Questions fréquentes
Mon entreprise est-elle dans le périmètre NIS2 ?
La directive NIS2 (2022/2555) couvre 18 secteurs : énergie, transport, banque, santé, eau, infrastructures numériques, administration publique, espace, postes, déchets, alimentation, industrie, recherche, etc. À partir de 50 salariés ou 10 M€ de chiffre d'affaires, l'entreprise est probablement concernée.
Le règlement DORA s'applique-t-il à mes fournisseurs SaaS ?
Indirectement : DORA (règlement 2022/2554, articles 28 à 30) impose à l'entité financière de qualifier ses prestataires TIC critiques. Les SaaS qui hébergent ou traitent des données critiques deviennent de facto soumis aux exigences DORA via le contrat.
Quelles sont les obligations TPRM imposées par NIS2 ?
L'article 21 de la directive NIS2 impose une évaluation des risques liés à la chaîne d'approvisionnement, une politique de sécurité intégrant les fournisseurs, des mesures proportionnées et une notification d'incidents sous 24h puis 72h.
DORA et NIS2 remplacent-ils le RGPD pour les fournisseurs ?
Non, ils s'ajoutent au RGPD. L'article 28 du RGPD reste le cadre de référence pour la sous-traitance de données personnelles ; DORA et NIS2 ajoutent des exigences de résilience opérationnelle et de cybersécurité.