Éditeurs de logiciels & NIS2 : êtes-vous concerné ?

De quoi parle NIS2 ?

NIS2 classe les organisations en entités essentielles et importantes selon leur secteur (annexes I et II) et leur taille. Les entités importantes sont soumises à un contrôle a posteriori, les essentielles à une supervision plus poussée.

Les éditeurs relèvent le plus souvent de la catégorie « fournisseurs numériques » ou « gestion de services TIC (B2B) », dès lors qu’ils dépassent le seuil de taille.

Le secteur « Éditeurs de logiciels » est-il concerné ?

Un éditeur fournissant des services numériques (SaaS, place de marché, cloud) ou de gestion de services TIC, au-delà du seuil « entité moyenne », est visé comme entité importante. Des exceptions existent pour certains acteurs jugés critiques indépendamment de leur taille.

En deçà du seuil, l’obligation retombe fréquemment par ricochet : les clients soumis à NIS2 doivent sécuriser leur chaîne d’approvisionnement et répercutent donc les exigences par contrat.

Obligations détaillées

Sanctions & risques

Pour les entités importantes, les amendes peuvent atteindre 7 M€ ou 1,4 % du chiffre d’affaires mondial (10 M€ ou 2 % pour les entités essentielles). NIS2 introduit surtout la responsabilité personnelle des dirigeants, qui peuvent se voir imposer des mesures et, dans certains cas, une interdiction temporaire d’exercer des fonctions de direction.

Le risque commercial est tout aussi réel : un défaut de conformité peut disqualifier l’éditeur d’appels d’offres auprès de clients eux-mêmes soumis à NIS2.

Calendrier d’application

• 1Directive. Adoptée fin 2022 ; transposition attendue par les États membres.
• 2France. Loi de transposition en cours de finalisation ; anticiper les obligations sans attendre l’entrée en application.

Erreurs fréquentes dans le secteur

• 1« Réservé aux grands groupes ». Croire NIS2 limité aux grandes entreprises, alors que le seuil est atteint dès 50 salariés ou 10 M€.
• 2Chaîne d’approvisionnement ignorée. Négliger la sécurité des composants et fournisseurs, pourtant au cœur de NIS2.
• 3Pas de processus d’incident. Ne pas disposer d’une procédure d’alerte et de notification.
• 4Direction absente. Laisser la cybersécurité à la seule technique, sans implication de l’organe de direction.

Cas pratique

Un éditeur de 80 salariés réalisant 12 M€ de CA fournit un SaaS à des collectivités. Dépassant le seuil, il relève des entités importantes. Il structure sa conformité en déployant l’authentification multifacteur généralisée, un plan de réponse aux incidents et une évaluation de ses fournisseurs cloud, puis fait valider le dispositif par sa direction — trois exigences directement issues de l’article 21.

Feuille de route de mise en conformité

1. 1

   Qualifier. Déterminer si vous êtes entité importante, essentielle ou hors champ.

2. 2

   Analyser les risques. Réaliser une analyse de risque cyber et un état des lieux au regard de l’article 21.

3. 3

   Déployer les mesures. Mettre en œuvre les mesures manquantes et un plan de réponse aux incidents.

4. 4

   Sécuriser les fournisseurs. Cartographier et encadrer la chaîne d’approvisionnement logicielle.

5. 5

   Outiller la notification. Mettre en place le processus d’alerte et de reporting des incidents.

Questions fréquentes