Transpositions NIS2 : ce qui diverge réellement, lu dans les journaux officiels
Ce n'est pas la directive qui s'applique à vos clients, ce sont les transpositions nationales. Et en France, la première chose à dire est qu'il n'y en a pas encore.
J'ai passé les dernières semaines à lire les transpositions dans les journaux officiels plutôt que dans des résumés. Je commence par la France, parce que la divergence la plus coûteuse n'y est pas un écart de contenu : c'est un statut.
Le texte n'est pas définitif
Le projet de loi résilience a été adopté par le Sénat — texte n° 78 — et n'est pas encore promulgué. Tout ce qu'on en cite est donc indicatif, et c'est précisément là que les outils dérapent : présenter un article de projet comme une obligation en vigueur, c'est faire travailler un client sur un texte qui peut encore bouger. Nous marquons la France comme provisoire dans le produit, et nous gardons l'article de la directive comme ancrage faisant foi tant que la promulgation n'a pas eu lieu. Ce n'est pas de la prudence commerciale, c'est la seule position tenable.
Formation
L'article 20(2) de la directive vise les membres de l'organe de direction. Tous les pays que j'ai lus ont élargi le cercle. Le texte français vise l'organe de direction et "les personnes exposées aux risques" (art. 14, 1°). La Croatie exige que le dirigeant se forme et permette aux salariés de se former (čl. 29 st. 3), et étend la portée personnelle à quiconque dispose d'un pouvoir de supervision, de représentation ou de décision sur les mesures (st. 4). La Pologne la rend annuelle, une fois par année civile, documentée, et l'applique à ceux à qui les obligations ont été déléguées (art. 8e). Trois sur trois. Si votre plan de formation s'arrête au conseil d'administration, il est probablement trop étroit.
La Pologne a inventé une obligation absente de la directive
Les articles 67b à 67c créent un régime de fournisseur à haut risque : une désignation ministérielle publiée au Monitor Polski est immédiatement exécutoire et ne connaît pas de recours gracieux. Dès lors, les produits visés ne peuvent plus être déployés, il reste sept ans pour retirer l'existant, et les acheteurs publics ne peuvent plus les acquérir. Aucune horloge de sept ans attachée à un fournisseur nommé n'existe dans NIS2.
La Croatie a transformé une recommandation en délai ferme
L'article 23 dit que les entités informent les destinataires de leurs services "le cas échéant", sans fixer de délai. La Croatie donne 72 heures, avec un contenu obligatoire (čl. 85). Les trois actes de notification de la directive y sont devenus cinq.
La divergence qui coûte cher
Sur la chaîne d'approvisionnement, l'Italie et le Portugal exigent de documenter ce à quoi un fournisseur accède réellement : "valutato e documentato" pour l'accès aux données et à la propriété intellectuelle, pondéré par la criticité (Misure ACN GV.SC-07.R1), et "a exposição da sua informação" comme critère de catégorisation (QNRCS GR.CA-7). La Pologne et l'Allemagne n'exigent rien de tel, et l'Allemagne n'a pas transposé l'art. 21(3). Un outil qui impose ce champ partout se trompe autant qu'un outil qui ne le propose nulle part.
Quel texte national vous engage ?
L'évaluation gratuite nomme la loi qui vous lie, l'autorité à qui vous notifiez et les délais que votre pays fixe réellement. La France y est marquée provisoire tant que la promulgation n'a pas eu lieu. Sans carte bancaire.