État de NIS 2 en Suède
Ce que la directive exige, comment la Suède l'a transposée tardivement, et où se situent le NCSC de la FRA et CERT-SE dans le tableau.
Aperçu
La directive NIS 2 est la couche de l'UE. Elle lie chaque État membre, Suède comprise, avec un socle unique de cybersécurité pour les entités essentielles et importantes. La Suède doit inscrire ce socle dans le droit suédois et exploiter un régime de supervision en vertu de celui-ci.
La Suède a manqué l'échéance de transposition de l'UE du 17 octobre 2024. La Commission européenne a émis un avis motivé le 7 mai 2025 pour défaut de notification de la transposition complète. Seule la Cybersäkerhetslagen (SFS 2025:1506), publiée le 11 décembre 2025 et en vigueur depuis le 15 janvier 2026, a finalement inscrit la directive dans le droit suédois.
Depuis le 1er juillet 2026, le National Defence Radio Establishment (Försvarets radioanstalt, FRA), par l'intermédiaire de son National Cyber Security Centre (NCSC), est le point de contact unique et le CSIRT pour NIS 2. MCF (Myndigheten för civilt försvar, anciennement MSB) a tenu ces rôles du 15 janvier au 30 juin 2026. CERT-SE reste le nom du CSIRT national et fait désormais partie du NCSC. La supervision est décentralisée : PTS pour l'infrastructure numérique, les fournisseurs numériques, la gestion des services TIC, la poste et l'espace ; Energimyndigheten pour l'énergie ; Transportstyrelsen pour les transports et la fabrication de véhicules ; Finansinspektionen pour les banques et les infrastructures de marchés financiers ; IVO pour les prestataires de soins et Läkemedelsverket pour le reste de la santé ; Livsmedelsverket pour l'eau potable, les eaux usées et l'alimentation ; et six conseils administratifs de comté pour les déchets, la recherche, l'administration publique, les produits chimiques et la fabrication.
Directive de l'UE
Directive (UE) 2022/2555 (NIS 2)
La directive de cybersécurité à l'échelle de l'UE. Fixe les obligations que chaque État membre doit transposer, y compris les tests de taille et de secteur pour les entités essentielles et importantes. L'échéance de transposition était le 17 octobre 2024.
Mise en œuvre de l'UE
Règlement d'exécution (UE) 2024/2690 de la Commission
Exigences techniques et méthodologiques pour les fournisseurs DNS, les registres TLD, les fournisseurs de cloud, de centres de données et de CDN, les fournisseurs de services gérés (de sécurité), les places de marché en ligne, les moteurs de recherche, les réseaux sociaux et les prestataires de services de confiance. Directement applicable en Suède sans transposition nationale.
Transposition suédoise
Cybersäkerhetslagen (SFS 2025:1506), en vigueur depuis le 15 janvier 2026
La transposition suédoise de NIS 2. Publiée le 11 décembre 2025 sur la base de la Proposition 2025/26:28 « Ett starkt skydd för nätverks- och informationssystem ». Accompagnée de la Cybersäkerhetsförordning (SFS 2025:1507) et de règles émises par les autorités. Abroge l'ancienne loi NIS 1 de 2018 (2018:1174), qui continue de s'appliquer aux violations commises avant le 15 janvier 2026.
Cybersäkerhetslagen (SFS 2025:1506)
Inscrit les obligations de NIS 2 dans le droit suédois. La Commission avait ouvert une procédure d'infraction avec un avis motivé le 7 mai 2025. Avec la Cybersäkerhetslagen, en vigueur depuis le 15 janvier 2026, la Suède est formellement transposée. La Cybersäkerhetsförordning d'accompagnement et les règles des régulateurs sectoriels complètent le détail opérationnel.
NCSC à la FRA comme SPOC et CSIRT, régulateurs sectoriels comme superviseurs
La Suède exploite un modèle de supervision décentralisé. Depuis le 1er juillet 2026, la FRA, par l'intermédiaire de son National Cyber Security Centre (NCSC), est le point de contact unique et le CSIRT (CERT-SE). Auparavant, à partir du 15 janvier 2026, MCF tenait les deux rôles. La supervision relève des autorités sectorielles énumérées dans la Cybersäkerhetsförordning : PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Läkemedelsverket, Livsmedelsverket et six conseils administratifs de comté.
Enregistrement et notification
Les entités dans le périmètre doivent s'enregistrer auprès du point de contact unique dès que possible. L'enregistrement est ouvert depuis le 2 février 2026. Depuis le 1er juillet 2026, l'adresse est le NCSC à la FRA, par courriel à nis2anmalan@ncsc.se. Les changements sont à signaler sous 14 jours. Les incidents importants sont notifiés au NCSC par CERT-SE via cyberportal.ncsc.se selon la cadence de la directive : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. Pour les prestataires de services de confiance, la notification d'incident est due sous 24 heures.
Le droit local s'applique à l'intérieur de la Suède
Les opérations sur le territoire suédois suivent la transposition suédoise. Un Geschäftsführer allemand dirigeant une filiale suédoise lit la Cybersäkerhetslagen (SFS 2025:1506) pour cette filiale, pas le BSIG allemand. Les obligations de la directive sont les mêmes ; la procédure, l'adresse d'enregistrement et les sanctions vivent dans le droit suédois.
La Suède ne peut pas descendre sous le socle de l'UE
La directive est un instrument d'harmonisation minimale. La Suède peut aller plus loin et a utilisé une partie de cette marge, en particulier par une approche « entité entière » qui saisit l'ensemble de l'organisation plutôt que la seule partie fournissant le service. La Suède ne peut pas descendre sous la directive sur les obligations des entités essentielles et importantes, les délais de notification des incidents ou la responsabilité de l'organe de direction.
NCSC à la FRA (jusqu'au 30 juin 2026 : MCF)
Le National Cyber Security Centre à la Försvarets radioanstalt (FRA). Point de contact unique et CSIRT pour NIS 2 depuis le 1er juillet 2026, et adresse pour les enregistrements et les notifications d'incidents. Du 15 janvier au 30 juin 2026, ces rôles relevaient de MCF (Myndigheten för civilt försvar, appelée MSB jusqu'au 31 décembre 2025). La supervision sectorielle ne se trouve pas ici ; elle relève des autorités sectorielles.
CERT-SE
Le CSIRT national pour la Suède, au sein du National Cyber Security Centre à la FRA depuis le 1er juillet 2026 (auparavant chez MCF). Reçoit les notifications d'incidents importants au titre de NIS 2 via cyberportal.ncsc.se, soutient les entités 24h/24 et 7j/7, et échange des informations au sein du réseau des CSIRT de l'UE. Joignable à cert@cert.se.
ENISA
L'agence de cybersécurité de l'UE. Publie des orientations, gère la base de données européenne des vulnérabilités et soutient la coordination transfrontalière. N'est pas un superviseur pour les entités suédoises ; ce sont les autorités sectorielles qui le sont.
La Suède et l'Allemagne réglementent cela de la même façon.
Les obligations de la directive sont identiques, les structures ne le sont pas. L'Allemagne centralise la supervision par le BSI au titre du BSIG. La Suède répartit les rôles : le NCSC à la FRA est le point de contact unique et exploite CERT-SE, tandis que la supervision relève d'un ensemble d'autorités sectorielles. Une maison mère allemande avec une filiale suédoise a besoin de l'autorité sectorielle comme adresse de supervision pour cette filiale, pas du NCSC.
Tant que personne ne me contacte, je suis hors du champ d'application.
Comme la plupart des États membres, la Suède exploite un modèle d'auto-classification. Une entité qui satisfait au test de taille et de secteur de la directive est une entité assujettie, qu'une autorité publie une liste ou non. Les entités devaient s'enregistrer dès que possible à partir du 2 février 2026, depuis le 1er juillet 2026 auprès du NCSC à la FRA. L'absence de courrier des autorités n'est pas une défense contre les sanctions.
Nous ne traitons qu'avec notre régulateur sectoriel.
L'autorité sectorielle est le superviseur, et le NCSC à la FRA est à la fois l'adresse d'enregistrement et, par CERT-SE, le canal d'incident. En pratique, le travail NIS 2 touche les deux : enregistrement et notifications d'incident au NCSC, supervision continue par PTS, Energimyndigheten, Finansinspektionen ou une autre autorité sectorielle. Traiter l'un ou l'autre comme l'unique interlocuteur, c'est mal lire l'architecture suédoise.
La plupart des opérateurs suédois que nous voyons ont passé toute l'année 2025 dans l'incertitude. Jusqu'à la mi-décembre 2025, la Cybersäkerhetslagen était au Riksdag sous la forme de la Proposition 2025/26:28 et rien de plus. La conséquence : de nombreux directeurs généraux ont suspendu leur travail NIS 2, puis ont dû comprimer la notification et la première documentation dans la fenêtre peu après le 15 janvier 2026.
La démarche pratique est la même que partout ailleurs dans l'UE : confirmer le champ d'application au titre de la directive, s'enregistrer auprès du NCSC à la FRA, mettre en place les quatre obligations continues (mise à jour de l'enregistrement, notification des incidents, risque de la chaîne d'approvisionnement, surveillance de l'organe de direction) et documenter le minimum. Le régulateur sectoriel reste l'adresse de supervision ; le NCSC et CERT-SE sont les canaux opérationnels.
- Directive (UE) 2022/2555 (NIS 2): EUR-Lex
- Règlement d'exécution (UE) 2024/2690 de la Commission
- Cybersäkerhetslagen (SFS 2025:1506): Sveriges riksdag
- Proposition 2025/26:28 « Ett starkt skydd för nätverks- och informationssystem »: Sveriges riksdag
- National Cyber Security Centre (NCSC) à la FRA: ncsc.se (enregistrement et notification d'incidents au titre de la Cybersäkerhetslagen)
- CERT-SE: CSIRT national suédois (au sein du NCSC à la FRA depuis le 1er juillet 2026)
- Commission européenne: mise en œuvre de la directive NIS2 en Suède (digital-strategy.ec.europa.eu)
- PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Livsmedelsverket: régulateurs sectoriels
- SFS 2026:623, modification de la Cybersäkerhetsförordning (2025:1507)
En pratique
Ce que la loi nationale change, et ce qu'elle ne change pas
La loi nationale détermine notamment où vous vous enregistrez et à qui vous notifiez les incidents. Les mesures elles-mêmes partent de la même liste minimale dans chaque État membre (art. 21 NIS 2). Le parcours guidé vous les fait suivre étape par étape :
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
