NIS2: Franța trimisă în fața CJUE, 15.000 de entități fără cadru național

Directiva NIS2 trebuia transpusă până la 17 octombrie 2024. Franța a ratat termenul, până într-acolo încât Comisia a decis, la 8 iulie 2026, să o trimită în fața Curții de Justiție a UE alături de Spania, Irlanda și Țările de Jos, cu cerere de sancțiuni financiare. Legea numită Résilience, menită să transpună textul, nu se află pe ordinea de zi a sesiunii din iulie: examinarea ei alunecă spre toamnă. Obligația europeană, în schimb, curge din octombrie 2024.

Un detaliu schimbă totul pentru cine vrea să avanseze: cadrul tehnic de referință este deja public. ANSSI a publicat în martie 2026 Référentiel Cyber France, care traduce cerințele NIS2 în obiective de securitate, douăzeci pentru entitățile esențiale, cincisprezece pentru entitățile importante. Cu alte cuvinte, esențialul din ceea ce se va cere este cunoscut încă dinainte de votarea legii. A aștepta textul pentru a începe înseamnă a aștepta forma finală a unor obligații a căror substanță este deja cunoscută.

Schimbarea de scară este adevăratul subiect: de la câteva sute de operatori sub NIS1, Franța trece la 15.000 sau 18.000 de entități vizate, împărțite între "entități esențiale" și "entități importante". IMM-uri industriale de talie medie, autorități locale, actori din sănătate, transport sau agroalimentar vor descoperi că se află în perimetru, cu obligații de gestionare a riscurilor, de notificare a incidentelor și sub supravegherea ANSSI.

Schimbarea conceptuală este aceeași ca în cazul RGPD la vremea sa: securitatea cibernetică încetează să fie un subiect de experți și de bune intenții pentru a deveni un dispozitiv a cărui existență și funcționare trebuie să poată fi demonstrate. Guvernanță, analiză de riscuri, securitatea lanțului de aprovizionare, gestionarea incidentelor, continuitate: fiecare cerință a directivei presupune dovezi.

Iar asimetria sancțiunilor concentrează atenția: până la 10 milioane de euro sau 2% din cifra de afaceri globală pentru entitățile esențiale, cu controale proactive; 7 milioane sau 1,4% pentru entitățile importante, controlate după producerea unui incident. În ambele cazuri, în ziua controlului, improvizația se vede.

NIS2 impune o bază minimă de măsuri: politici de securitate și analiză de riscuri, gestionarea incidentelor, continuitatea activității și gestionarea crizelor, securitatea lanțului de aprovizionare, securitatea achizițiilor și dezvoltării, evaluarea eficacității măsurilor, igienă informatică și instruire, criptografie, securitatea resurselor umane și control al accesului, autentificare multifactor. Zece domenii tematice de cerințe care conturează, de fapt, un cadru de referință.

La acestea se adaugă mecanismul de notificare a incidentelor semnificative, în etape stricte: alertă timpurie în 24 de ore, notificare în 72 de ore, raport final într-o lună. Respectarea acestor termene nu se improvizează în ziua incidentului: presupune o detecție, o calificare și un lanț de decizie deja instituite și deja testate.

Perimetrul real depășește cele 15.000 de entități desemnate: directiva le impune să controleze securitatea lanțului lor de aprovizionare, iar această cerință se propagă contractual. Un furnizor de software, un întreținător industrial sau un prestator logistic din afara perimetrului va primi chestionarele și clauzele clienților săi reglementați.

Pentru acești furnizori, lectura inteligentă este una comercială: cel care se prezintă cu o maturitate cibernetică măsurată și demonstrabilă transformă o constrângere suportată într-un argument de selecție. În licitațiile din 2027, acesta va fi un criteriu de departajare, nu un bonus.

Pentru o organizație care descoperă subiectul, ordinea rezonabilă se rezumă la trei pași: să se stabilească dacă se află în perimetru și cu ce titlu; să se măsoare maturitatea reală în raport cu cerințele directivei, entitate cu entitate, mai degrabă decât să se adune audituri punctuale; și să se convertească decalajele într-un plan de acțiune datat, pentru că punerea la nivel va dura luni întregi, iar calendarul nu va aștepta.

Catalogul nostru numără 11 cadre de referință pentru securitate cibernetică pentru a sprijini această măsurare, iar logica este valabilă și pentru grupuri: fiecare filială evaluată pe aceeași bază, o consolidare care arată unde trebuie concentrat efortul. Conformitatea NIS2 va fi un maraton administrat; mai bine să se intre în el cu un instrument.