Votre organisation est-elle soumise à la loi NIS2
La loi belge NIS2 est en vigueur depuis octobre 2024. Le premier délai pour les entités essentielles est déjà passé, mais de nombreuses organisations ne savent toujours pas avec certitude si elles y sont soumises, ni ce que cela signifie pour leurs fournisseurs.
En résumé
- La loi belge NIS2 est en vigueur depuis le 18 octobre 2024, sous la supervision du Centre pour la Cybersécurité Belgique (CCB).
- La loi distingue les entités essentielles (supervision proactive) des entités importantes (supervision réactive).
- La gestion des déchets, y compris le traitement des déchets d'équipements électriques et électroniques, est l'un des secteurs explicitement mentionnés dans la directive, généralement en tant qu'entité importante.
- Le CCB propose un outil gratuit pour vérifier soi-même si son organisation est concernée.
- Même une organisation qui n'est pas directement concernée peut se voir imposer des exigences de sécurité supplémentaires par des clients qui, eux, le sont.
Qu'est-ce que la législation NIS2
NIS2 est la directive européenne sur la cybersécurité, transposée en droit belge le 18 octobre 2024, sous la supervision du Centre pour la Cybersécurité Belgique. Les organisations concernées devaient s'enregistrer avant le 18 mars 2025. Les entités essentielles devaient soumettre leur première évaluation de conformité avant le 18 avril 2026, un délai désormais dépassé. D'ici avril 2027, elles doivent atteindre le niveau de sécurité pleinement obligatoire.
Entités essentielles ou importantes
La loi distingue les entités essentielles et les entités importantes.
- Les entités essentielles sont soumises à une supervision proactive, avec des contrôles obligatoires préalables.
- Les entités importantes sont soumises à une supervision réactive : pas d'audit préalable obligatoire, mais l'obligation de démontrer leur conformité dès que le CCB le demande.
Le statut applicable dépend à la fois du secteur et de la taille de l'organisation.
La gestion des déchets est-elle concernée par NIS2
Ce qui est souvent méconnu : la gestion des déchets est l'un des secteurs explicitement mentionnés dans la directive. Cela signifie que les entreprises qui traitent des déchets d'équipements électriques et électroniques peuvent, selon leur taille, être concernées, généralement en tant qu'entité importante.
Chez Brainscape, cela touche directement notre propre activité. Nos certifications constituent précisément le type de preuve dont une organisation a besoin pour démontrer que sa chaîne est maîtrisée, tant sur le plan de la qualité et de l'environnement que des données.
Comment le vérifier vous-même
Pour déterminer si votre organisation est soumise à la législation NIS2, le CCB a développé un outil complet. En résumé, il examine quatre éléments :
- Taille de l'organisation : nombre d'ETP, chiffre d'affaires annuel et total du bilan.
- Secteur et service : une liste de tous les secteurs couverts par la loi, dont la gestion des déchets.
- Lien avec la Belgique : où l'organisation est établie.
- États membres où le service est fourni.
Sur cette base, l'un des trois résultats suivants s'applique, déterminé par la taille de l'organisation :
- Hors champ d'application — moins de 50 ETP, et moins de 10 millions d'euros de chiffre d'affaires, et moins de 10 millions d'euros de total de bilan.
- Entité importante — à partir de 50 ETP, ou à partir de 10 millions d'euros de chiffre d'affaires, ou à partir de 10 millions d'euros de total de bilan.
- Entité essentielle — à partir de 250 ETP, ou à partir de 50 millions d'euros de chiffre d'affaires, ou à partir de 43 millions d'euros de total de bilan.
Pour certains secteurs, comme les fournisseurs de services d'enregistrement de noms de domaine ou les administrations publiques, ce seuil ne s'applique pas : ils sont toujours essentiels ou importants, quelle que soit leur taille.
Vous souhaitez télécharger l'outil complet NIS2 Scope Assessment ? C'est possible via ce lien, directement sous forme de fichier Excel, sans formulaire ni inscription.
La chaîne de fournisseurs compte aussi, même hors champ d'application
NIS2 impose aux organisations concernées de gérer et de démontrer également la sécurité de leur chaîne de fournisseurs. Cette obligation s'étend aux fournisseurs qui ne sont pas eux-mêmes directement soumis à la loi : celui qui fournit une entité essentielle ou importante se voit souvent imposer les mêmes exigences via le contrat. La manière dont un fournisseur traite les données et l'évacuation du matériel informatique en fait partie.
Qu'est-ce que cela signifie pour les responsables informatiques ?
Celui qui décide de l'évacuation du matériel informatique de l'entreprise décide aussi d'une partie de cette chaîne de fournisseurs. Un processus certifié et traçable pour l'effacement des données et l'évacuation du matériel apporte exactement la preuve nécessaire lors d'un audit fournisseur ou d'une demande client dans le cadre de NIS2.
Chez Brainscape, chaque appareil entrant est associé à un processus vérifiable : du rapport sur l'effacement des données à la certification selon les normes ISO 9001, ISO 14001 et WEEELabex. Pour en savoir plus sur la manière dont ces certifications sont obtenues et ce qu'elles signifient pour votre organisation, consultez notre article sur ISO 9001 et ISO 14001 pour votre partenaire ITAD.
Des questions sur votre propre situation
N'hésitez pas à nous contacter. Nous examinerons volontiers ensemble si votre organisation est soumise à cette législation, et comment nos certifications et processus peuvent contribuer à votre propre dossier NIS2.
Questions fréquentes
Vous avez des questions sur la législation NIS2 en cours ? Nous sommes ravis d'y répondre.
Quelle est la différence entre une entité essentielle et une entité importante selon NIS2 ?
Les entités essentielles sont soumises à une supervision proactive du CCB, avec des contrôles obligatoires préalables. Les entités importantes sont soumises à une supervision réactive : elles ne doivent démontrer leur conformité que lorsque le CCB le demande. Le statut applicable dépend du secteur et de la taille de l'organisation.
La gestion des déchets est-elle soumise à la loi NIS2 ?
Oui. La gestion des déchets est explicitement mentionnée comme secteur dans la directive. Les entreprises qui traitent des déchets d'équipements électriques et électroniques peuvent, selon leur taille, être concernées, généralement en tant qu'entité importante.
Comment savoir si mon organisation est soumise à NIS2 ?
Le CCB propose un outil Excel gratuit, le NIS2 Scope Assessment, qui indique, sur la base de votre secteur, de la taille de votre entreprise et de votre lien avec la Belgique, si vous êtes hors champ d'application, ou considéré comme une entité importante ou essentielle.
Que se passe-t-il si mon organisation n'est pas directement soumise à NIS2 ?
Même dans ce cas, vous n'êtes pas automatiquement à l'abri. NIS2 impose aux organisations concernées de gérer la sécurité de leur chaîne de fournisseurs. Si vous fournissez une organisation soumise à NIS2, celle-ci peut malgré tout vous imposer des exigences de sécurité supplémentaires via le contrat.
Quel est le rapport entre l'effacement des données et NIS2 ?
La manière dont un fournisseur traite les données sur du matériel informatique mis au rebut fait partie de la chaîne de fournisseurs que les organisations soumises à NIS2 doivent maîtriser. Un processus d'effacement des données certifié et traçable, comme celui de Brainscape, apporte la preuve nécessaire à cet égard.
Comment Brainscape aide-t-il les organisations pour leur dossier NIS2 ?
Brainscape traite le matériel informatique selon un processus certifié (ISO 9001, ISO 14001, WEEELabex), avec un rapport traçable sur l'effacement des données par appareil. Les organisations qui doivent démontrer la sécurisation de leur chaîne de fournisseurs utilisent cette documentation comme preuve dans leur dossier NIS2.
