E-commerce — NIS2 : le cas des places de marché

De quoi parle NIS2 ?

NIS2 range les places de marché en ligne parmi les fournisseurs numériques. Au-delà du seuil « entité moyenne », elles sont des entités importantes soumises aux mesures de l’article 21 et à la notification des incidents.

Une boutique en ligne classique n’est pas un fournisseur numérique au même titre, mais dépend de la sécurité de ses prestataires.

Le secteur « E-commerce » est-il concerné ?

Les places de marché dépassant le seuil sont concernées comme entités importantes. Les vendeurs tiers et prestataires sont impliqués via la chaîne d’approvisionnement.

Une boutique en propre en deçà du seuil est concernée surtout indirectement.

Obligations détaillées

Sanctions & risques

Pour les entités importantes, jusqu’à 7 M€ ou 1,4 % du CA mondial. Un incident sur une place de marché affecte de nombreux vendeurs et acheteurs.

Calendrier d’application

• 1Directive. Adoptée fin 2022.
• 2France. Transposition en cours ; places de marché à anticiper.

Erreurs fréquentes dans le secteur

• 1Statut non tranché. Ne pas déterminer si l’on est fournisseur numérique.
• 2Chaîne non sécurisée. Laisser des intégrations tierces non encadrées.
• 3Pas de continuité. Négliger la disponibilité du service.
• 4Direction absente. Cantonner la sécurité à la technique.

Cas pratique

Une place de marché dépassant le seuil structure sa conformité NIS2 en généralisant le MFA, en encadrant son prestataire de paiement et ses intégrations, et en formalisant sa notification d’incident et sa continuité.

Feuille de route de mise en conformité

1. 1

   Qualifier. Déterminer si vous êtes place de marché visée.

2. 2

   Sécuriser. Déployer les mesures de l’article 21.

3. 3

   Chaîne. Encadrer hébergeur et paiement.

4. 4

   Continuité. Préparer la haute disponibilité.

5. 5

   Notifier. Outiller l’alerte.

Questions fréquentes