Régime de supervision différencié (NIS2)

Définition

Le régime de supervision différencié est le principe organisant, dans la directive NIS2, deux niveaux distincts de contrôle selon le statut de l'entité régulée. Les entités essentielles sont soumises à une supervision ex ante, c'est-à-dire proactive : l'autorité nationale compétente peut mener des inspections sur site et hors site, des audits de sécurité réguliers et ciblés, des demandes d'information et des scans de sécurité, sans attendre qu'un manquement ait été signalé ou qu'un incident se soit produit. Les entités importantes, en revanche, relèvent d'une supervision ex post, principalement réactive, déclenchée lorsque l'autorité dispose d'éléments concrets laissant présumer un manquement, par exemple à la suite d'un incident, d'un signalement ou d'informations issues d'une autre autorité. Cette distinction reflète une logique de proportionnalité tenant compte de la criticité présumée plus élevée des entités essentielles pour la société et l'économie, sans pour autant exonérer les entités importantes de leurs obligations de fond, identiques dans leur contenu en matière de gestion des risques et de notification d'incident. Pour les organisations, connaître le régime de supervision applicable à leur statut permet d'anticiper la fréquence et la nature des contrôles auxquels elles peuvent être soumises et de calibrer en conséquence leur niveau de préparation documentaire.