Conformité à NIS2 pour le secteur de l'infrastructure numérique

L'infrastructure numérique soutient le fonctionnement des économies modernes. Les points d'échange Internet, les systèmes de noms de domaine, les services cloud, les centres de données et les réseaux dorsaux de télécommunications constituent la base technique des services critiques à travers l'Union européenne. Une perturbation dans ce secteur peut se propager aux secteurs de l'énergie, des transports, de la finance, de la santé et de l'administration publique.

La directive NIS2 établit des obligations de cybersécurité à l'échelle de l'UE pour les entités Essential et Important et étend considérablement le champ d'application du cadre NIS initial. La conformité à NIS2 pour le secteur de l'infrastructure numérique reflète l'importance systémique de maintenir des services Internet et de connectivité essentiels résilients et sécurisés.

La Directive s'applique aux organisations de taille moyenne et grande opérant dans des secteurs désignés, y compris l'infrastructure numérique. De nombreux opérateurs fournissant des services Internet ou réseau fondamentaux seront concernés.

Si votre organisation opère dans l'infrastructure numérique, elle peut relever de NIS2 en tant qu'entité Essential ou Important.

L’annexe I désigne des secteurs hautement critiques, sans classer automatiquement chaque entité comme essentielle. Selon l’article 3, la règle générale fondée sur la taille est la suivante :

• Grandes entreprises — entités essentielles : au moins 250 salariés, ou à la fois un chiffre d’affaires annuel supérieur à 50 millions € et un total du bilan supérieur à 43 millions €.
• Moyennes entreprises — entités importantes : sans être grandes, au moins 50 salariés, ou à la fois un chiffre d’affaires annuel et un total du bilan supérieurs à 10 millions €.

Annexe pertinente : Annexe I (Secteurs hautement critiques)

Couverture des sous-secteurs (Annexe I – Infrastructure numérique) :

• Fournisseurs de points d'échange Internet (IXP)
• Fournisseurs de services du système de noms de domaine (DNS)
• Registres de noms de domaine de premier niveau (TLD)
• Fournisseurs de services de cloud computing
• Fournisseurs de services de centres de données
• Fournisseurs de réseaux de diffusion de contenu (CDN)
• Prestataires de services de confiance
• Fournisseurs de réseaux publics de communications électroniques
• Fournisseurs de services de communications électroniques accessibles au public

Exceptions pour les infrastructures numériques : les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS sont essentiels quelle que soit leur taille. Les fournisseurs de réseaux publics de communications électroniques ou de services de communications électroniques accessibles au public de taille moyenne sont également essentiels. Les autres prestataires de services de confiance et fournisseurs de communications publiques relèvent de NIS2 quelle que soit leur taille, mais sont généralement importants sauf si l’article 3 prévoit une classification essentielle.

Les règles européennes relatives aux PME s’appliquent, y compris l’agrégation des entreprises partenaires et liées lorsque requise (recommandation 2003/361/CE). Les petites et microentreprises ne relèvent pas automatiquement de NIS2 du seul fait de leur activité dans un secteur de l’annexe I. Les exceptions légales, l’identification nationale comme entité essentielle ou importante et l’identification comme entité critique au titre de la directive CER peuvent déroger à la règle générale fondée sur la taille (articles 2 et 3).

La conformité à NIS2 pour le secteur de l'infrastructure numérique s'applique à :

• Entreprises de taille moyenne (50 employés ou plus, ou chiffre d'affaires annuel supérieur à 10 millions d'euros et total du bilan supérieur à 10 millions d'euros ; les entreprises partenaires et liées sont prises en compte)
• Grandes entreprises dépassant ces seuils
• Certains fournisseurs critiques désignés en vertu du droit national, le cas échéant

Cela comprend les fournisseurs de cloud, les exploitants de centres de données, les opérateurs DNS, les fournisseurs de réseaux de télécommunications et les prestataires de services de confiance qui atteignent les seuils de taille de l'UE.

Les entités moyennes et grandes de ce secteur remplissent généralement le critère de taille de NIS2. Les petites et microentités sont généralement hors champ, sauf disposition légale indépendante de la taille ou désignation nationale formelle. Appliquez la définition européenne des PME et l’agrégation des entreprises partenaires et liées selon la recommandation 2003/361/CE, et vérifiez les règles sectorielles et la transposition nationale.

En vertu de l'Article 21 de la NIS2 Directive, les entités d'infrastructure numérique doivent mettre en œuvre des mesures techniques et organisationnelles appropriées et proportionnées pour gérer les risques de cybersécurité.

Les mesures obligatoires comprennent :

• Cadre de gestion des risques
• Procédures de gestion des incidents
• Continuité d'activité et reprise après sinistre
• Sécurité de la chaîne d'approvisionnement
• Développement et maintenance sécurisés
• Politiques sur le chiffrement et la cryptographie
• Contrôle d'accès et MFA
• Gestion des vulnérabilités et des correctifs
• Formation aux bonnes pratiques d'hygiène cyber
• Utilisation de communications sécurisées

Pour le secteur de l'infrastructure numérique, ces mesures de sécurité NIS2 doivent protéger l'architecture réseau centrale, les systèmes de routage, les environnements de virtualisation, l'infrastructure DNS et les plateformes cloud. La haute disponibilité, la redondance et les modèles de résilience distribuée sont au cœur de la conformité.

La conformité à NIS2 pour le secteur de l'infrastructure numérique nécessite une surveillance renforcée de la chaîne d'approvisionnement, en particulier lorsque l'infrastructure dépend de fournisseurs de matériel, de fournisseurs de logiciels et d'accords de connectivité transfrontaliers. Les principes de sécurité dès la conception (security-by-design) et la surveillance continue sont essentiels.

Les entités d'infrastructure numérique doivent respecter les délais de notification des incidents prévus par NIS2 lorsque des incidents significatifs se produisent.

Les obligations de notification comprennent :

Les rapports doivent être soumis au CSIRT national ou à l'autorité compétente.

La règle NIS2 des 24 heures est particulièrement critique dans ce secteur, car des pannes ou compromissions des services DNS, des services cloud ou des réseaux de communications peuvent avoir un impact transversal étendu. Les incidents affectant la disponibilité, l'intégrité ou la confidentialité de l'infrastructure de base seront souvent considérés comme significatifs.

Le défaut de notification dans les délais prescrits peut entraîner des mesures d'exécution et des amendes administratives.

La conformité à NIS2 pour le secteur de l'infrastructure numérique impose une responsabilité directe à l'organe de direction.

Les exigences clés en matière de gouvernance comprennent :

• Approbation des mesures de gestion des risques de cybersécurité par l'organe de direction
• Supervision continue de la mise en œuvre
• Formation obligatoire en cybersécurité pour la direction
• Exposition potentielle à une responsabilité personnelle en vertu du droit national

Article 21 de la NIS2 Directive élève la cybersécurité au rang d'obligation au niveau du conseil d'administration. La direction exécutive doit s'assurer que les contrôles de cybersécurité disposent des ressources nécessaires, sont documentés et régulièrement revus.

Pour les fournisseurs d'infrastructure numérique, les défaillances de gouvernance peuvent entraîner des perturbations intersectorielles et un renforcement de la surveillance réglementaire.

En tant qu'entités Annex I, les organisations d'infrastructure numérique classées comme entités Essential sont soumises à une supervision proactive. Les autorités compétentes peuvent effectuer des audits, des inspections et des évaluations de cybersécurité indépendamment de la survenue d'un incident.

Les amendes administratives pour non-conformité sont :

• Entités Essential : Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total (selon la valeur la plus élevée)

Les lois nationales de transposition peuvent affiner la coordination de la supervision, mais la Directive établit des seuils minimaux de pénalité harmonisés entre les États membres.

Compte tenu de l'impact systémique des perturbations de l'infrastructure numérique, l'application des mesures d'exécution est attendue comme étant structurée, fondée sur le risque et coordonnée entre les juridictions.

Les entreprises du secteur de l'infrastructure numérique devraient suivre des étapes structurées vers la conformité à NIS2 :

1. Réaliser une analyse des écarts par rapport à NIS2
2. Cartographier les dépendances critiques des réseaux et des plateformes
3. Formaliser un cadre documenté de gestion des risques de cybersécurité
4. Mettre à jour et tester les plans de réponse aux incidents et de continuité de service
5. Examiner les contrats des fournisseurs tiers de matériel et de logiciels
6. Former la direction exécutive et les responsables techniques
7. Établir un flux de notification 24h/72h/1 mois

Une préparation précoce réduit le risque d'application de sanctions et protège la continuité des services.

Les entités d'infrastructure numérique sont confrontées à des risques spécifiques au secteur en vertu de NIS2 :

• Pannes de service : Des incidents cyber peuvent perturber les services cloud, DNS ou de communications.
• Impact intersectoriel : La perturbation peut se propager aux secteurs de l'énergie, des transports, de la finance et de la santé.
• Compromission de la chaîne d'approvisionnement : Les fournisseurs de matériel et de logiciels peuvent introduire des vulnérabilités.
• Amendes réglementaires : La non-conformité expose les fournisseurs à des sanctions financières substantielles.
• Atteinte à la réputation : La fiabilité des services est centrale pour la confiance des clients.

La conformité à NIS2 pour le secteur de l'infrastructure numérique est donc une exigence fondamentale pour la résilience numérique de l'UE.