Qui décide si notre entreprise relève de NIS2 ?

Dans la plupart des pays, vous l'évaluez d'abord vous-même au regard des critères de votre loi nationale, et l'autorité peut confirmer ou corriger le résultat. NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises. fixe le cadre : secteur et type d'entité de l'annexe I ou II, taille selon la définition européenne, et exceptions applicables quelle que soit la taille (article 2). Les États membres doivent établir une liste des entités essentielles et importantes (article 3, paragraphe 4) et comptent en pratique surtout sur l'enregistrement par les entreprises elles-mêmes ; certains écrivent aussi aux entreprises qu'ils estiment concernées. En Allemagne, le BSI peut enregistrer lui-même une entité qui ne l'a pas fait (article 33, paragraphe 3, du BSIG). Documentez donc votre analyse : activités, rattachement sectoriel, chiffres du groupe, conclusion et qui l'a validée. Si le résultat reste incertain, interrogez l'autorité nationale ou un avocat. Un fournisseur ne peut pas prendre cette décision à votre place.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 40 questions sur NIS2 : périmètre et obligationsTous les thèmes