NIS2 : le guide du prestataire informatique

La directive NIS2 change la nature de la conversation entre un prestataire informatique et ses clients. Jusqu'ici, la sécurité se vendait par la peur du sinistre. Désormais, elle se vend par une obligation légale, avec des sanctions chiffrées et une responsabilité qui remonte jusqu'au dirigeant.

Pour un prestataire, c'est un changement de statut : vous n'êtes plus le fournisseur d'un pare-feu, vous devenez l'interlocuteur d'un sujet de gouvernance. Cet article fait le tour de ce que la directive impose réellement, et de ce que cela ouvre comme opportunité de service.

Qu'est-ce que la directive NIS2 ?#

NIS2 est la directive (UE) 2022/2555 du 14 décembre 2022. Elle remplace la première directive NIS de 2016, jugée trop peu contraignante et trop inégalement appliquée d'un État membre à l'autre.

Trois différences majeures avec NIS1 :

• Le périmètre explose. NIS1 visait quelques centaines d'opérateurs par pays. NIS2 couvre dix-huit secteurs et descend jusqu'aux entreprises de taille moyenne.
• La responsabilité devient personnelle. Les organes de direction doivent approuver les mesures de gestion des risques et peuvent être tenus responsables de leur manquement.
• La chaîne d'approvisionnement entre dans le périmètre. La sécurité des fournisseurs et prestataires devient une obligation explicite du client — ce qui vous concerne directement.

La date limite de transposition en droit national était fixée au 17 octobre 2024. Les modalités précises, les seuils d'application et le calendrier de mise en conformité relèvent ensuite de chaque État membre : c'est le point à vérifier auprès de la source nationale avant tout engagement contractuel.

Qui est concerné par NIS2 ?#

NIS2 croise deux critères : le secteur d'activité et la taille de l'entreprise.

Les secteurs. L'annexe I liste les secteurs dits de « haute criticité » : énergie, transports, banque, infrastructures de marché financier, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC, administration publique, espace.

L'annexe II ajoute les secteurs « critiques » : services postaux, gestion des déchets, produits chimiques, denrées alimentaires, fabrication (dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques, recherche.

Le point que beaucoup de prestataires manquent : « gestion des services TIC (interentreprises) » est un secteur de l'annexe I. Les fournisseurs de services managés et de services de sécurité managés y figurent nommément. Si vous êtes un MSP d'une certaine taille, vous n'êtes pas seulement le conseil de vos clients sur NIS2 — vous êtes potentiellement une entité régulée.

Quels seuils de taille déclenchent NIS2 ?#

Deux catégories. Un seul critère suffit : l'effectif, ou bien le chiffre d'affaires et le bilan pris ensemble.

La distinction n'est pas cosmétique : les entités essentielles sont soumises à une supervision proactive (contrôles sans soupçon préalable), les entités importantes à une supervision réactive (contrôle déclenché par un indice de manquement).

Attention : certaines entités relèvent de NIS2 quelle que soit leur taille — notamment les fournisseurs de réseaux de communications électroniques publics, les prestataires de services de confiance, et les entités dont un manquement aurait un impact systémique.

Quelles sont les dix mesures de l'article 21 ?#

L'article 21 impose des mesures « techniques, opérationnelles et organisationnelles appropriées et proportionnées ». Il en liste dix :

1. Politiques d'analyse des risques et de sécurité des systèmes d'information
2. Gestion des incidents
3. Continuité d'activité — sauvegardes, reprise, gestion de crise
4. Sécurité de la chaîne d'approvisionnement
5. Sécurité de l'acquisition, du développement et de la maintenance
6. Politiques d'évaluation de l'efficacité des mesures
7. Pratiques d'hygiène informatique de base et formation à la cybersécurité
8. Politiques de cryptographie et de chiffrement
9. Sécurité des ressources humaines, contrôle d'accès, gestion des actifs
10. Authentification multifacteur, communications sécurisées, communications d'urgence

Aucune de ces dix lignes n'est une surprise technique. La difficulté n'est pas de savoir quoi faire — c'est de prouver qu'on le fait, de façon documentée et datée. C'est très exactement là qu'un prestataire crée de la valeur.

Quels sont les délais de notification d'un incident NIS2 ?#

C'est l'obligation la plus opérationnelle, et celle qui prend les organisations de court. Trois échéances s'enchaînent après la prise de conscience d'un incident significatif : une alerte précoce à 24 heures, une notification d'incident à 72 heures, un rapport final à un mois.

Vingt-quatre heures, c'est un week-end raté si le processus n'existe pas déjà. Un client qui découvre cette obligation pendant l'incident a déjà perdu. La valeur d'un prestataire se joue ici, avant : dans le fait d'avoir un canal, un modèle de notification et un responsable identifié.

Quelle est la responsabilité des dirigeants sous NIS2 ?#

L'article 20 est celui qu'il faut lire au comité de direction, pas à la DSI. Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre, et suivre une formation régulière à la cybersécurité.

Cela transforme votre interlocuteur. Le sujet cesse d'être arbitré par le responsable informatique sur son budget résiduel ; il devient un point d'ordre du jour du dirigeant, qui engage sa responsabilité.

Quelles sanctions NIS2 prévoit-elle ?#

Pour les entités essentielles : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu.

Pour les entités importantes : jusqu'à 7 M€ ou 1,4 %, même logique.

Au-delà de l'amende, les autorités peuvent suspendre une certification ou interdire temporairement à une personne physique d'exercer des fonctions dirigeantes. C'est cette dernière disposition qui fait généralement bouger les lignes en réunion.

Que change NIS2 pour un prestataire informatique ?#

Trois choses, et aucune n'est technique.

Vous êtes dans le périmètre de vos clients. L'obligation n° 4 — sécurité de la chaîne d'approvisionnement — signifie que vos clients régulés doivent évaluer leurs fournisseurs. Vous êtes un fournisseur. Vous allez recevoir des questionnaires, des demandes de preuves, des clauses contractuelles nouvelles.

Deux façons de le vivre : subir une charge administrative croissante, ou en faire un argument commercial. Un prestataire capable de répondre en 48 heures avec un dossier structuré gagne des appels d'offres contre un concurrent qui met trois semaines.

La conformité devient un service récurrent. La conformité n'est pas un projet, c'est un état à maintenir. Les mesures doivent être réévaluées, les incidents tracés, les preuves rafraîchies, la formation renouvelée. Cela décrit exactement un abonnement mensuel, pas une prestation ponctuelle.

C'est la transition la plus rentable disponible pour un prestataire aujourd'hui : passer d'un chiffre d'affaires de projet, imprévisible, à un revenu récurrent adossé à une obligation légale que le client ne peut pas arbitrer.

Le diagnostic devient la porte d'entrée. On ne vend pas un plan de mise en conformité à froid. On vend un écart mesuré. Un diagnostic qui produit un score, une liste d'écarts priorisés et un chiffrage transforme une discussion abstraite en devis.

C'est le principe des 42 mesures d'hygiène de l'ANSSI : un référentiel court, concret, que le dirigeant comprend, et qui couvre l'essentiel des attentes de l'article 21.

Pour l'évaluation elle-même, l'ANSSI publie ReCyF : 20 objectifs répartis en quatre domaines, chacun noté sur une échelle de maturité avec un niveau attendu. C'est la grille qui transforme « appropriées et proportionnées » en un écart mesurable et donc en un plan d'action — et cinq de ces objectifs ne s'appliquent qu'aux entités essentielles, ce qui dépend de la qualification vue plus haut.

Par où commencer, concrètement ?#

1. Qualifiez votre portefeuille. Secteur + effectif + chiffre d'affaires pour chaque client. Vous saurez en une journée qui est entité essentielle, importante, ou hors périmètre.
2. Traitez d'abord votre propre cas. Si vous relevez du secteur « gestion des services TIC », commencez par vous. C'est aussi votre meilleure démonstration commerciale.
3. Standardisez le diagnostic. Un questionnaire réutilisable, un score comparable d'un client à l'autre, un rapport à votre marque.
4. Industrialisez la preuve. L'obligation qui coûte le plus cher est la traçabilité. Un coffre de preuves rattaché à chaque mesure vaut mieux qu'un dossier partagé.
5. Écrivez la procédure d'incident avant l'incident. Les 24 heures ne se négocient pas.

Si vous préparez aussi des clients à la certification, l'étape suivante logique est ISO 27001, dont l'Annexe A recoupe largement l'article 21.