État de NIS 2 en Irlande
Ce que la directive exige, où en est l'Irlande sur la transposition, et qui assure la supervision dans l'intervalle.
Aperçu
La directive NIS 2 se situe au niveau de l'UE. Elle lie chaque État membre, Irlande comprise, à un socle unique d'obligations pour les entités essentielles et importantes. L'Irlande doit traduire ce socle en droit irlandais et mettre en place une supervision en vertu de celui-ci.
L'Irlande a manqué l'échéance de transposition du 17 octobre 2024. Le General Scheme of the National Cyber Security Bill 2024 a été publié le 30 août 2024. Début octobre 2026, aucun National Cyber Security Bill n'a été déposé devant l'Oireachtas. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'UE contre l'Irlande, avec l'Espagne, la France et les Pays-Bas, et a demandé à la Cour d'imposer une somme forfaitaire et des astreintes journalières jusqu'à ce que l'Irlande notifie la transposition complète. Tant que la loi n'est pas en vigueur, la transposition irlandaise de NIS 1 (les European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018, S.I. No. 360/2018) continue de s'appliquer.
Le National Cyber Security Centre (NCSC-IE) est le CSIRT national. Selon le General Scheme, il doit devenir l'autorité compétente chef de file et le point de contact unique pour NIS 2, aux côtés des autorités compétentes sectorielles : la CRU pour l'énergie, l'eau potable et les eaux usées, ComReg pour l'infrastructure numérique, la gestion des services TIC, l'espace et les fournisseurs numériques, la Central Bank of Ireland pour les banques et les infrastructures de marchés financiers (où DORA s'applique comme lex specialis), et d'autres autorités pour les transports et la santé. Depuis le 1er juin 2025, le NCSC et les fonctions NIS relèvent du Department of Justice, Home Affairs and Migration, qui les a repris du Department of the Environment, Climate and Communications.
Directive de l'UE
Directive (UE) 2022/2555 (NIS 2)
La directive de cybersécurité de l'UE. Elle fixe les obligations que chaque État membre doit transposer, y compris le test de taille et de secteur pour les entités essentielles et importantes. Elle s'applique à l'Irlande indépendamment de l'état de la transposition nationale.
Acte d'exécution de l'UE
Règlement d'exécution (UE) 2024/2690
Exigences techniques et méthodologiques pour les fournisseurs DNS, les registres TLD, les fournisseurs de cloud, de centres de données et de CDN, les fournisseurs de services gérés (de sécurité), les places de marché en ligne, les moteurs de recherche, les réseaux sociaux et les prestataires de services de confiance. Directement applicable en Irlande, sans transposition nationale nécessaire.
Transposition irlandaise
General Scheme of the National Cyber Security Bill 2024 (projet) ; jusqu'à son adoption : S.I. No. 360/2018 (NIS 1)
Le gouvernement a approuvé la rédaction prioritaire le 24 juillet 2024 et publié le General Scheme le 30 août 2024. Aucun projet de loi n'a encore été déposé devant l'Oireachtas. Le projet de loi et les règlements secondaires qui suivront porteront le détail opérationnel. Jusque-là, la transposition de NIS 1 reste en vigueur, complétée par les orientations du NCSC-IE.
National Cyber Security Bill
Inscrira les obligations de NIS 2 dans le droit irlandais, définira les entités essentielles et importantes, énoncera les pouvoirs de supervision et d'application et ancrera la notification des incidents. Le détail opérationnel sera complété par des règlements secondaires et les orientations du NCSC-IE. Aujourd'hui : Heads of Bill publiés, texte final pas encore adopté.
NCSC-IE comme autorité compétente chef de file
Le National Cyber Security Centre est le CSIRT national (CSIRT-IE). Selon le General Scheme, il doit devenir l'autorité compétente chef de file et le point de contact unique pour NIS 2, avec des régulateurs sectoriels comme la CRU, ComReg et la Central Bank comme autorités compétentes pour leurs secteurs. Il publie déjà des orientations préparatoires, dont le projet de Risk Management Measures guidance de juin 2025, et fait référence au cadre belge CyFun comme base de référence pratique.
Enregistrement et notification
D'ici le 17 avril 2025, chaque État membre devait établir sa liste des entités essentielles et importantes (art. 3(3) NIS 2). L'Irlande n'a pas encore de base juridique pour cela, et les portails d'enregistrement et de notification des incidents n'ouvriront qu'une fois la loi en vigueur. Les incidents importants suivront alors la directive : alerte précoce sous 24 heures, notification d'incident sous 72 heures, rapport final sous un mois.
Sur le territoire irlandais, le droit irlandais s'applique
Une activité sur le territoire irlandais suit la transposition irlandaise. Un directeur général allemand avec une filiale irlandaise lit le futur National Cyber Security Act pour cette filiale, et les 2018 NIS 1 Regulations dans l'intervalle, pas le BSIG allemand. Les obligations de la directive sont identiques. Les procédures, les portails et les sanctions vivent dans le droit irlandais.
L'Irlande ne peut pas descendre sous le socle de l'UE
La directive est une harmonisation minimale. L'Irlande peut être plus stricte. L'Irlande ne peut pas descendre sous la directive, ni sur les obligations des entités essentielles et importantes, ni sur les délais de notification, ni sur la responsabilité de l'organe de direction. Tant que l'Irlande ne transpose pas, les obligations de la directive ne lient pas directement les entreprises irlandaises. Une fois la loi en vigueur, elle ne peut pas fixer une exigence inférieure à celle de la directive.
NCSC-IE
National Cyber Security Centre. CSIRT national (CSIRT-IE) et, selon le General Scheme, future autorité compétente chef de file et point de contact unique pour NIS 2. Publie des orientations préparatoires, ouvrira les portails d'enregistrement et de notification une fois la loi en vigueur, et coordonne avec l'ENISA et les autres États membres.
Department of Justice, Home Affairs and Migration
Ministère chef de file pour la transposition. Le 1er juin 2025, le gouvernement a transféré les fonctions de cybersécurité, y compris celles prévues par les NIS 1 Regulations (S.I. No. 360/2018), du Department of the Environment, Climate and Communications au Department of Justice (S.I. No. 234/2025). Le NCSC est un bras opérationnel de ce ministère. Le General Scheme of the National Cyber Security Bill 2024 est publié ; le projet de loi lui-même n'a pas encore été déposé devant l'Oireachtas.
ENISA
L'agence de cybersécurité de l'UE. Publie des orientations, exploite la base de données européenne des vulnérabilités et coordonne au-delà des frontières. N'est pas un superviseur pour les entités irlandaises. Selon le General Scheme, ce rôle reviendra au NCSC-IE et aux autorités compétentes sectorielles une fois la loi en vigueur.
Tant que l'Irlande ne transpose pas, les règles allemandes s'appliquent, parce que notre maison mère est en Allemagne.
Non. NIS 2 suit le principe de l'établissement. Une filiale irlandaise est réglementée en Irlande, une filiale allemande en Allemagne. La maison mère allemande peut soutenir la filiale irlandaise en interne, l'obligation juridique de s'enregistrer, de notifier et de superviser incombe à l'entité irlandaise et s'adresse au NCSC-IE une fois la loi en vigueur. Jusque-là, NIS 1 (S.I. No. 360/2018) régit les secteurs déjà couverts.
Tant que le portail n'est pas en service, je n'ai rien à faire.
Les obligations NIS 2 d'enregistrement et de notification n'atteignent une entreprise irlandaise que par la loi irlandaise, qui n'est pas encore en vigueur. D'ici là, NIS 1 (S.I. No. 360/2018) s'applique aux exploitants de services essentiels déjà désignés en vertu de celui-ci. Se préparer reste payant : la gestion des risques, un processus d'incident, des clauses de chaîne d'approvisionnement et la formation de l'organe de direction demandent des mois de mise en place, et la loi fixera le délai d'enregistrement dès que NCSC-IE ouvrira le portail.
Seuls les anciens OES de NIS 1 sont saisis par NIS 2.
Non. NIS 2 élargit considérablement le catalogue des secteurs et des tailles. Les opérateurs de services essentiels au titre de NIS 1 restent généralement saisis par NIS 2, mais le périmètre est plus large et distingue désormais les entités essentielles des entités importantes. Les entités moyennes et grandes énumérées aux annexes I et II de la directive sont dans le champ d'application, de même que certains petits fournisseurs ayant un rôle particulier, ainsi que des parties de l'administration publique.
La plupart des opérateurs irlandais du marché intermédiaire que nous rencontrons traitent NIS 2 comme une échéance reportée et attendent le National Cyber Security Bill. Juridiquement, cela tient pour l'instant : une directive lie l'État, pas l'entreprise, donc tant que la loi n'est pas en vigueur, seules les NIS 1 Regulations s'appliquent, et seulement aux exploitants déjà désignés en vertu de celles-ci. En pratique, le travail prend des mois : qui commence maintenant aborde la loi avec la documentation déjà en place.
La démarche pratique est la même que partout dans l'UE : effectuer le test d'applicabilité au regard de la directive, utiliser les orientations préparatoires du NCSC-IE (le projet de Risk Management Measures, CyFun) comme repère, mettre en place les quatre obligations continues (tenir les données d'enregistrement à jour, notification des incidents, risque de la chaîne d'approvisionnement, supervision par l'organe de direction) et documenter le minimum. Une fois la loi en vigueur, le travail restant consiste surtout à brancher la documentation finalisée sur les procédures irlandaises.
- Directive (UE) 2022/2555 (NIS 2): EUR-Lex
- Règlement d'exécution (UE) 2024/2690
- General Scheme of the National Cyber Security Bill 2024: Department of Justice, Home Affairs and Migration (gov.ie)
- European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018): Irish Statute Book
- NCSC-IE: National Cyber Security Centre, état et orientations NIS 2 (ncsc.gov.ie)
- NCSC-IE: Draft Risk Management Measures Guidance (juin 2025)
- ComReg: selon le General Scheme, autorité compétente pour l'infrastructure numérique, la gestion des services TIC, l'espace et les fournisseurs numériques
- Central Bank of Ireland: autorité compétente pour DORA dans le secteur financier
- S.I. No. 234/2025, Cyber Security (Transfer of Departmental Administration and Ministerial Functions) Order 2025: Irish Statute Book
- Commission européenne, 8 juillet 2026: la Commission saisit la Cour de justice contre l'Irlande, l'Espagne, la France et les Pays-Bas (digital-strategy.ec.europa.eu)
En pratique
Ce que la loi nationale change, et ce qu'elle ne change pas
La loi nationale détermine notamment où vous vous enregistrez et à qui vous notifiez les incidents. Les mesures elles-mêmes partent de la même liste minimale dans chaque État membre (art. 21 NIS 2). Le parcours guidé vous les fait suivre étape par étape :
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
