revues périodiquement, pas seulement documentées une fois puis oubliées.
La responsabilité des dirigeants
Nouveauté marquante de NIS 2 : les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre, et peuvent être tenus personnellement responsables en cas de manquement grave. Ils doivent également suivre une formation à la cybersécurité, et proposer cette formation à leurs équipes. Cette responsabilisation directe des dirigeants marque une rupture par rapport au régime antérieur, où la sécurité restait souvent cantonnée aux équipes techniques.
Attention
l'absence de formation documentée des dirigeants, ou l'absence de validation formelle de la politique de gestion des risques par l'organe de direction, peut constituer à elle seule un manquement sanctionnable, indépendamment du niveau de sécurité technique réellement atteint.
Astuce
conservez une trace écrite (compte rendu de comité de direction, e-mail de validation) de l'approbation de la politique de sécurité par les dirigeants ; c'est un des premiers documents demandés lors d'un contrôle de l'ANSSI ou de l'autorité nationale compétente.