Entités essentielles ou importantes : classification, obligations et supervision
Qui devrait lire ceci : les responsables de la conformité, les décideurs en matière de classification des entités, toute personne qui détermine à quelle catégorie NIS2 appartient votre organisation et les personnes qui gèrent la stratégie de conformité.
Le NIS2 divise les organisations concernées en deux catégories : les entités essentielles et les entités importantes. Cette distinction influe sur vos obligations, sur l'intensité de la surveillance réglementaire et sur les mesures coercitives auxquelles vous pourriez faire face.
Il est essentiel de comprendre cette distinction. Il détermine si les régulateurs procéderont à un audit proactif de votre cybersécurité ou s'ils attendront des preuves de non-conformité avant d'agir. Cela influe sur les amendes maximales que vous pouvez encourir. Il façonne votre stratégie de conformité.
Ce guide explique la distinction, comment la classification est déterminée, quelles obligations diffèrent et quelles en sont les implications pratiques.
La principale distinction : la criticité
La distinction entre les entités essentielles et importantes repose sur la criticité. Les entités essentielles sont essentielles au fonctionnement de la société et de l'économie. Les entités importantes sont concernées, mais elles sont moins critiques qu'essentielles.
L'article 3, paragraphe 1, du NIS2 définit les entités essentielles comme celles relevant de l'annexe I (onze secteurs critiques) qui atteignent le seuil de taille, ou celles que l'État membre a désignées comme essentielles en raison de leur criticité.
L'article 3, paragraphe 2, définit les entités importantes comme celles des annexes I ou II qui ne sont pas considérées comme essentielles.
En résumé : si vous évoluez dans un secteur critique (énergie, transports, santé, etc.), si vous atteignez le seuil de taille (moyenne ou plus) et que vous n'êtes pas exclu, vous êtes essentiel. Si vous appartenez à un secteur relevant de l'annexe I/II mais que vous êtes plus petit, ou si la marge d'appréciation de l'État membre s'applique, vous pouvez être important.
Critères de classification : comment le statut essentiel est déterminé
Une entité est essentielle si elle répond à l'un des critères suivants :
Annexe I, Seuil de taille
Vous êtes inscrit à l'annexe I (l'un des onze secteurs critiques) et vous atteignez le seuil de taille : plus de 250 employés, soit un chiffre d'affaires annuel de plus de 50 millions d'euros, ou un bilan de plus de 25 millions d'euros.
Si vous répondez aux trois critères, vous êtes définitivement essentiel. Si vous répondez à l'un des critères, vous êtes essentiel.
Désignation de l'État membre
Quelle que soit sa taille, un État membre peut désigner une entité comme essentielle s'il détermine que cette entité est essentielle au fonctionnement de la société ou à la fourniture de services essentiels.
Cela donne aux États membres la flexibilité nécessaire pour désigner les petites entités critiques (un service régional de l'eau, un hôpital local remplissant une fonction critique, un fournisseur essentiel) comme essentielles même si les seuils de taille ne sont pas atteints.
C'est discrétionnaire. Les États membres ne sont pas tenus de désigner de petites entités ; ils peuvent choisir de le faire. Mais ils le peuvent.
Annexe II Entités dépassant le chiffre d'affaires
Vous êtes un fournisseur de services numériques (annexe II) et vous dépassez certains seuils de chiffre d'affaires.
L'article 3, paragraphe 1, point c), précise les seuils de chiffre d'affaires pour les entités visées à l'annexe II. Ils varient selon le type d'entité et sont élevés (généralement de l'ordre de plusieurs milliards d'euros pour les fournisseurs de cloud, les moteurs de recherche et les plateformes de réseaux sociaux). Si vous dépassez votre seuil, vous êtes indispensable. Sinon, tu es important.
Entités essentielles : obligations accrues et supervision renforcée
Les entités essentielles font l'objet d'une surveillance réglementaire plus intensive.
Gouvernance (article 20)
Les entités essentielles et importantes doivent se conformer à l'article 20. Cependant, pour les entités essentielles, l'obligation de gouvernance est plus visible et soumise à un contrôle réglementaire plus approfondi.
Les régulateurs vérifieront spécifiquement si votre conseil approuve réellement les mesures de cybersécurité et supervise leur mise en œuvre. Ils examineront les procès-verbaux du conseil pour vérifier les approbations. Ils évalueront si les membres du conseil possèdent des connaissances suffisantes. Les conseils d'administration ne peuvent pas déléguer la gouvernance de la cybersécurité ; ils doivent être directement impliqués.
Approche prudentielle (article 32)
Pour les entités essentielles, l'article 32, paragraphe 2, impose aux régulateurs d'être habilités à effectuer :
Inspections sur place et supervision hors site, y compris des contrôles aléatoires.
Audits de sécurité réguliers et ciblés.
Audits ad hoc lorsque cela est justifié.
Analyses et évaluations de sécurité.
Demandes d'informations et de preuves.
Notez le mot « régulier ». Les régulateurs vérifieront de manière proactive les entités essentielles selon un calendrier régulier, et pas seulement en cas de preuves d'un problème.
Cela signifie que vous devez vous attendre à des audits. Ne soyez pas surpris lorsque les régulateurs se présentent. Maintenez une conformité continue, et non une conformité juste avant les dates d'audit.
Pouvoirs d'exécution (article 32, paragraphes 4 et 5)
Pour les entités essentielles qui ne se conforment pas, les régulateurs disposent de pouvoirs d'exécution maximaux :
Avertissements et instructions contraignantes.
Ordonnances visant à mettre fin à l'infraction.
Ordres de se conformer à l'article 21/23.
Commandes pour informer les clients.
Désignation d'un responsable du suivi.
Divulgation publique des infractions.
Plus important encore, si les instructions contraignantes ne sont pas respectées, les régulateurs peuvent :
Suspendez les certifications ou les autorisations (vous mettant ainsi hors service).
Interdire aux cadres (niveau PDG) d'exercer des fonctions de direction.
Il s'agit de mesures extrêmes, mais elles sont disponibles pour les entités essentielles et peuvent être utilisées en cas d'échec de la conformité.
Amendes (article 34)
Pour les entités essentielles :
Amende standard pour violation de l'article 21/23 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
En cas d'infraction systématique : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires.
Il s'agit de sanctions financières importantes.
Entités importantes : plus légères au toucher mais toujours contraignantes
Les entités importantes sont soumises à une surveillance réglementaire moins intensive mais toujours réelle.
Gouvernance (article 20)
Les entités importantes doivent se conformer à l'article 20 de la même manière que les entités essentielles. Les conseils d'administration doivent approuver et superviser les mesures de cybersécurité. Il n'y a aucune exemption.
Cependant, les régulateurs exerceront probablement une surveillance moins approfondie de la gouvernance des entités importantes que de la gouvernance des entités essentielles. Mais la gouvernance est toujours importante et sera vérifiée si une enquête est ouverte.
Approche prudentielle (article 33)
En ce qui concerne les entités importantes, l'article 33, paragraphe 1, stipule : « Lorsqu'ils reçoivent des preuves, des indications ou des informations indiquant qu'une entité importante ne respecterait pas la présente directive, en particulier ses articles 21 et 23, les États membres veillent à ce que les autorités compétentes prennent des mesures, si nécessaire, par le biais de mesures de surveillance a posteriori. »
Le mot clé est « ex post », après coup. Les régulateurs n'inspectent pas de manière proactive les entités importantes. Ils attendent plutôt des preuves de non-conformité (un incident signalé, une plainte, une vulnérabilité découverte dans les actualités, etc.) avant d'agir.
Ce régime est plus léger que le régime des « audits réguliers » pour les entités essentielles.
Cependant, une fois que des preuves de non-conformité apparaissent, les entités importantes sont soumises aux mêmes pouvoirs de surveillance que les entités essentielles : inspections sur place, audits, demandes d'informations, etc.
Pouvoirs d'exécution (article 33, paragraphe 4)
Pour les entités importantes qui ne se conforment pas, les régulateurs disposent de pouvoirs d'exécution similaires à ceux des entités essentielles :
Avertissements et instructions contraignantes.
Ordonnances visant à mettre fin à l'infraction.
Ordres de se conformer à l'article 21/23.
Commandes pour informer les clients.
Divulgation publique des infractions.
Cependant, les entités importantes ne peuvent pas faire face à :
Désignation d'un responsable du suivi.
Suspension des certifications ou interdiction des cadres.
Ces pouvoirs ne sont disponibles que pour les entités essentielles.
Amendes (article 34)
Pour les entités importantes :
Amende standard pour violation de l'article 21/23 : jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Il n'existe pas de niveau supérieur pour les entités importantes. Le maximum est toujours de 7 millions d'euros, soit 1,4 %, quelle que soit la gravité de l'infraction.
Des amendes moins importantes que celles imposées aux entités essentielles, mais tout de même importantes pour la plupart des organisations.
Implications pratiques de la classification
Cette distinction influe sur votre stratégie de conformité et votre profil de risque.
Attention réglementaire
Les entités essentielles doivent s'attendre à des audits proactifs et réguliers. Prévoyez des ressources pour des interactions régulières avec les auditeurs. Désignez une équipe chargée de répondre aux demandes d'informations et d'organiser des audits. Budget pour les évaluations de sécurité effectuées par des auditeurs indépendants (les régulateurs en auront besoin).
Les entités importantes peuvent ne pas être soumises à des audits à moins qu'un problème ne survienne. Cependant, ne vous en servez pas comme excuse pour faire des économies. Maintenez la conformité quand même. Si un incident survient ou si un client se plaint, une enquête suivra.
Risque d'interruption des opérations
Les entités essentielles sont exposées à un risque accru de perturbation opérationnelle en raison de l'application de la loi. Les régulateurs peuvent suspendre les services ou interdire aux dirigeants. Cela est peu probable pour des violations mineures, mais cela est possible en cas de non-conformité grave et répétée.
Les entités importantes sont moins exposées à cette application extrême. Cependant, il est toujours possible de leur ordonner de remédier à la situation et de se voir infliger de lourdes amendes.
Assurance et responsabilité
Pour les entités essentielles, l'assurance responsabilité cybernétique devient essentielle. Les amendes peuvent être importantes (jusqu'à 20 millions d'euros). Assurez-vous que vos limites d'assurance sont adéquates.
Pour les entités importantes, l'amende maximale est inférieure, mais une assurance est toujours recommandée.
L'assurance responsabilité civile personnelle pour les cadres est importante pour les deux catégories, car les individus peuvent être tenus responsables.
Fardeau de conformité
Les entités essentielles doivent maintenir une conformité continue de haut niveau. Les auditeurs vérifieront. Les régulateurs liront vos politiques. Si vous avez des raccourcis ou des pratiques non documentées, les auditeurs les trouveront.
Les entités importantes peuvent avoir une charge de conformité légèrement plus légère, mais l'obligation reste absolue. Ne négligez pas la conformité simplement parce que vous êtes moins susceptible de faire l'objet d'un audit proactif.
Votre classification peut-elle changer ?
Votre classement n'est pas nécessairement permanent.
Si vous grandissez, vous pouvez passer de l'essentiel à l'essentiel. Si vous réduisez vos effectifs, vous risquez de changer de direction (bien que les régulateurs ne suppriment généralement pas le statut essentiel).
Si l'opinion d'un État membre quant à votre criticité change, vous pourriez être désigné comme essentiel ou retiré de la désignation essentielle.
Votre statut au titre de l'Annexe I/II peut changer si la Directive est modifiée (peu probable à court terme, mais possible).
Surveillez votre classement. Si votre taille ou votre modèle commercial changent, réévaluez votre statut. En cas de doute, demandez des éclaircissements à l'autorité réglementaire de votre État membre.
Coordination intercatégorielle
Si votre organisation compte plusieurs entités dans différents États membres, certaines peuvent être essentielles dans certains pays et importantes dans d'autres. Votre programme de conformité mondial doit répondre aux normes les plus strictes applicables à toute entité.
De plus, si vous êtes une entité importante fournissant des services à une entité essentielle, votre sécurité est importante. L'entité essentielle évaluera vos pratiques en matière de sécurité de la chaîne d'approvisionnement (article 21, paragraphe 2, point d)). Une entité importante qui vend à une entité essentielle fait l'objet d'un examen minutieux même si elle n'est pas elle-même soumise à un examen minutieux des régulateurs.
Positionnement stratégique
Si vous êtes à la limite de l'essentiel/de l'important (par exemple, juste en dessous du seuil de chiffre d'affaires), considérez les compromis suivants :
Si vous vous développez et devenez essentiel, vous êtes soumis à une surveillance plus intensive et à des amendes plus élevées, mais vous pourriez bénéficier de plus de conseils et d'un soutien réglementaires.
Si vous restez en dessous du seuil, vous êtes confronté à une supervision moins intense mais à une plus grande incertitude (les régulateurs attendent que les problèmes agissent).
Il n'y a pas de « meilleure » réponse, cela dépend de votre situation. Mais soyez conscient des compromis.
Points de discussion au niveau du conseil
Les membres du conseil d'administration doivent comprendre la distinction :
Notre entité est-elle essentielle ou importante ? Quelles en sont les implications ?
Si c'est essentiel, comment allons-nous budgétiser les audits réguliers et les interactions avec les régulateurs ?
Si c'est important, comment assurerons-nous la conformité malgré une pression extérieure moins intense ?
Quel est notre risque maximum d'amende ? Notre assurance est-elle adéquate ?
De quelle gouvernance avons-nous besoin pour démontrer la conformité ?
Ces discussions permettent au conseil d'administration de comprendre les enjeux réglementaires.
Liste de contrôle des documents de conformité
Pour les entités essentielles et importantes :
Confirmez votre classement (statut au titre de l'annexe I/II, taille, désignation de l'État membre le cas échéant).
Documentez votre structure de gouvernance (approbations du conseil d'administration, rapports au niveau du conseil d'administration, ligne hiérarchique du CISO).
Maintenir une évaluation des risques de cybersécurité mise à jour au moins une fois par an.
Documentez les dix mesures prévues à l'article 21 (2) et votre mise en œuvre.
Établissez une procédure de réponse aux incidents avec une escalade claire vers les régulateurs (72 heures ou 24 heures selon le type d'entité).
Réaliser des audits internes réguliers.
Maintenir les évaluations des fournisseurs.
Conservez une preuve de l'achèvement de la formation pour le personnel et les membres du conseil d'administration.
Documents sur les approbations des mesures de cybersécurité.
Pour les entités essentielles en particulier :
Préparez-vous à des audits externes réguliers. Établissez un emploi du temps.
Engagez des auditeurs indépendants qualifiés.
Tenez à jour une documentation détaillée de l'état de conformité pour l'inspection des autorités de réglementation.
Pour les entités importantes en particulier :
Même si les audits proactifs sont moins probables, maintenez la même qualité de documentation.
Disposer d'une capacité de réponse claire aux incidents, car un incident déclenchera une enquête.
Principaux points à retenir
- Les entités essentielles sont celles des secteurs de l'annexe I qui atteignent le seuil de taille (plus de 250 employés ou plus de 50 millions d'euros de chiffre d'affaires) ou désignées par les États membres comme critiques ; les entités importantes sont des entités visées qui ne sont pas considérées comme essentielles ; la distinction influe sur l'intensité de la réglementation, les pouvoirs d'exécution et les amendes.
- Les entités essentielles sont soumises à des audits réglementaires réguliers et proactifs ; les régulateurs effectuent régulièrement des inspections sur site, des audits de sécurité, des tests d'intrusion et des demandes d'informations. Les entités importantes sont soumises à une supervision ex post (réactive) : les régulateurs n'agissent que lorsque des preuves de non-conformité apparaissent.
- Les pouvoirs d'exécution des entités essentielles comprennent les avertissements, les instructions contraignantes, les ordres de cessation des infractions, la divulgation publique, la désignation d'un responsable de la surveillance et (si les instructions contraignantes ne sont pas respectées) la suspension des certifications et l'interdiction des dirigeants. Les entités importantes ne peuvent pas faire face à la désignation d'un agent de suivi ni à la suspension/interdiction des dirigeants.
- Les amendes infligées aux entités essentielles peuvent aller jusqu'à 10 millions d'euros, soit 2 % du chiffre d'affaires pour les violations des normes, jusqu'à 20 millions d'euros ou 4 % pour les violations systématiques. Les entités importantes doivent assumer jusqu'à 7 millions d'euros, soit 1,4 % de leur chiffre d'affaires. Les amendes sont basées sur la gravité, la durée, les violations antérieures, les dommages causés et la coopération avec les régulateurs.
- Les entités essentielles et importantes sont soumises à des obligations de gouvernance identiques au titre de l'article 20 (approbation du conseil d'administration et supervision) ; la différence réside dans l'intensité du contrôle réglementaire de la gouvernance, et non dans les obligations elles-mêmes.
- Les organisations doivent comprendre leur classification, prévoir un budget pour les activités de conformité appropriées (plus intensives pour les entités essentielles), maintenir une assurance adéquate et préparer la documentation pour démontrer la conformité (audits, politiques, approbations de gouvernance, dossiers de formation).
