Enregistrement NIS2

conformite

Définition

L'enregistrement (ou enrôlement) auprès de l'autorité nationale compétente est l'une des premières obligations concrètes que NIS2 impose aux entités soumises à la directive. En France, cela se traduit par l'obligation pour les entités essentielles et importantes de s'enregistrer auprès de l'ANSSI via un portail dédié, permettant ainsi à l'autorité compétente d'identifier l'ensemble des entités soumises à NIS2 et de leur adresser des communications, alertes et demandes d'information. Selon l'article 3 de NIS2, les entités doivent s'identifier auprès de l'autorité compétente en fournissant au minimum : le nom de l'entité, son secteur d'activité (Annexe I ou II), sa qualification (essentielle ou importante), son adresse, ses coordonnées (dont contact pour la cybersécurité et les urgences), et les États membres de l'UE dans lesquels elle fournit des services. En France, l'ANSSI a développé un portail d'enregistrement NIS2 (MonEspaceANSSI) permettant aux entités de s'identifier, de déclarer leurs informations de base, et de recevoir les communications de l'autorité. Ce portail est également le canal par lequel les notifications d'incidents significatifs seront soumises. L'auto-identification est un aspect important de NIS2 : contrairement au régime OIV où l'État désigne les opérateurs, NIS2 repose sur les entités pour identifier elles-mêmes si elles remplissent les critères d'application de la directive (secteur d'activité + taille). Les entités qui omettent de s'enregistrer alors qu'elles sont soumises à NIS2 s'exposent à des sanctions. Le délai d'enregistrement est fixé par chaque État membre dans sa transposition nationale. En France, les entités avaient jusqu'à une date limite fixée dans la loi de transposition pour s'enregistrer. L'ANSSI a accompagné cet enregistrement par des outils de qualification en ligne (test en libre accès permettant à une entité de vérifier si elle est soumise à NIS2 avant de s'enregistrer).

Processus d'enregistrement et informations requises

L'article 3 de NIS2 impose aux entités de s'identifier auprès de leur autorité nationale compétente. En France, cela se fait via le portail MonEspaceANSSI. Les informations à fournir : dénomination sociale, secteur Annexe I ou II, qualification essentielle ou importante, adresses (siège, lieux d'activité principaux en UE), coordonnées du contact cybersécurité (utilisé pour les alertes et communications), et périmètre géographique des services (États membres concernés).

L'enregistrement ne doit pas être confondu avec la conformité NIS2 : s'enregistrer est une obligation formelle administrative. La conformité effective aux obligations de fond (mesures de sécurité art. 21, gestion des risques, notification d'incidents) est une obligation substantielle distincte qui doit être mise en œuvre dans les délais prévus par la transposition nationale.

Auto-identification et qualification des entités

NIS2 repose sur un mécanisme d'auto-identification : les entités doivent elles-mêmes déterminer si elles remplissent les critères d'application (secteur Annexe I ou II + seuil de taille). Ce mécanisme est très différent du régime OIV français où c'est l'État qui désigne les opérateurs de façon confidentielle.

L'ANSSI a publié des outils d'aide à la qualification : questionnaires en ligne, guides sectoriels, et FAQ permettant aux entités de déterminer leur statut NIS2. Pour les secteurs les plus complexes (ex. : gestion des services TIC avec plusieurs catégories), l'ANSSI peut être consultée directement pour clarifier la qualification.

Enregistrement et supervision différenciée

L'enregistrement déclenche des obligations de supervision différenciées selon la qualification (essentielle vs importante) : les entités essentielles sont soumises à une supervision proactive (inspections, audits, contrôles sur pièces initiés par l'ANSSI), tandis que les entités importantes font l'objet d'une supervision réactive (contrôles déclenchés par des incidents, des plaintes ou des informations obtenues par l'ANSSI).

L'ANSSI utilise le registre des entités NIS2 pour envoyer des alertes sur des vulnérabilités critiques, des menaces spécifiques à certains secteurs, et des recommandations de sécurité. Les entités enregistrées peuvent également bénéficier de services de l'ANSSI comme le partage d'informations sur les menaces via le CERT-FR.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis