Échec de la mise en œuvre de la NIS2
Dans son commentaire, Jörg Schumann analyse les raisons et les conséquences de l'échec de la mise en œuvre de la NIS2 pour les entreprises.
La loi de transposition de la directive NIS2 dans le droit allemand n’a pour l’heure pas obtenu la majorité au Bundestag. Le processus législatif est donc retardé d’au moins plusieurs mois, jusqu’à l’automne. Dans son commentaire, Jörg Schumann, directeur général du prestataire de services informatiques Net-D-Sign, analyse les causes et les conséquences de ce retard pour les entreprises.
L’essentiel en bref
- La directive NIS2 a été adoptée par le Parlement européen en 2022, mais n’a pas encore été transposée en droit allemand.
- Le règlement d’exécution (UE) 2024/2690 est en vigueur depuis le 7 novembre 2024 dans tous les États membres de l’UE.
- Les fournisseurs d’infrastructures numériques doivent déjà respecter les exigences de la NIS2.
- La Belgique, le Danemark et l’Italie ont déjà intégré la NIS2 dans leur droit national.
- Les entreprises risquent de perdre des commandes si elles ne respectent pas les normes de cybersécurité dans les chaînes d’approvisionnement.
« Dès décembre 2022, le Parlement européen a adopté la directive NIS2. Le Bundestag allemand actuel n’a pas pu voter le projet de loi dit de transposition de la NIS2 et de renforcement de la cybersécurité (NIS2UmsuCG) avant les élections anticipées. Le projet de loi-cadre sur les infrastructures critiques (KRITIS-Dachgesetz), qui devait inclure d’autres dispositions pour les infrastructures critiques, connaît également des retards. »
Alors que des pays comme la Belgique, le Danemark et l’Italie ont déjà transposé la directive NIS2 dans leur droit national, la mise en œuvre en Allemagne s’éternise. Ce n’est qu’après les élections fédérales que le texte pourra être réintroduit dans le processus politique.
« Malgré cet immobilisme politique, les entreprises ne doivent pas sous-estimer l’urgence du sujet. D’un côté, les menaces pesant sur les entreprises, quelle que soit leur taille, sont aujourd’hui plus importantes que jamais. Cette situation appelle une nécessité évidente de renforcer leur cyberrésilience, pour laquelle la directive NIS2 offre une excellente référence. »
D’un autre côté, depuis le 7 novembre 2024, le règlement d’exécution (UE) 2024/2690 relatif à la directive NIS2 est entré en vigueur. Ce règlement fixe des exigences précises en matière de mesures de cybersécurité pour les entreprises des infrastructures numériques.
Jörg Schumann, directeur général de Net-D-Sign. Source de l’image : Net-D-Sign.
« Ce règlement est directement applicable dans tous les États membres de l’UE, indépendamment de toute transposition nationale. Les fournisseurs d’infrastructures et de services numériques sont donc déjà liés par les dispositions de la NIS2. S’y ajoutent les dépendances dans les chaînes d’approvisionnement : de grandes entreprises exigent de plus en plus que leurs partenaires commerciaux respectent également des normes de cybersécurité. Celui qui n’agit pas de manière proactive risque de perdre des commandes. »
Même si la formulation exacte de la transposition de la directive NIS2 en droit allemand reste pour l’instant incertaine, les entreprises doivent agir.
« Celui qui pense qu’il n’a à réagir qu’une fois la loi officiellement adoptée commet une grave erreur. La NIS2 sera transposée dans le droit national au cours de l’année, probablement d’ici l’automne 2025. La loi correspondante entrera très probablement en vigueur immédiatement, sans période de transition. Les entreprises ne doivent donc pas rester passives jusqu’alors. Elles doivent dès maintenant investir dans des mesures de cybersécurité, mettre en place des processus de gestion des risques et s’aligner sur les exigences européennes déjà existantes. »
Questions fréquentes
Quand le règlement d’exécution de la directive NIS2 est-il entré en vigueur ?
Le règlement d’exécution (UE) 2024/2690 est entré en vigueur le 7 novembre 2024. Il est directement applicable dans tous les États membres de l’UE.
Pourquoi la NIS2 est-elle désormais pertinente pour les entreprises en Allemagne ?
Bien que la transposition nationale soit retardée, le règlement d’exécution de l’UE s’applique déjà directement. Par ailleurs, les grandes entreprises exigent de plus en plus des normes de sécurité de leurs partenaires.
Quels pays ont déjà transposé la NIS2 ?
La Belgique, le Danemark et l’Italie ont déjà intégré la directive NIS2 dans leur droit national. L’Allemagne est toujours en cours de transposition.
Existe-t-il en Allemagne un délai de transition pour la mise en œuvre de la NIS2 ?
Il est probable que le NIS2UmsuCG s’applique en Allemagne sans période de transition. Les entreprises ne devraient donc pas attendre.
Quelles sont les conséquences en cas de non-respect des exigences de la NIS2 ?
Les entreprises s’exposent à des sanctions juridiques et à la perte de contrats, notamment en raison des exigences imposées par les chaînes d’approvisionnement de grands partenaires commerciaux.
Suggestions de lecture de la rédaction
- API-First : Pourquoi les architectures cloud modernes réussissent ou échouent selon la conception de l’API
- Pretext : Une bibliothèque JavaScript résout-elle le problème vieux de 30 ans dans les navigateurs – ou s’agit-il seulement d’une mode éphémère ?
- AWS vs. Azure vs. Google Cloud 2026 : La comparaison honnête pour les entreprises DACH
Plus d’informations depuis le réseau MBF Media
SecurityToday | MyBusinessFuture | Digital Chiefs
Source image principale : Unsplash / hoch3fotografie
