La Directive NIS 2 franchit-elle les frontières ? Décryptage de son impact extraterritorial via l'Article 26

Plongez au cœur de la portée mondiale de la cybersécurité européenne et découvrez comment les entités hors UE sont concernées.

La Directive (UE) 2022/2555, dite NIS 2, représente une avancée majeure dans l'harmonisation et le renforcement de la cybersécurité au sein de l'Union Européenne. Entrée en vigueur le 16 janvier 2023, elle abroge la précédente directive NIS et élargit considérablement son champ d'application. Une question cruciale se pose alors : cette réglementation s'arrête-t-elle aux frontières de l'UE ? L'article 26 de la directive, traitant de la compétence et de la territorialité, apporte des réponses claires et établit une portée extraterritoriale significative.

Les Points Clés de l'Extraterritorialité de NIS 2

Portée étendue : La directive NIS 2 s'applique non seulement aux entités établies dans l'UE, mais aussi à certaines organisations basées hors de l'UE si elles offrent des services au sein de l'Union.
Désignation d'un représentant : Les entités non établies dans l'UE mais relevant du champ d'application de NIS 2 doivent désigner un représentant légal au sein de l'Union.
Principe de localisation du marché : L'applicabilité de la directive aux acteurs extraterritoriaux se fonde sur le lieu où les services sont fournis, ciblant ainsi le marché européen.

Comprendre l'Article 26 : Juridiction et Territorialité

L'article 26 de la directive NIS 2 est la pierre angulaire de sa dimension extraterritoriale. Il définit les règles permettant de déterminer quel État membre est compétent pour superviser la conformité d'une entité aux obligations de la directive. Si la règle générale est que les entités relèvent de la juridiction de l'État membre où elles sont établies, des dispositions spécifiques étendent cette compétence au-delà des frontières de l'UE.

Illustration conceptuelle de la directive NIS 2 et de la cybersécurité

Illustration des concepts liés à la directive NIS 2 et à la cybersécurité.

Le Critère de l'Offre de Services dans l'UE

Le mécanisme principal d'extraterritorialité repose sur le fait que des entités non établies dans l'Union Européenne, mais qui offrent des services sur le marché intérieur de l'UE, tombent sous le coup de la directive. Ceci est particulièrement pertinent pour certains types de fournisseurs de services numériques.

Fournisseurs de services numériques spécifiques

L'article 26(1)(b) stipule que certaines entités, même si elles ne sont pas établies dans l'Union, relèvent de la compétence de l'État membre où elles offrent leurs services si elles entrent dans les catégories suivantes :

Fournisseurs de services DNS (à l'exception des opérateurs de serveurs de noms racines)
Registres de noms de domaine de premier niveau (TLD)
Fournisseurs de services d'informatique en nuage (cloud computing)
Fournisseurs de services de centres de données
Fournisseurs de réseaux de diffusion de contenu
Fournisseurs de services gérés
Fournisseurs de services de sécurité gérés
Fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux (pour les aspects couverts par NIS 2)

Ces entités doivent désigner un représentant dans l'un des États membres où elles offrent leurs services. Ce représentant agit au nom de l'entité et peut être contacté par les autorités nationales compétentes ou la Commission.

La Notion d'Établissement Principal

Pour les fournisseurs de services numériques mentionnés ci-dessus, ainsi que pour les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public, la directive introduit la notion d'"établissement principal".

Pour les fournisseurs de services numériques : L'établissement principal est présumé être le lieu où les décisions relatives aux mesures de gestion des risques cyber sont principalement prises. Si ce lieu ne peut être déterminé ou si les décisions ne sont pas prises dans l'UE, l'établissement principal est l'État membre où l'entité a l'établissement disposant du plus grand nombre de salariés dans l'Union. Si cela ne peut toujours pas être déterminé, c'est l'État membre où elle réalise le chiffre d'affaires le plus élevé au sein de l'Union.
Pour les fournisseurs de réseaux ou services de communications électroniques : Ces entités sont considérées comme relevant de la juridiction de l'État membre dans lequel elles fournissent leurs services.

Cette approche vise à assurer une supervision efficace et à éviter que des entités échappent aux exigences de cybersécurité en raison de leur localisation géographique hors UE, tout en offrant des services critiques ou importants aux citoyens et entreprises européens.

Implications Pratiques pour les Entités Extraterritoriales

Les entités non-UE concernées par la directive NIS 2 via l'article 26 sont soumises aux mêmes obligations que leurs homologues établies dans l'Union. Cela inclut :

Mettre en œuvre des mesures de gestion des risques de cybersécurité appropriées et proportionnées.
Notifier les incidents de sécurité significatifs aux autorités compétentes et, dans certains cas, aux destinataires de leurs services.
Se conformer aux audits et contrôles.
La direction de ces entités peut être tenue pour responsable en cas de non-respect des obligations.

Le non-respect peut entraîner des sanctions financières significatives, pouvant aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent pour les entités essentielles, et jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.

Tableau Récapitulatif de l'Application Extraterritoriale

Le tableau suivant synthétise les conditions d'application de la directive NIS 2 aux entités non établies dans l'UE selon l'article 26 :

Type d'Entité (Non-UE)	Condition d'Application NIS 2	Juridiction Compétente	Obligation Principale liée à l'Extraterritorialité
Fournisseurs de services DNS, registres TLD, cloud, centres de données, CDN, services gérés, services de sécurité gérés	Offre de services au sein de l'Union	État membre où le représentant est désigné / où les services sont offerts	Désigner un représentant dans l'UE
Fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public	Offre de services au sein de l'Union	État membre où les services sont fournis	Désigner un représentant dans l'UE si pas d'établissement dans l'Union mais offre de services
Autres entités essentielles ou importantes (non listées spécifiquement pour l'extraterritorialité directe via désignation de représentant)	Si elles offrent des services dans l'UE et que la législation nationale de transposition le prévoit en lien avec le ciblage du marché UE.	Dépendra des règles de conflit de lois et de la jurisprudence de la CJUE.	Respecter les obligations de NIS 2 si l'offre de service dans l'UE établit un lien suffisant.

Cette extension de la portée de NIS 2 vise à garantir un niveau élevé et homogène de cybersécurité pour tous les services essentiels et importants fournis au sein du marché intérieur, indépendamment de la localisation géographique du prestataire.

Visualisation de la Portée de l'Article 26

Pour mieux appréhender les différentes facettes de l'article 26 et son application extraterritoriale, le schéma conceptuel suivant illustre les liens entre juridiction, territorialité et les obligations des entités non-UE.

mindmap root["Article 26 NIS 2: Juridiction et Territorialité"] id1["Portée Générale"] id1a["Entités établies dans l'UE"] id1a1["Juridiction de l'État membre d'établissement"] id2["Portée Extraterritoriale"] id2a["Entités NON établies dans l'UE"] id2a1["Condition: Offre de services dans l'UE"] id2a2["Types d'entités spécifiques
(Art. 26(1)(b) & Art. 26(2))"] id2a2a["Fournisseurs de services DNS"] id2a2b["Registres de noms de domaine TLD"] id2a2c["Fournisseurs de cloud computing"] id2a2d["Fournisseurs de services de centres de données"] id2a2e["Fournisseurs de réseaux de diffusion de contenu"] id2a2f["Fournisseurs de services gérés / de sécurité gérés"] id2a2g["Opérateurs de réseaux/services de comm. électroniques"] id2a3["Obligation Clé: Désigner un Représentant dans l'UE"] id2a3a["Point de contact pour les autorités"] id2a3b["Responsabilité du représentant (partielle)"] id2a4["Critère de l'Établissement Principal (si applicable)"] id2a4a["Lieu des décisions de gestion des risques cyber"] id2a4b["Ou lieu avec le plus d'employés dans l'UE"] id2a4c["Ou lieu avec le CA le plus élevé dans l'UE"] id3["Objectifs de l'Extraterritorialité"] id3a["Niveau élevé et homogène de cybersécurité"] id3b["Éviter les failles réglementaires"] id3c["Protéger le marché intérieur de l'UE"]

Ce schéma met en évidence comment la directive NIS 2, à travers son article 26, étend son emprise pour englober les acteurs qui, bien que situés hors de ses frontières physiques, jouent un rôle dans l'écosystème numérique européen.

Comparaison des Obligations: Entités UE vs Non-UE

Le graphique radar ci-dessous offre une perspective comparative des implications de la directive NIS 2 pour les entités établies dans l'UE par rapport à celles établies en dehors de l'UE mais offrant des services dans l'Union. Cette analyse est basée sur une interprétation des exigences et de leur impact potentiel.

Ce graphique illustre que si les obligations fondamentales de gestion des risques et de reporting sont similaires, les entités non-UE font face à une complexité juridictionnelle accrue et à l'exigence spécifique de désigner un représentant, ce qui peut moduler la charge administrative et l'impact sur leurs opérations globales.

La Directive NIS 2 Expliquée

Pour une compréhension plus large de la directive NIS 2, de ses objectifs et des entités concernées, la vidéo ci-dessous offre une excellente introduction. Bien qu'elle ne se concentre pas exclusivement sur l'article 26, elle contextualise l'importance de cette législation pour la cybersécurité européenne.

Cette vidéo explique les enjeux de la directive NIS 2, son champ d'application étendu par rapport à la première directive NIS, et les nouvelles obligations imposées aux entreprises. Elle souligne l'ambition de l'UE d'établir un cadre réglementaire robuste pour faire face à l'évolution des cybermenaces, ce qui justifie l'inclusion de dispositions extraterritoriales comme celles de l'article 26 pour assurer une protection complète du marché unique numérique.

Questions Fréquemment Posées (FAQ) sur l'Article 26 et l'Extraterritorialité

Qu'est-ce que signifie concrètement "offrir des services au sein de l'Union" pour une entreprise non-UE ?

Cela signifie qu'une entreprise, même sans présence physique dans l'UE, dirige ses activités ou services vers des clients ou utilisateurs situés dans un ou plusieurs États membres de l'UE. Des indices peuvent inclure l'utilisation d'une langue ou d'une monnaie d'un État membre, la possibilité de commander des services depuis l'UE, ou des activités de marketing ciblant des résidents de l'UE. La simple accessibilité d'un site web n'est généralement pas suffisante ; il faut une intention de cibler le marché de l'UE.

Quel est le rôle exact du représentant désigné par une entité non-UE ?

Le représentant agit au nom de l'entité non-UE pour toutes les questions relatives à la conformité avec la directive NIS 2. Il sert de point de contact pour les autorités nationales de cybersécurité et la Commission Européenne. Il peut être tenu responsable conjointement avec l'entité qu'il représente pour les manquements aux obligations de la directive, bien que la responsabilité principale incombe à l'entité non-UE. Sa désignation facilite la communication et l'application de la directive.

Mon entreprise est une PME basée hors UE mais vend des produits en ligne à des clients européens. Sommes-nous concernés par NIS 2 ?

Cela dépendra de la nature de vos services et si votre entreprise est qualifiée d'"entité essentielle" ou "importante" dans l'un des secteurs couverts par NIS 2. Si vous fournissez l'un des services numériques spécifiquement listés (comme les services cloud, les services de centres de données, les places de marché en ligne, etc.) et que vous dépassez les seuils de taille (généralement plus de 50 employés et plus de 10 millions d'euros de chiffre d'affaires annuel, ou bilan annuel), vous pourriez être concerné. Il est crucial d'analyser votre activité au regard des annexes de la directive et des critères de l'article 26.

Comment la directive NIS 2 interagit-elle avec d'autres réglementations européennes comme le RGPD ?

NIS 2 et le RGPD partagent une approche similaire en matière de portée extraterritoriale, s'appliquant aux entités hors UE qui ciblent le marché européen. NIS 2 se concentre sur la sécurité des réseaux et des systèmes d'information pour assurer la continuité des services essentiels et importants, tandis que le RGPD se concentre sur la protection des données personnelles. Il peut y avoir des chevauchements, par exemple, un incident de cybersécurité (relevant de NIS 2) peut aussi entraîner une violation de données personnelles (relevant du RGPD). Les entités doivent s'assurer de leur conformité aux deux règlements si applicable.