NIS2 : ce qui retombe sur les prestataires d'infrastructure

Une directive ne s'applique pas directement : elle est transposée dans le droit national, avec des marges d'appréciation. Ce qui, en revanche, s'applique immédiatement et sans transposition, ce sont les clauses que les entités régulées font signer à leurs fournisseurs pour se conformer à leurs propres obligations. C'est par là que le texte atteint des acteurs qui ne figurent dans aucune annexe.

Qui est visé, et selon quelle logique

Le texte distingue deux catégories, les entités essentielles et les entités importantes, définies par croisement de trois critères : le secteur d'activité, la taille de l'organisation, et parfois une désignation individuelle par l'autorité nationale. Les secteurs couverts sont beaucoup plus larges que dans le dispositif précédent : énergie, transports, santé, eau, banque, infrastructures numériques, administration publique, mais aussi gestion des déchets, agroalimentaire, fabrication, services postaux ou recherche.

La différence entre les deux catégories ne porte pas sur les obligations de sécurité, qui sont les mêmes, mais sur le régime de contrôle et sur le niveau des sanctions. Les entités essentielles font l'objet d'une supervision qui peut être exercée avant tout incident ; les entités importantes relèvent d'un contrôle déclenché a posteriori.

Les mesures exigées, et leur traduction opérationnelle

Le texte énumère des mesures de gestion des risques que toute entité doit mettre en place, proportionnées à son exposition. On y trouve l'analyse de risques et les politiques de sécurité, la gestion des incidents, la continuité d'activité et la gestion des sauvegardes, la sécurité de la chaîne d'approvisionnement, la sécurité du développement et de la maintenance, l'évaluation de l'efficacité des mesures, l'hygiène de base et la formation, la cryptographie, la sécurité des ressources humaines et le contrôle d'accès, ainsi que l'authentification à plusieurs facteurs.

Deux d'entre elles produisent l'essentiel des effets sur les prestataires. La sécurité de la chaîne d'approvisionnement oblige l'entité régulée à évaluer ses fournisseurs et à répercuter des exigences dans ses contrats. La continuité et la gestion des sauvegardes obligent à démontrer que la reprise fonctionne, ce qui suppose des tests documentés, sujet que nous traitons dans nos notes sur le rituel trimestriel de test de restauration.

Les clauses qui apparaissent dans les contrats

Cinq familles de clauses se sont généralisées, et elles concernent tout prestataire d'infrastructure, qu'il soit lui-même régulé ou non.

La première impose une notification vers le client dans un délai court, souvent douze ou vingt-quatre heures, afin que le client puisse tenir son propre délai réglementaire. Elle change la nature de l'astreinte : il ne s'agit plus seulement de rétablir, mais aussi de qualifier et de prévenir, ce qui suppose des seuils écrits, sujet développé dans nos notes sur l'organisation d'une astreinte de nuit.

La deuxième impose la communication de la liste des sous-traitants et de leur localisation, avec droit d'objection en cas de changement. La troisième ouvre un droit d'audit ou, à défaut, exige la production de rapports d'audit existants. La quatrième porte sur les délais d'application des correctifs de sécurité, désormais chiffrés par niveau de criticité. La cinquième impose la démonstration périodique de la reprise d'activité.

Ces clauses ne remplacent pas les engagements de service classiques, elles s'y ajoutent, et il faut vérifier qu'elles ne les contredisent pas. La méthode de relecture est celle exposée dans notre décorticage d'un SLA d'infogérance ligne à ligne.

La responsabilité des dirigeants, changement le plus concret

Le texte prévoit que les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et suivent une formation. Il prévoit également qu'ils puissent être tenus responsables des manquements. Cette disposition explique pourquoi les sujets d'infrastructure remontent en comité de direction depuis deux ans, et pourquoi les demandes de preuve écrite se multiplient.

Concrètement, cela déplace la charge vers la documentation : inventaire du parc, cartographie des dépendances, procédures testées et journaux conservés. L'inventaire est le socle de tout le reste, et il ne tient que s'il est alimenté automatiquement, ce que nous détaillons dans nos notes sur la tenue d'une CMDB vivante.

Ce qui se combine avec le reste

Pour les données de santé, le régime de certification prévu par le code de la santé publique continue de s'appliquer en propre, avec son propre périmètre, comme nous l'expliquons dans notre analyse de ce que la certification HDS impose vraiment. Pour les besoins de souveraineté, la qualification délivrée par l'agence nationale poursuit un objectif distinct, détaillé dans notre note sur le périmètre réel de SecNumCloud. Aucun de ces dispositifs ne dispense des autres.

Enfin, la mesure la plus efficace pour tenir les délais de notification reste la capacité à détecter tôt. Les intrusions par rançongiciel commencent plusieurs jours avant le chiffrement, et c'est dans cet intervalle que se joue la différence, comme nous le montrons dans notre chronologie des attaques qui visent d'abord les sauvegardes.