Entité Essentielle NIS2

Définition et secteurs concernés

La directive NIS2 (art. 3) distingue deux catégories d'opérateurs. Les entités essentielles (EE) relèvent des secteurs hautement critiques de l'annexe I : énergie (électricité, pétrole, gaz, hydrogène), transports (aérien, ferroviaire, maritime, routier), banque, marchés financiers, santé, eau potable, eaux usées, infrastructure numérique (IXP, fournisseurs DNS, registres de noms de domaine TLD, services de confiance qualifiés), gestion ICT B2B, administration publique centrale, espace.

Pour être qualifiée d'entité essentielle, l'organisation doit généralement dépasser les seuils de grande entreprise (>250 salariés ou >50M€ CA et >43M€ bilan) ET appartenir à l'annexe I. Certaines entités sont qualifiées d'essentielles quel que soit leur taille (administration publique centrale, fournisseurs de services DNS critiques, registres TLD).

Obligations spécifiques des entités essentielles

Les entités essentielles sont soumises à un régime de supervision active (proactive) par les autorités nationales compétentes. Elles doivent mettre en œuvre des mesures de gestion des risques cybersécurité proportionnées aux risques et couvrant au minimum : politique de sécurité, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, sécurité des systèmes, évaluation de l'efficacité des mesures, formation et sensibilisation, cryptographie, sécurité des ressources humaines, contrôle d'accès, gestion des actifs.

La notification des incidents significatifs suit un processus en trois étapes : alerte précoce dans les 24h (sans délai injustifié après prise de connaissance), notification dans les 72h (avec première évaluation de l'incident), rapport final dans le mois. Les incidents sont significatifs s'ils causent une perturbation grave des services ou des pertes financières, ou s'ils affectent d'autres entités ou secteurs.

Sanctions et enregistrement

Les entités essentielles doivent s'enregistrer auprès de l'autorité nationale compétente (ANSSI en France) et fournir des informations sur leur organisation, leurs contacts, les services fournis. Cet enregistrement est obligatoire et préalable à toute supervision.

Les sanctions pour les EE peuvent atteindre 10 millions d'euros ou 2% du chiffre d'affaires mondial annuel total (le plus élevé). Des mesures non financières sont également possibles : suspension temporaire d'un dirigeant de l'entité, injonctions de mise en conformité. La responsabilité personnelle des dirigeants est explicitement engagée par NIS2.