Statut NIS 2 en Finlande
Ce qu'exige la directive, comment la Finlande la met en œuvre, et où se situent Traficom et NCSC-FI dans le tableau.
Vue d'ensemble
La directive NIS 2 est la couche de l'UE. Elle lie chaque État membre, dont la Finlande, à un seuil minimal unique pour les entités essentielles et importantes. La Finlande doit inscrire ce seuil en droit finlandais et exercer la surveillance en dessous.
La Finlande transpose NIS 2 par la Cybersecurity Act (Kyberturvallisuuslaki, loi 124/2025). Le Parlement l'a adoptée le 11 mars 2025 et elle est entrée en vigueur le 8 avril 2025. C'est après le délai de l'UE du 17 octobre 2024. Le 7 mai 2025, la Commission européenne a adressé un avis motivé à la Finlande et à dix-huit autres États membres pour ne pas avoir notifié à temps la transposition complète.
La surveillance est répartie secteur par secteur. L'Agence finlandaise des transports et des communications, Traficom, surveille le plus grand groupe de secteurs et héberge le National Cyber Security Centre Finland (NCSC-FI), qui est le CSIRT national et le point de contact unique au titre de l'article 8(3) de la directive. Aux côtés de Traficom, l'Autorité de l'énergie (Energiavirasto), l'Agence finlandaise de sûreté et des produits chimiques (Tukes) et d'autres autorités sectorielles surveillent leurs propres secteurs. Les banques et les infrastructures de marchés financiers relèvent de DORA, et non de la Cybersecurity Act finlandaise.
Directive de l'UE
Directive (UE) 2022/2555 (NIS 2)
La directive de cybersécurité à l'échelle de l'UE. Elle fixe les obligations que chaque État membre doit transposer, y compris le test de taille et de secteur pour les entités essentielles et importantes.
Acte d'exécution de l'UE
Règlement d'exécution (UE) 2024/2690
Exigences techniques et méthodologiques pour les fournisseurs DNS, les registres TLD, les fournisseurs de cloud, de centres de données et de CDN, les fournisseurs de services gérés (de sécurité), les places de marché en ligne, les moteurs de recherche, les réseaux sociaux et les prestataires de services de confiance. Directement applicable en Finlande, sans transposition nationale nécessaire.
Transposition finlandaise
Cybersecurity Act 124/2025, en vigueur depuis le 8 avril 2025
La transposition finlandaise de NIS 2. Une loi horizontale de cybersécurité qui consolide des obligations auparavant réparties dans plusieurs lois sectorielles. Les règlements et les orientations de Traficom complètent le détail opérationnel.
Cybersecurity Act 124/2025
Inscrit les obligations NIS 2 en droit finlandais. Définit les entités essentielles et importantes, les pouvoirs de surveillance, les devoirs de notification des incidents et les sanctions. Le détail opérationnel suit via des règlements et les orientations de Traficom.
Traficom et NCSC-FI
Traficom supervise les transports, l'infrastructure numérique, la gestion des services TIC, l'espace, les services postaux et de messagerie, les fournisseurs numériques, la recherche et la fabrication de véhicules, et héberge le NCSC-FI comme CSIRT national et point de contact unique. Les autres secteurs relèvent de leurs propres autorités, notamment Energiavirasto pour l'électricité, le chauffage urbain et les réseaux de gaz, et Tukes pour le pétrole, le stockage de gaz et le raffinage, la production d'hydrogène, les produits chimiques et une partie de la fabrication. Les banques et les infrastructures de marchés financiers relèvent de DORA.
Enregistrement et notification
Les entités finlandaises devaient s'enregistrer auprès de leur surveillant sectoriel au plus tard le 8 mai 2025. Les modifications des données enregistrées doivent être notifiées dans les deux semaines. Les incidents importants suivent la directive : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans un délai d'un mois. Toutes les notifications sont transmises au CSIRT, au NCSC-FI.
Le droit finlandais s'applique en Finlande
L'activité sur le territoire finlandais suit la transposition finlandaise. Un Geschäftsführer allemand ayant une filiale finlandaise lit la Cybersecurity Act 124/2025 pour cette filiale, et non le BSIG. Les obligations de la directive sont identiques. La procédure, le surveillant et les sanctions résident dans le droit finlandais.
La Finlande ne peut pas descendre sous le socle de l'UE
La directive est un instrument d'harmonisation minimale. La Finlande peut aller plus loin. La Finlande ne peut pas descendre sous la directive, ni sur les devoirs des entités essentielles et importantes, ni sur les délais de notification, ni sur la responsabilité de l'organe de direction.
Traficom
L'Agence finlandaise des transports et des communications supervise directement les transports, l'infrastructure numérique, la gestion des services TIC, l'espace, les services postaux et de messagerie, les fournisseurs numériques, la recherche et la fabrication de véhicules et d'équipements de transport, et, en vertu d'une loi distincte, l'administration publique. Comme chaque superviseur finlandais, elle tient la liste des entités de ses propres secteurs.
NCSC-FI (Kyberturvallisuuskeskus)
Le National Cyber Security Centre au sein de Traficom est le CSIRT national et le point de contact unique au titre de l'article 8(3) de la directive. Un incident important est légalement notifié au superviseur sectoriel compétent, qui le transmet immédiatement au NCSC-FI ; en pratique, un formulaire Traficom commun atteint en même temps le superviseur, le CSIRT et le point de contact unique.
ENISA
L'agence de cybersécurité de l'UE. Publie des orientations, exploite la base de données européenne des vulnérabilités et coordonne par-delà les frontières. N'est pas un surveillant pour les entités finlandaises. Cela revient à Traficom et aux autorités sectorielles.
La Finlande met en œuvre NIS 2 de la même manière que l'Allemagne, nous pouvons donc lire le BSIG.
Les devoirs de la directive sont identiques, l'architecture de surveillance ne l'est pas. La Finlande utilise une loi horizontale unique, la Cybersecurity Act 124/2025, au lieu de se superposer à une structure fédérale du BSI. La surveillance est répartie entre régulateurs sectoriels, avec Traficom et NCSC-FI en coordination. Transposer le BSIG à la Finlande se trompe sur le surveillant et sur la voie de notification.
Il n'existe pas encore de liste officielle, nous pouvons donc attendre.
L'enregistrement est obligatoire depuis le 8 avril 2025, et le délai initial était le 8 mai 2025. Chaque superviseur sectoriel tient la liste des entités NIS 2 de ses secteurs. Ne pas être enregistré ne signifie pas être conforme, cela signifie être invisible pour le superviseur. Les modifications des données enregistrées doivent être signalées sous deux semaines (art. 3(4) NIS 2, § 41 de la loi finlandaise).
Mon régulateur sectoriel gère tout, le NCSC-FI n'est que consultatif.
L'autorité sectorielle assure la surveillance et les audits, et c'est aussi à elle que l'incident important est légalement notifié. Le superviseur transmet immédiatement chaque notification au CSIRT du NCSC-FI, et en pratique un formulaire Traficom commun remet le rapport en même temps au superviseur, au CSIRT et au point de contact unique. Utilisez ce formulaire plutôt que d'écrire à une autorité à la main.
La plupart des opérateurs finlandais de taille intermédiaire que nous rencontrons traitent encore NIS 2 comme un sujet informatique. Ce n'est qu'à moitié vrai. La surveillance et le canal de notification se situent au niveau sectoriel, le périmètre est plus large que sous l'ancien régime finlandais de cybersécurité, et l'organe de direction (toimitusjohtaja, hallitus) porte une responsabilité plus lourde. L'organe de direction approuve et supervise la procédure de gestion des risques et doit avoir une connaissance suffisante de la gestion des risques de cybersécurité ; pour les entités essentielles, des manquements graves répétés peuvent conduire à une interdiction temporaire d'exercer au conseil.
L'étape pratique est la même que partout dans l'UE : effectuer le test d'applicabilité au regard de la directive, s'enregistrer auprès du superviseur sectoriel et figurer sur sa liste d'entités, mettre en place les quatre devoirs continus (tenir à jour les données d'enregistrement, notification des incidents, risque de la chaîne d'approvisionnement, surveillance par l'organe de direction) et documenter le minimum. Utiliser le formulaire de notification Traficom commun garde la voie de notification claire.
- Directive (UE) 2022/2555 (NIS 2): EUR-Lex
- Règlement d'exécution (UE) 2024/2690
- Cybersecurity Act 124/2025 (Kyberturvallisuuslaki): Finlex
- Traficom: Agence finlandaise des transports et des communications, page officielle de transposition NIS 2
- Kyberturvallisuuskeskus (NCSC-FI): CSIRT national et point de contact unique
- Energiavirasto: surveillant sectoriel pour l'électricité, le chauffage urbain et le gaz
- Tukes (Agence finlandaise de sûreté et des produits chimiques): superviseur sectoriel pour le pétrole, le stockage de gaz, la production d'hydrogène, les produits chimiques et une partie de la fabrication
- Avis motivé de la Commission européenne du 7 mai 2025 sur la transposition de NIS 2
En pratique
Ce que la loi nationale change, et ce qu'elle ne change pas
La loi nationale détermine notamment où vous vous enregistrez et à qui vous notifiez les incidents. Les mesures elles-mêmes partent de la même liste minimale dans chaque État membre (art. 21 NIS 2). Le parcours guidé vous les fait suivre étape par étape :
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
