La directive NIS2 élargit massivement le périmètre de la réglementation européenne en cybersécurité. Beaucoup d'éditeurs de logiciels pensent ne pas être concernés. En pratique, ils le sont presque toujours — soit directement, soit par leurs clients, qui doivent désormais sécuriser leur chaîne d'approvisionnement numérique.
Qui est concerné
NIS2 distingue les entités « essentielles » et « importantes », réparties dans dix-huit secteurs, dont l'énergie, la santé, les transports, l'administration publique, l'eau, la finance, l'espace, la fabrication et surtout les fournisseurs de services numériques : services d'informatique en nuage, centres de données, places de marché en ligne, services managés et services de sécurité managés.
Le critère de taille (à partir de 50 salariés ou 10 millions d'euros de chiffre d'affaires) désigne l'assujettissement direct. Mais l'effet le plus important pour un petit éditeur est indirect : ses clients assujettis doivent évaluer et contractualiser la sécurité de leurs fournisseurs. Concrètement, un SaaS non conforme sort des listes d'achat, quelle que soit sa taille.
Les obligations concrètes
La directive impose des mesures de gestion des risques proportionnées, parmi lesquelles :
- politique d'analyse des risques et de sécurité des systèmes d'information ;
- gestion des incidents (détection, traitement, retour d'expérience) ;
- continuité d'activité, sauvegardes et gestion de crise ;
- sécurité de la chaîne d'approvisionnement, y compris les relations avec les prestataires ;
- sécurité de l'acquisition, du développement et de la maintenance des systèmes, avec gestion des vulnérabilités ;
- évaluation de l'efficacité des mesures ;
- hygiène informatique de base et formation à la cybersécurité ;
- politiques de chiffrement ;
- sécurité des ressources humaines, contrôle d'accès et gestion des actifs ;
- authentification multifacteur et communications sécurisées.
La notification des incidents : un calendrier serré
En cas d'incident significatif, le rythme imposé est le suivant : alerte précoce sous 24 heures, notification d'incident sous 72 heures avec une évaluation initiale, puis rapport final sous un mois. Un incident est significatif s'il provoque une perturbation opérationnelle grave, des pertes financières importantes ou un préjudice à d'autres entités.
Tenir ces délais suppose une chose : disposer de journaux exploitables et d'une procédure d'incident écrite et testée. Une équipe qui découvre l'incident dans ses logs trois semaines plus tard est déjà en infraction.
Sanctions et responsabilité des dirigeants
Les entités essentielles s'exposent à des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial ; les entités importantes 7 millions d'euros ou 1,4 %. Nouveauté majeure : les organes de direction doivent approuver les mesures, s'y former, et peuvent être tenus personnellement responsables des manquements. La cybersécurité devient un sujet de conseil d'administration.
Que faire dans les 90 prochains jours
- Déterminer votre statut : assujetti direct, ou fournisseur d'entités assujetties.
- Réaliser une analyse d'écart entre vos pratiques actuelles et les mesures listées ci-dessus.
- Écrire et tester la procédure de notification d'incident, avec les rôles et les délais.
- Mettre en place l'authentification multifacteur, la journalisation centralisée et les sauvegardes vérifiées.
- Formaliser un dossier de conformité réutilisable pour répondre aux questionnaires clients.
- Lancer une démarche ISO 27001, qui couvre la quasi-totalité des exigences et fournit une preuve reconnue.
Conclusion
NIS2 ne demande pas l'impossible : elle demande de faire correctement, et de pouvoir le prouver, ce que la sécurité applicative exige depuis longtemps. Pour un éditeur SaaS, le chemin le plus court consiste à construire — ou reconstruire — la plateforme sur un socle déjà conforme, plutôt que d'empiler des rustines réglementaires sur une architecture qui n'a pas été conçue pour cela.