DE
EN
IT
العربية
Contents 5
- How large is the gap between expected and registered NIS2-affected entities?
- Why can companies not simply read off whether they are affected?
- What does this mean for the quality of a company's own scope assessment?
- What does this mean for companies outside Germany?
- How can companies concretely improve their own scope assessment?
Le gouvernement allemand avait initialement estimé que près de 30’000 entreprises devraient s’enregistrer comme infrastructures critiques au titre de NIS2. Dans les faits, environ 10’000 notifications manquent encore par rapport à cette attente, comme le rapporte Golem. Le gouvernement lui-même ne qualifie pas cela de lacune au sens strict. Cette appréciation mérite un examen plus approfondi, car elle en dit long sur la nature même de la détermination du périmètre.
L’écart d’environ 10’000 entreprises entre le nombre d’entités concernées par NIS2 attendu par le gouvernement allemand et le nombre effectivement enregistré auprès du BSI montre que déterminer sa propre applicabilité est un exercice exigeant, qui requiert une documentation. Les entreprises devraient rendre traçable, par écrit, leur évaluation sectorielle et des seuils, plutôt que de s’en remettre à une appréciation intuitive.
Quelle est l’ampleur de l’écart entre les entités NIS2 attendues et enregistrées ?
L’attente d’environ 29’500 entités soumises à enregistrement reposait sur un calcul de l’Office fédéral de la statistique. Le nombre effectif de notifications est resté nettement inférieur à ce chiffre.
L’attente de 29’500 entités concernées reposait sur un calcul de l’Office fédéral de la statistique (Statistisches Bundesamt), sur lequel le gouvernement allemand s’est appuyé lors de l’adoption de la loi de transposition de NIS2. Même après l’octroi d’un délai supplémentaire, l’écart a persisté. Environ 10’000 enregistrements manquent actuellement par rapport à la prévision, après que seuls environ 11’500 opérateurs s’étaient dûment enregistrés dans le délai initialement fixé.
La manière dont le gouvernement présente cet écart est remarquable : non pas comme la preuve d’un défaut d’enregistrement systématique, mais comme une question ouverte de savoir si l’estimation initiale elle-même avait été fixée trop haut. Cette incertitude du côté statistique fait écho à une incertitude qui existe également du côté des entreprises.
Pourquoi les entreprises ne peuvent-elles pas simplement déduire si elles sont concernées ?
L’applicabilité de NIS2 résulte d’une combinaison entre l’appartenance sectorielle et un seuil de taille, que chaque entreprise doit évaluer et documenter elle-même, sans notification préalable des autorités.
L’applicabilité résulte de deux critères qui doivent être remplis simultanément : l’appartenance sectorielle et la taille de l’entreprise, les annexes pertinentes énumérant 18 secteurs, dont l’énergie, les transports, la santé, l’eau, les infrastructures numériques, les services informatiques, la chimie, l’alimentation et l’industrie manufacturière. Il n’existe aucune attribution externe par une autorité. Les entités concernées doivent s’identifier elles-mêmes ; il n’y a ni avis officiel ni demande d’une autorité.
L’association des services publics municipaux formule la cause avec clarté : la principale raison de la lacune d’enregistrement actuelle réside dans la complexité de l’évaluation de l’applicabilité. Lorsque l’auto-évaluation sans boucle de rétroaction constitue la base, la qualité de la méthodologie d’évaluation interne devient le facteur décisif.
Qu’est-ce que cela signifie pour la qualité de l’évaluation de périmètre propre à une entreprise ?
Une évaluation ponctuelle et informelle ne suffit pas, car la classification sectorielle, les structures de groupe et les seuils peuvent évoluer dans le temps et doivent être documentés de manière traçable.
L’expérience allemande montre que même des entreprises disposant de ressources de conformité peuvent mal évaluer leur classification, ou simplement négliger qu’une partie de leur propre activité relève d’un secteur réglementé. Cela concerne non seulement les entreprises ayant un lien évident avec les infrastructures critiques, mais aussi les fournisseurs et prestataires de services dont la classification ne résulte que de relations en chaîne. Une entreprise qui ne réalise son évaluation d’applicabilité qu’une seule fois, sans la renouveler à chaque changement pertinent, risque de sortir discrètement du périmètre ou d’y entrer discrètement.
Pour la fonction GRC, cela signifie que la détermination du périmètre elle-même devrait être traitée comme un objet de contrôle, avec des responsabilités claires et un examen récurrent. L’article « Repenser la cyber-résilience dans le contexte de NIS2 » décrit comment cette exigence peut être intégrée dans un concept de résilience existant.
Qu’est-ce que cela signifie pour les entreprises hors d’Allemagne ?
Les entreprises suisses disposant de filiales, de succursales ou de relations clients significatives dans l’UE devraient elles aussi vérifier si l’applicabilité de NIS2 découle de ce lien.
La lacune d’enregistrement est un phénomène allemand, mais le problème sous-jacent de la détermination du périmètre ne l’est pas. Chaque État membre de l’UE transpose NIS2 avec ses propres délais et procédures, ce qui implique des étapes d’évaluation supplémentaires pour les entreprises opérant au-delà des frontières. L’analyse « Résolution NIS2 au Bundestag : pression à agir pour les entreprises » expose les conséquences de la transposition allemande pour les relations d’affaires transfrontalières.
Pour la Suisse elle-même, la discussion autour d’une loi distincte sur la cyber-résilience se déroule en parallèle, avec sa propre systématique. L’article « Le Conseil fédéral annonce une nouvelle loi sur la cyber-résilience » décrit l’état actuel de cette initiative.
Comment les entreprises peuvent-elles concrètement améliorer leur propre évaluation de périmètre ?
La première étape consiste en une analyse sectorielle et des seuils écrite et documentée, approuvée par la direction générale et mise à jour à chaque changement structurel pertinent.
L’analyse doit indiquer quelle activité est rattachée à quel secteur, quels indicateurs de taille ont été utilisés, et qui est responsable de l’évaluation. Cette documentation ne sert pas seulement à la clarté interne, mais aussi de preuve envers les autorités de surveillance et les partenaires commerciaux, qui exigent eux-mêmes de plus en plus de justificatifs. L’article « ISMS : les personnes, les processus et la technologie sont déterminants » montre comment une telle évaluation peut être intégrée à un système de management existant.
Le responsable conformité ou risques devrait finaliser l’analyse de périmètre avant la prochaine revue de direction du système de management de la sécurité de l’information et la soumettre pour approbation au responsable de la gouvernance. Il s’agit d’une première étape gérable et vérifiable, réalisable indépendamment de la taille de l’entreprise.
Questions fréquentes
Qu’est-ce que la lacune d’enregistrement NIS2 ?
Le gouvernement allemand attendait environ 29’500 entreprises soumises à l’enregistrement NIS2, sur la base d’un calcul de l’Office fédéral de la statistique. Or, à l’échéance initiale, seuls environ 11’500 opérateurs s’étaient enregistrés, et environ 10’000 notifications manquent encore aujourd’hui par rapport à la prévision. Le gouvernement n’y voit pas seulement la preuve d’un défaut d’enregistrement, mais aussi une possible surestimation du chiffre initial.
Quels critères déterminent si une entreprise est concernée par NIS2 ?
L’applicabilité résulte de deux critères qui doivent être remplis simultanément : l’appartenance à l’un des 18 secteurs listés, tels que l’énergie, les transports, la santé ou les services informatiques, et le franchissement de certains seuils de taille d’entreprise. Il n’existe aucune classification externe par une autorité ; les entreprises doivent s’identifier elles-mêmes.
Les entreprises suisses doivent-elles se préoccuper de NIS2 ?
NIS2 est un droit de l’UE qui ne s’applique directement qu’aux entreprises situées dans les États membres. Les entreprises suisses disposant de filiales, de succursales ou de relations clients significatives dans l’UE devraient néanmoins vérifier si une applicabilité découle de ce lien. Pour la Suisse elle-même, une loi distincte sur la cyber-résilience est discutée en parallèle.
Pourquoi une évaluation ponctuelle de l’applicabilité de NIS2 n’est-elle pas suffisante ?
La classification sectorielle, les structures de groupe et les seuils peuvent évoluer dans le temps, par exemple sous l’effet de la croissance, d’une restructuration ou de nouvelles lignes d’activité. Une entreprise qui ne réalise l’évaluation d’applicabilité qu’une seule fois risque de sortir ou d’entrer dans le périmètre sans s’en rendre compte. L’évaluation devrait donc être renouvelée et documentée à chaque changement pertinent.
Comment une analyse de périmètre NIS2 doit-elle être documentée ?
La documentation doit indiquer quelle activité est rattachée à quel secteur, quels indicateurs de taille ont été utilisés, et qui est responsable de l’évaluation. Elle doit être approuvée par la direction générale et mise à jour lors des changements structurels pertinents. Cette documentation sert également de preuve envers les autorités et les partenaires commerciaux.
- NIS-2-regulierte UnternehmenBundesamt für Sicherheit in der Informationstechnik (BSI)
