NIS2 et infrastructures numériques : ce qui s'applique aux fournisseurs de cloud, de centres de données, de DNS, de CDN et d'IXP

NIS2 cite neuf types de fournisseurs d’infrastructure numérique à l’annexe I, point 8. Les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les prestataires de services de confiance et les fournisseurs de télécommunications publics sont couverts quelle que soit leur taille ; les fournisseurs de cloud, de centres de données, de CDN et d’IXP à partir de la taille moyenne. Six de ces neuf types doivent aussi respecter les exigences techniques et les seuils d’incident du règlement d’exécution (UE) 2024/2690.

Ce guide couvre le champ d’application, les définitions, la taille et le statut, la compétence, le règlement d’exécution, les seuils d’incident, le DNS, les télécoms, les lacunes que les petits fournisseurs doivent combler, et une liste de contrôle.

Type d’entité (annexe I, point 8)	Critère de taille	Statut	Compétence (art. 26)	Règl. 2024/2690
Fournisseurs de points d’échange internet	Taille moyenne et plus	Essentielle si grande, importante si moyenne	Établissement	Non
Fournisseurs de services DNS, à l’exclusion des opérateurs de serveurs racines de noms de domaine	Toute taille	Essentielle	Établissement principal	Oui
Registres de noms de domaine de premier niveau	Toute taille	Essentielle	Établissement principal	Oui
Fournisseurs de services d’informatique en nuage	Taille moyenne et plus	Essentielle si grande, importante si moyenne	Établissement principal	Oui
Fournisseurs de services de centres de données	Taille moyenne et plus	Essentielle si grande, importante si moyenne	Établissement principal	Oui
Fournisseurs de réseaux de diffusion de contenu	Taille moyenne et plus	Essentielle si grande, importante si moyenne	Établissement principal	Oui
Prestataires de services de confiance	Toute taille	Essentielle si qualifiée ou grande, sinon importante	Établissement	Oui
Fournisseurs de réseaux de communications électroniques publics	Toute taille	Essentielle si moyenne ou grande, importante si petite	Lieu de fourniture des services	Non
Fournisseurs de services de communications électroniques accessibles au public	Toute taille	Essentielle si moyenne ou grande, importante si petite	Lieu de fourniture des services	Non

Les États membres peuvent aussi faire entrer des entités plus petites dans le champ, par exemple le seul fournisseur national d’un service essentiel (article 2, paragraphe 2, points b) à e)).

Quels fournisseurs d’infrastructures numériques relèvent de NIS2 ?

La première colonne du tableau reprend les neuf types dans les termes de l’annexe I, qui énumère les secteurs hautement critiques. Trois groupes voisins figurent ailleurs.

Les fournisseurs de services gérés et les fournisseurs de services de sécurité gérés relèvent de l’annexe I, point 9, traités dans NIS2 pour les MSP et les MSSP. Les places de marché en ligne, les moteurs de recherche et les réseaux sociaux sont des fournisseurs numériques de l’annexe II. Les bureaux d’enregistrement et les revendeurs de noms de domaine ne figurent dans aucune des deux annexes : l’article 2, paragraphe 4, les couvre quelle que soit leur taille, et l’article 3, paragraphe 3, les mentionne séparément des entités essentielles et importantes.

Comment NIS2 définit-elle le cloud, les centres de données, le DNS, les CDN et les IXP ?

C’est l’article 6 qui détermine si une offre de services entre dans le champ.

• DNS, art. 6, point 19 : un système hiérarchique et distribué d’affectation de noms qui identifie les services et ressources internet afin que les dispositifs des utilisateurs finaux puissent y accéder.
• Fournisseur de services DNS, art. 6, point 20 : une entité qui fournit « a) des services de résolution de noms de domaine récursifs accessibles au public destinés aux utilisateurs finaux de l’internet ; ou b) des services de résolution de noms de domaine faisant autorité pour une utilisation par des tiers, à l’exception des serveurs de noms de racines ».
• Registre de noms de domaine de premier niveau, art. 6, point 21 : une entité à laquelle un TLD spécifique a été délégué et qui l’administre, y compris l’enregistrement et le fonctionnement technique, en interne ou en sous-traitance, sauf si elle utilise les noms du TLD uniquement pour son propre usage.
• Service d’informatique en nuage, art. 6, point 30 : « un service numérique qui permet l’administration à la demande et l’accès large à distance à un ensemble modulable et variable de ressources informatiques pouvant être partagées, y compris lorsque ces ressources sont réparties à différents endroits ».
• Service de centre de données, art. 6, point 31 : un service couvrant les structures dédiées à l’hébergement, à l’interconnexion et à l’exploitation centralisés d’équipements informatiques et de réseau pour le stockage, le traitement et le transport de données, avec les installations de distribution d’électricité et de contrôle environnemental.
• Réseau de diffusion de contenu, art. 6, point 32 : des serveurs géographiquement répartis qui assurent la haute disponibilité, l’accessibilité ou la fourniture rapide de contenu et de services numériques aux utilisateurs d’internet, pour le compte de fournisseurs de contenu et de services.
• Point d’échange internet, art. 6, point 18 : une structure qui interconnecte plus de deux systèmes autonomes, principalement pour échanger du trafic internet, sans exiger que le trafic entre deux participants transite par un troisième, et sans modifier ce trafic.

Le considérant 35 exclut les « centres de données internes propres à une entreprise et exploités par l’entité concernée pour ses propres besoins ». Au vu du libellé de l’article 6, point 20, une entreprise qui exploite un DNS faisant autorité uniquement pour ses propres domaines n’est pas un fournisseur de services DNS. Une société d’hébergement qui l’exploite pour les domaines de ses clients en est un.

NIS2 s’applique-t-elle aux petits fournisseurs de cloud, de centres de données et de DNS ?

L’article 2, paragraphe 1, couvre les entités qui sont au moins des moyennes entreprises au sens de la recommandation 2003/361/CE : en pratique, 50 salariés ou plus, ou un chiffre d’affaires annuel et un total du bilan annuel tous deux supérieurs à 10 millions d’euros. Les entreprises partenaires et liées sont prises en compte : une filiale de 30 personnes d’un grand groupe peut donc être une grande entreprise.

L’article 2, paragraphe 2, point a), supprime le critère de taille pour trois groupes : i) les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public ; ii) les prestataires de services de confiance ; iii) les registres de noms de domaine de premier niveau et les fournisseurs de services DNS. Une entreprise de deux personnes qui exploite un DNS faisant autorité pour ses clients entre dans le champ.

Le statut découle de l’article 3, paragraphe 1. Les entités de l’annexe I qui dépassent les plafonds applicables aux moyennes entreprises (250 salariés ou plus, ou un chiffre d’affaires supérieur à 50 millions d’euros et un total du bilan supérieur à 43 millions d’euros) sont essentielles. Les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS sont essentiels « quelle que soit leur taille ». Les fournisseurs de télécommunications de taille moyenne sont également essentiels. Les autres entités de l’annexe I qui entrent dans le champ sont importantes par défaut (article 3, paragraphe 2).

Ce statut change la supervision, pas les obligations. Les entités essentielles font l’objet d’une supervision ex ante, y compris des inspections sur place et des audits de sécurité (article 32) ; les entités importantes d’une supervision ex post (article 33). Les amendes maximales s’élèvent à au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et à 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu (article 34).

Quel pays supervise un fournisseur de cloud, de centre de données ou de DNS ?

Par défaut, l’État membre dans lequel l’entité est établie (article 26, paragraphe 1). Les fournisseurs de télécommunications relèvent de chaque État membre dans lequel ils fournissent leurs services. Les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les services d’enregistrement de noms de domaine, les fournisseurs de cloud, de centres de données et de CDN, les MSP, les MSSP et les fournisseurs numériques de l’annexe II relèvent de l’État membre de leur établissement principal, déterminé en trois étapes (article 26, paragraphe 2) :

1. là où les décisions relatives aux mesures de gestion des risques en matière de cybersécurité sont principalement prises dans l’Union ;
2. si ce lieu ne peut être déterminé, ou si ces décisions ne sont pas prises dans l’Union, là où les opérations de cybersécurité sont effectuées ;
3. à défaut, l’établissement qui compte le plus grand nombre de salariés dans l’Union.

Les fournisseurs de ces types établis hors de l’UE doivent désigner un représentant dans un État membre où ils proposent leurs services, et relèvent de cet État (article 26, paragraphe 3). Les IXP et les prestataires de services de confiance suivent la règle générale de l’établissement. Pour aller plus loin : NIS2 : compétence et établissement principal.

L’article 27 ajoute un registre de l’ENISA pour ces mêmes types, entités importantes comme essentielles : nom, type, établissements ou représentant, coordonnées, États membres desservis et plages d’adresses IP, à transmettre au plus tard le 17 janvier 2025, toute modification étant à signaler dans les trois mois.

Qu’exige le règlement d’exécution (UE) 2024/2690 ?

L’article 21, paragraphe 5, de NIS2 imposait à la Commission de fixer des exigences techniques et méthodologiques pour les six types marqués Oui dans le tableau, ainsi que pour les MSP, les MSSP, les places de marché en ligne, les moteurs de recherche et les réseaux sociaux. Le règlement d’exécution (UE) 2024/2690 a été adopté le 17 octobre 2024 et s’applique directement dans tous les États membres depuis le 7 novembre 2024.

• L’annexe décline les dix mesures de l’article 21, paragraphe 2, en 13 sections, de la politique de sécurité à la sécurité environnementale et physique.
• L’article 2, paragraphe 2, applique la proportionnalité. Lorsque l’annexe prévoit une exigence « s’il est besoin », « s’il y a lieu » ou « dans la mesure du possible » et que vous ne l’appliquez pas, vous devez documenter votre argumentation « de manière compréhensible ».

Quand un incident est-il important pour les fournisseurs de cloud, de centres de données, de DNS et de CDN ?

Selon l’article 3, paragraphe 1, du règlement d’exécution, un incident est important s’il remplit l’un des critères généraux suivants :

• il a causé ou est susceptible de causer une perte financière directe supérieure à 500 000 EUR ou à 5 % du chiffre d’affaires annuel, le montant le plus faible étant retenu ;
• il a causé ou est susceptible de causer l’exfiltration de secrets d’affaires, la mort d’une personne ou des dommages considérables à la santé ;
• un accès non autorisé effectif, suspecté d’être malveillant et susceptible de causer une perturbation opérationnelle grave, a eu lieu ;
• des incidents se sont reproduits au moins deux fois en six mois avec la même cause originelle apparente et dépassent ensemble le seuil financier (article 4) ;
• il remplit un critère propre au type d’entité, prévu aux articles 5 à 14.

Les opérations de maintenance programmées ne comptent pas (article 3, paragraphe 2). Ci-dessous, « données compromises » signifie que l’intégrité, la confidentialité ou l’authenticité des données liées au service est compromise.

Type d’entité	Art.	Disponibilité	Données et accès physique
Fournisseurs de services DNS	5	Résolution totalement indisponible pendant plus de 30 minutes ; temps de réponse moyen supérieur à 10 secondes pendant plus d’une heure	Données faisant autorité compromises, sauf mauvaise configuration de moins de 1 000 noms de domaine représentant au plus 1 % des noms gérés
Registres de noms de domaine de premier niveau	6	Résolution faisant autorité totalement indisponible, sans durée minimale ; temps de réponse moyen supérieur à 10 secondes pendant plus d’une heure	Données liées au fonctionnement technique du TLD compromises
Informatique en nuage	7	Totalement indisponible pendant plus de 30 minutes ; disponibilité limitée pour plus de 5 % des utilisateurs dans l’UE ou plus de 1 million, le plus petit nombre étant retenu, pendant plus d’une heure	Données compromises par une action suspectée d’être malveillante, ou touchant plus de 5 % des utilisateurs dans l’UE ou 1 million, le plus petit nombre étant retenu
Centre de données	8	Totalement indisponible, sans durée minimale ; disponibilité limitée pendant plus d’une heure	Données compromises par une action suspectée d’être malveillante ; accès physique à un centre de données compromis
Réseau de diffusion de contenu	9	Comme le cloud	Comme le cloud
Services de confiance	14	Totalement indisponible pendant plus de 20 minutes ; indisponible plus d’une heure par semaine civile ; disponibilité limitée pour plus de 1 % des utilisateurs ou parties utilisatrices dans l’UE, ou 200 000, le plus petit nombre étant retenu	Accès physique restreint compromis ; données compromises pour plus de 0,1 % des utilisateurs ou parties utilisatrices, ou 100, le plus petit nombre étant retenu

La notification suit ensuite l’article 23 de NIS2 : alerte précoce dans les 24 heures après en avoir pris connaissance, notification d’incident dans les 72 heures, rapport final dans un délai d’un mois après la notification. Les prestataires de services de confiance envoient la notification d’incident dans les 24 heures.

Qu’exige NIS2 des fournisseurs de services DNS et des registres de TLD ?

Ils appliquent les mesures de l’article 21 au niveau de détail du règlement d’exécution, sous le régime de supervision des entités essentielles, quelle que soit leur taille. Deux points ressortent.

• L’intégrité compte à elle seule. Un enregistrement DNS détourné et corrigé en dix minutes peut malgré tout remplir le critère relatif aux données.
• DNSSEC n’est pas nommé. Ni l’article 21 ni les articles 5 et 6 du règlement d’exécution ne le mentionnent ; son considérant 8 indique que la Commission devrait soutenir un forum multipartite chargé d’inventorier les meilleures normes disponibles pour la sécurité DNS. En pratique, signer vos zones protège directement les données faisant autorité. La signature apporte l’authentification de l’origine et l’intégrité, pas la confidentialité (RFC 4033).

L’article 28 ajoute des obligations relatives aux données d’enregistrement pour les registres de TLD et les bureaux d’enregistrement : collecter des données exactes et complètes avec des procédures de vérification, publier les données non personnelles sans retard injustifié après l’enregistrement, et répondre dans les 72 heures aux demandes d’accès licites et dûment motivées. Détails dans Données WHOIS et NIS2.

Qu’en est-il des fournisseurs de télécommunications et des prestataires de services de confiance ?

L’article 43 de NIS2 a supprimé les articles 40 et 41 du code des communications électroniques européen (directive (UE) 2018/1972) avec effet au 18 octobre 2024 : les règles de sécurité et de notification des incidents des fournisseurs de télécommunications découlent donc désormais de NIS2, telle que transposée en droit national. Voir le chiffrement selon NIS2 et, pour leurs fournisseurs, comment NIS2 atteint les fournisseurs des opérateurs télécoms.

Les prestataires de services de confiance sont soumis à la notification en 24 heures mentionnée plus haut et à leurs propres seuils, fixés à l’article 14.

Que laissent ouvert les règles pour un petit fournisseur de cloud ou d’hébergement ?

Quel type vous êtes. Une plateforme VPS est très probablement un service d’informatique en nuage, la colocation un service de centre de données, et un hébergement infogéré par-dessus peut faire de vous un MSP. Une même panne peut déclencher deux jeux de critères. Une autorité vous demandera comment vous avez établi cette cartographie.

Qui compte comme utilisateur. L’article 3, paragraphe 3, du règlement d’exécution compte les clients sous contrat et les personnes associées aux clients professionnels qui utilisent le service. La plupart des petits fournisseurs connaissent le premier chiffre, pas le second. Fixez la méthode de comptage avant l’incident.

Ce que signifie « limitée ». L’indisponibilité totale est mesurable. La disponibilité limitée n’a pas de chiffre : une latence doublée dans une région, une API qui échoue pour certains clients. Votre surveillance doit distinguer l’indisponibilité totale de la disponibilité limitée, service par service et avec horodatage, car 30 minutes et une heure décident si vous notifiez.

L’accès physique. Pour un fournisseur de services de centres de données, un accès physique compromis est en soi un incident important : les journaux d’accès sont donc des preuves d’incident.

Le dossier de justification. En vertu de l’article 2, paragraphe 2, du règlement d’exécution, chaque exigence « s’il est besoin », « s’il y a lieu » ou « dans la mesure du possible » que vous n’appliquez pas doit être justifiée par écrit, et ces justifications deviennent obsolètes quand le service change.

Un point de départ raisonnable : une fiche par offre de services.

FICHE PAR OFFRE DE SERVICES (NIS2, infrastructure numérique)
Offre :                    ex. VPS / stockage objet / colocation / DNS
Type d'entité :            cloud | centre de données | DNS | CDN | MSP | aucun
Critère de l'art. 6 :      oui / non, justification en une ligne
Taille (chiffres groupe) : micro | petite | moyenne | grande
Établissement principal :  État membre, art. 26, par. 2, étape 1, 2 ou 3
Critères d'incident :      règl. d'exéc., art. 3, 4 et 5 à 9 ou 14
Comptage utilisateurs :    base art. 3, par. 3, dernier comptage (date)
Preuve de panne :          surveillance distinguant totale / limitée
Responsable, revue :       nom, date

Combler ces lacunes suppose une surveillance qui mesure ce que mesurent les seuils, et des preuves collectées à partir des systèmes, pas assemblées avant un audit. C’est ainsi que fonctionne la plateforme CloudSoul : une collecte automatisée, avec une expertise humaine dans la boucle pour les questions d’appréciation. La vue sectorielle se trouve sur la page du secteur des TIC, le programme complet sur la page conformité NIS2.

Liste de contrôle NIS2 pour les infrastructures numériques

• Rattachez chaque offre de services à un type de l’annexe I, point 8, ou à aucun, à l’aide de l’article 6.
• Consignez votre établissement principal et l’étape de l’article 26, paragraphe 2, qui le détermine.
• Tenez à jour vos données du registre de l’article 27, y compris les plages d’adresses IP.
• Intégrez à votre procédure d’incident les seuils du règlement d’exécution et une méthode de comptage des utilisateurs.
• Faites en sorte que votre surveillance distingue l’indisponibilité totale de la disponibilité limitée.
• Documentez chaque décision « s’il est besoin » avec ses motifs.
• Testez l’alerte précoce à 24 heures sur une panne réaliste.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 6, 21, 23, 26, 27, 28, 32, 33, 34 et 43, considérant 35, annexe I, EUR-Lex ; texte des articles sur nis-2-directive.com.
• Règlement d’exécution (UE) 2024/2690 de la Commission, articles 2 à 9, 14 et 16, considérant 8 et annexe, EUR-Lex.
• Recommandation 2003/361/CE de la Commission concernant la définition des micro, petites et moyennes entreprises, EUR-Lex.
• RFC 4033, DNS Security Introduction and Requirements, RFC Editor.

Questions fréquentes