ESN & NIS2 : le maillon critique de la chaîne d’approvisionnement

De quoi parle NIS2 ?

NIS2 classe les organisations en entités essentielles et importantes selon leur secteur (annexes I et II) et leur taille. La gestion de services TIC (B2B) et les fournisseurs de services gérés figurent parmi les secteurs visés.

Une ESN peut relever des entités importantes ou, selon sa criticité, des entités essentielles, soumises à une supervision plus poussée.

Le secteur « Entreprises de services numériques (ESN) » est-il concerné ?

Toute ESN fournissant de l’infogérance, des services managés ou de la gestion de services TIC, au-delà du seuil de taille, est concernée. Certaines, jugées critiques, peuvent l’être indépendamment de leur taille.

En deçà du seuil, l’ESN reste indirectement concernée : ses clients soumis à NIS2 doivent sécuriser leur chaîne d’approvisionnement et lui répercutent leurs exigences par contrat.

Obligations détaillées

Sanctions & risques

Pour les entités importantes, jusqu’à 7 M€ ou 1,4 % du CA mondial (10 M€ ou 2 % pour les essentielles), avec responsabilité personnelle possible des dirigeants.

Le risque commercial est majeur : un défaut de conformité peut disqualifier l’ESN des appels d’offres de ses clients régulés, qui doivent sécuriser leur chaîne d’approvisionnement.

Calendrier d’application

• 1Directive. Adoptée fin 2022.
• 2France. Transposition en cours de finalisation ; anticiper les mesures sans attendre.

Erreurs fréquentes dans le secteur

• 1« Trop petit pour NIS2 ». Ignorer le seuil, atteint dès 50 salariés ou 10 M€.
• 2Garanties clients absentes. Ne pas pouvoir démontrer sa propre sécurité aux clients soumis à NIS2.
• 3Chaîne non maîtrisée. Négliger la sécurité de ses propres sous-traitants et composants.
• 4Direction absente. Laisser la cybersécurité à la seule technique.

Cas pratique

Une ESN de 120 personnes assure l’infogérance de plusieurs collectivités et hôpitaux. Comme fournisseur de services gérés dépassant le seuil, elle relève de NIS2 et, en tant que maillon de clients essentiels, doit fournir des garanties fortes. Elle généralise le MFA, formalise son plan de réponse aux incidents, encadre ses sous-traitants et fait valider le dispositif par sa direction.

Feuille de route de mise en conformité

1. 1

   Qualifier. Déterminer le statut (importante, essentielle, hors champ).

2. 2

   Analyser. Réaliser une analyse de risque et un état des lieux au regard de l’article 21.

3. 3

   Déployer. Mettre en œuvre les mesures manquantes et un plan de réponse aux incidents.

4. 4

   Sécuriser les fournisseurs. Cartographier et encadrer sa propre chaîne d’approvisionnement.

5. 5

   Outiller la notification. Mettre en place le processus d’alerte et de reporting.

Questions fréquentes