NIS2 est le petit nom de la directive européenne 2022/2555, un texte qui vise à relever le niveau de cybersécurité dans l’Union européenne. Une directive européenne étant un acte que chaque État membre doit transposer dans sa propre législation, NIS2 ne s’applique pas directement en Suisse. Beaucoup de dirigeants en concluent, un peu vite, qu’elle ne les concerne pas. C’est une erreur qui pourrait coûter cher, et voici pourquoi.
Deux façons d’être concerné
La première est directe. Une entreprise suisse tombe sous le coup de NIS2 si elle exploite une succursale dans l’UE ou y fournit des services, dans l’un des dix-huit secteurs jugés critiques par la directive (énergie, santé, transports, infrastructures numériques, etc.). Des seuils de taille entrent en jeu, typiquement un chiffre d’affaires supérieur à 10 millions d’euros réalisé dans l’UE ou plus de 50 employés. Cette voie ne touche donc qu’une minorité de PME.
La seconde façon est indirecte, et c’est celle qui va concerner le plus grand nombre. NIS2 impose aux grandes entreprises européennes de garantir la cybersécurité de toute leur chaîne d’approvisionnement, c’est-à-dire l’ensemble des fournisseurs et prestataires qui contribuent à leur activité. Résultat : ces grands donneurs d’ordre répercutent leurs exigences sur leurs partenaires, y compris suisses. Un sous-traitant de l’industrie mécanique, un fournisseur automobile ou un prestataire informatique romand qui travaille pour un client européen peut ainsi se voir demander des garanties renforcées, sans être lui-même directement soumis au texte.
Ce que réclament ces exigences
Concrètement, un client européen soumis à NIS2 attendra de ses fournisseurs qu’ils démontrent une véritable maturité en cybersécurité. Cela passe par une gestion structurée des risques, une documentation de leurs mesures de sécurité, des audits réguliers et parfois des tests d’intrusion (des simulations d’attaque destinées à vérifier la solidité des défenses). S’y ajoute la capacité à signaler rapidement un incident, la directive imposant aux entités concernées une première notification dans un délai de 24 heures.
Ces demandes ne prendront pas la forme d’une amende venue de Bruxelles. Elles arriveront par un canal beaucoup plus banal : une clause contractuelle, un questionnaire de sécurité à remplir avant de renouveler un contrat, ou une condition d’entrée dans un appel d’offres. Pour une PME, ne pas pouvoir y répondre revient tout simplement à perdre un marché.
Un régime de sanctions qui donne le ton
Pour mesurer le sérieux avec lequel les donneurs d’ordre appliqueront ces exigences, il faut regarder ce qu’ils risquent eux-mêmes. La directive prévoit des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Fait notable, NIS2 introduit aussi une responsabilité personnelle de la direction en cas de négligence avérée. Un dirigeant européen qui sait que sa propre responsabilité est engagée n’aura aucune indulgence pour un maillon faible dans sa chaîne de fournisseurs.
La mise en perspective pour une PME suisse
Il serait tentant de voir dans NIS2 une contrainte purement subie. C’est aussi, et peut-être surtout, une occasion. Une PME capable de démontrer un bon niveau de cybersécurité gagne un avantage concurrentiel : elle rassure ses clients européens, elle se distingue de concurrents moins préparés, et elle sécurise ses propres marchés.
À noter que la Suisse dispose déjà de son propre cadre, notamment la loi sur la sécurité de l’information, qui partage certains principes avec NIS2, comme l’annonce des incidents et la gestion des risques. Les efforts que vous fournirez ne sont donc pas perdus, ils servent sur les deux tableaux. Vous pouvez commencer dès aujourd’hui à documenter vos mesures et à structurer vos processus. Mais évaluer précisément ce que vos clients européens attendront de vous, et combler l’écart avec votre situation actuelle, suppose de connaître à la fois le texte et votre organisation. Aucun modèle générique ne peut répondre à votre place à la question : « suis-je concerné, et à quel niveau ? »
En conclusion
NIS2 illustre un phénomène amené à se généraliser : la cybersécurité devient une condition d’accès aux marchés, et elle se transmet de proche en proche le long des chaînes d’approvisionnement. Les frontières nationales n’y changent rien. Anticiper cette exigence plutôt que la subir est un choix stratégique à votre portée. Pour déterminer votre exposition réelle et bâtir une réponse crédible aux yeux de vos clients, une analyse ciblée de votre situation reste l’investissement le plus rentable.