Conformité NIS2

Le cadre réglementaire

La directive (UE) 2022/2555, connue sous le nom de NIS2, a élargi de manière significative le nombre d’entreprises soumises à des obligations de sécurité informatique. En Italie, elle a été transposée par le décret législatif 138/2024, en vigueur depuis le 16 octobre 2024, qui désigne l’Agence nationale italienne pour la cybersécurité (ACN) comme autorité nationale compétente et point de contact unique, et le CSIRT Italia, l’équipe nationale de réponse aux incidents, comme destinataire des notifications d’incident.

La norme distingue les entités essentielles des entités importantes selon le secteur et la taille : en règle générale les moyennes et grandes entreprises des secteurs des annexes I et II, avec quelques exceptions indépendantes du seuil. Parmi les secteurs couverts : énergie, transports, secteur bancaire et infrastructures des marchés financiers, santé, eau potable et eaux usées, infrastructures numériques (y compris les réseaux et services de communications électroniques, donc les opérateurs de télécommunications), gestion des services TIC interentreprises, espace, services postaux, déchets, chimie, alimentaire, certaines productions manufacturières (dispositifs médicaux, électronique, machines, véhicules automobiles), fournisseurs de services numériques et recherche. Aux entités financières s’applique à titre principal le règlement (UE) 2022/2554, dit DORA.

Les obligations principales sont au nombre de cinq : l’enregistrement sur la plateforme de l’ACN pendant la fenêtre annuelle et la mise à jour des données qui suit (art. 7) ; la catégorisation des activités et des services selon le modèle de l’ACN (art. 30) ; l’adoption des mesures de gestion des risques prévues par l’art. 24 ; la notification des incidents significatifs (art. 25) ; l’implication directe des organes d’administration (art. 23), qui approuvent les mesures, veillent à leur mise en œuvre et suivent une formation dédiée.

L’ACN a défini les spécifications de base relatives aux mesures de sécurité et à la notification des incidents par des déterminations de 2025, actualisées en fin d’année et complétées en 2026. Pour les entités inscrites sur la liste en 2025, l’obligation de notification est opérationnelle depuis le début de 2026 et les mesures de base doivent être mises en œuvre avant octobre 2026 ; pour celles qui entrent sur la liste les années suivantes, les délais sont fixés par l’ACN à compter de la communication d’inscription. Aux spécifications de base succèdent celles qui portent sur les obligations à long terme.

Les sanctions administratives pécuniaires atteignent 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, si ce montant est supérieur, pour les entités essentielles, et 7 millions ou 1,4 % pour les entités importantes. En cas d’inexécution des mises en demeure de l’ACN, l’incapacité temporaire d’exercer des fonctions dirigeantes est également prévue pour les administrateurs et les dirigeants (art. 38). Le risque le plus concret reste toutefois un incident géré sans procédures : arrêts d’activité, notifications hors délai, clients et autorités à informer sans données fiables.

Notre approche

Nous partons de la question qui compte : la norme s’applique-t-elle, et à quoi ? Nous examinons le secteur, les seuils, les services et les liens de groupe, puis traçons la frontière entre ce qui entre dans le périmètre et ce qui en reste dehors. Cela évite deux erreurs opposées : tout mettre en conformité sans nécessité, ou négliger des obligations assorties de sanctions.

Suit une gap analysis au regard des mesures de l’art. 24 et des mesures de base de l’ACN, menée par entretiens, analyse documentaire et, là où c’est utile, vérifications techniques ciblées telles que l’évaluation des vulnérabilités et les tests d’intrusion. Le résultat est un plan de mise en conformité ordonné par priorité, avec responsables et échéances, que l’organe d’administration approuve en connaissance de cause.

Lors de la mise en œuvre, nous travaillons aux côtés de la DSI, des fonctions opérationnelles, des achats et de la direction : nous rédigeons des politiques et des procédures brèves, prenons en charge les obligations envers l’ACN, structurons la gestion des incidents, portons des exigences de sécurité dans les contrats fournisseurs et formons ceux qui décident comme ceux qui opèrent. Là où existent déjà un système ISO/IEC 27001 ou un système de gestion RGPD structuré, nous intégrons la NIS2 dans les contrôles existants au lieu de bâtir un système parallèle : la même analyse des risques, la même procédure d’incident avec ses différents canaux de notification, le même registre des fournisseurs.

Nous concluons par des exercices sur la procédure d’incident et des vérifications périodiques d’efficacité, car la conformité NIS2 est une obligation continue et non un projet qui s’achève avec une livraison.

Ce qui distingue notre service

• Le périmètre avant tout : un avis d’applicabilité motivé, pour investir seulement là où la norme l’exige.
• Une gouvernance concrète : délibérations, flux d’information et formation conçus pour des administrateurs qui doivent décider, non pour des techniciens.
• Intégration : analyse des risques, procédure d’incident et registre des fournisseurs partagés entre NIS2, RGPD et ISO/IEC 27001, sans construire de systèmes parallèles.
• La preuve sur le terrain : vérifications techniques et exercices pour établir que les mesures fonctionnent, et pas seulement qu’elles sont écrites.