Entité essentielle

La directive (UE) 2022/2555, dite NIS 2, range les entités qu'elle vise en deux catégories : essentielles et importantes. Le classement n'est pas un jugement sur la qualité de votre sécurité — c'est une catégorie juridique, qui détermine l'étendue des obligations et surtout le régime de contrôle. La directive prévoit pour les entités essentielles une supervision plus étendue que pour les entités importantes.

Le classement dépend d'abord du secteur d'activité — les annexes I et II de la directive listent l'énergie, les transports, la santé, l'eau, les infrastructures numériques, l'administration publique, l'industrie, l'agroalimentaire et plusieurs autres — puis de la taille de l'entité, appréciée par ses effectifs et ses données financières. Certains services sont visés sans condition de taille. En France, l'ANSSI est l'autorité nationale ; la loi de transposition n'est pas promulguée à ce jour, et c'est elle, avec ses textes d'application, qui fixera la liste définitive et les modalités de déclaration.

Côté travail à faire, la différence est chiffrée dans le référentiel de cybersécurité NIS 2 de l'ANSSI. Les 20 objectifs de sécurité et les 152 exigences du ReCyF v2.5 s'appliquent aux entités essentielles. Les objectifs 16 à 20 — approche par les risques, audit, configuration, administration dédiée, supervision — ne visent qu'elles : une entité importante n'a pas à les tenir.