NIS2 pour les fournisseurs de cloud : quand un fournisseur de services d'informatique en nuage est concerné
Quiconque propose un service cloud à d'autres, qu'il s'agisse d'infrastructure, de plateforme ou de logiciel, est une entité importante à partir de 50 salariés ou avec plus de 10 millions d'euros chacun de chiffre d'affaires et de total de bilan, et une entité essentielle à partir de 250 salariés (§ 28 BSIG). Le simple fait d'utiliser des services cloud ne vous rend pas concerné par cette ligne. Les fournisseurs de cloud relèvent aussi du règlement d'exécution (UE) 2024/2690.
Ce qu'est un service d'informatique en nuage
Quatre caractéristiques portent la définition : le client utilise les ressources à la demande, y accède par le réseau, l'ensemble grandit et diminue avec la demande, et plusieurs clients partagent les ressources.
Cela correspond à la puissance de calcul et au stockage en tant que service (IaaS), aux plateformes comme les bases de données en tant que service (PaaS) et aux logiciels que de nombreux clients utilisent par le réseau (SaaS).
Un serveur unique à capacité fixe que vous exploitez pour un seul client n'a en général pas ces caractéristiques. Il peut toutefois relever d'une autre ligne, comme le service de centre de données ou le service géré.
§ 2 n° 4 BSIG · Art. 6(30) NIS 2
‘cloud computing service’ means a digital service that enables on-demand administration and broad remote access to a scalable and elastic pool of shareable computing resources, including where such resources are distributed across several locations;
À partir de quelle taille un fournisseur est concerné
Entité importante : au moins 50 salariés, ou un chiffre d'affaires annuel et un total de bilan de plus de 10 millions d'euros chacun.
Entité essentielle : au moins 250 salariés, ou plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de total de bilan. C'est possible parce que les fournisseurs de cloud figurent à l'annexe 1.
Contrairement par exemple aux services DNS ou aux services de confiance qualifiés, les fournisseurs de cloud ne sont pas couverts quelle que soit leur taille.
Le décompte suit la recommandation 2003/361/CE. Les entreprises partenaires et liées peuvent aussi compter.
§ 28(1), (2) et (4) BSIG
Ce qui ne compte pas
Utiliser des services cloud, comme l'e-mail, la comptabilité ou le stockage d'un fournisseur, ce n'est pas proposer un service cloud. Votre entreprise n'est alors pas concernée par cette ligne de l'annexe 1. Le fournisseur est l'un de vos fournisseurs, dont vous tenez compte dans vos mesures si votre entreprise est concernée pour une autre raison.
Un cloud que votre entreprise exploite uniquement pour elle-même n'est pas non plus un service proposé. Si une société l'exploite contre rémunération pour d'autres sociétés du même groupe, faites vérifier cela au cas par cas.
Des règles plus détaillées pour les fournisseurs de cloud
Les fournisseurs de services d'informatique en nuage relèvent aussi du règlement d'exécution (UE) 2024/2690. Il décrit plus en détail les exigences techniques pour les dix domaines et prime sur le BSIG dans cette mesure. En tant que règlement, il s'applique avec le même texte dans chaque pays de l'UE.
Il fixe aussi quand un incident chez ces fournisseurs est important et doit être notifié.
Pour les fournisseurs de cloud, c'est l'établissement principal dans l'UE qui décide du pays compétent : le pays où les décisions de cybersécurité sont principalement prises. Vous vous enregistrez donc dans un seul pays de l'UE, même si vous proposez votre service dans plusieurs.
§ 30(3) BSIG · Règlement d'exécution (UE) 2024/2690 · Art. 26 NIS 2
Et le catalogue C5 du BSI ?
Le C5 est un catalogue de critères du BSI pour les services cloud. NIS2 n'exige pas d'attestation C5. Beaucoup de clients en demandent une, et une attestation existante peut servir de preuve pour vos mesures.
Un exemple
Une entreprise fictive : un éditeur de logiciel RH qu'environ 900 clients utilisent par le réseau. 60 salariés, 12 millions d'euros de chiffre d'affaires.
Le logiciel fonctionne pour tous les clients sur une plateforme partagée qui grandit avec la demande. C'est un service d'informatique en nuage.
Avec 60 salariés, l'entreprise est une entité importante.
Elle s'enregistre auprès du BSI, parce que les décisions de cybersécurité sont prises en Allemagne.
Elle met en œuvre les mesures du § 30 BSIG, au niveau de détail qu'exige le règlement d'exécution (UE) 2024/2690.
La liste de ses actifs couvre l'application, les bases de données, les comptes d'hébergement, la connexion des clients et les fournisseurs, comme l'exploitant du centre de données.
Comment cela se passe dans le parcours guidé
Dans le parcours guidé sur nisd2.eu, le travail commence par la liste de ce avec quoi votre entreprise travaille.
Une étape vous interroge sur les processus, les logiciels, les appareils, les locaux et les réseaux, et sur qui les fournit. Cela produit la liste de vos actifs.
Une étape indique dans quel pays de l'UE vous vous enregistrez, avec la règle pour les fournisseurs numériques comme le cloud.
À côté de chaque étape figure le texte de loi, expliqué avec des mots simples.
À la fin, la direction approuve les documents dans l'application, connectée avec son propre compte.
Questions fréquentes
Le SaaS est-il un service d'informatique en nuage au sens de NIS2 ?
En général oui, si de nombreux clients utilisent le logiciel par le réseau sur une plateforme partagée et extensible. Cela correspond à la définition de l'art. 6(30) NIS 2 et du § 2 n° 4 BSIG.
Nous utilisons seulement des services cloud. Sommes-nous un fournisseur de cloud ?
Non. Utiliser des services cloud, ce n'est pas les proposer. Votre entreprise peut être concernée pour une autre raison ; le fournisseur de cloud est alors l'un de vos fournisseurs.
À partir de quelle taille un fournisseur de cloud est-il concerné ?
À partir de 50 salariés ou avec un chiffre d'affaires annuel et un total de bilan de plus de 10 millions d'euros chacun (§ 28(2) BSIG). À partir de 250 salariés, ou avec plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de total de bilan, c'est une entité essentielle.
Où s'enregistre un fournisseur de cloud actif dans plusieurs pays de l'UE ?
Dans le pays de l'UE de son établissement principal, là où les décisions de cybersécurité sont principalement prises (art. 26 NIS 2).
Sources
- Loi BSI (BSIG) § 2 n° 4, §§ 28 et 30, annexe 1, gesetze-im-internet.de/bsig_2025
- Directive (UE) 2022/2555 (NIS 2), art. 6(30), art. 26 et annexe I, EUR-Lex
- Règlement d'exécution (UE) 2024/2690, EUR-Lex
- Recommandation 2003/361/CE de la Commission, EUR-Lex
- BSI : catalogue de critères C5, bsi.bund.de
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Ce que coûte le parcours guidé
4 800 € HT par an, TVA en sus
Remboursement sous 30 joursSur facture, payable sous 30 jours. Résiliation dans les 30 premiers jours : facture annulée ou remboursement.
Mise en œuvre guidée de NIS 2, étape par étape
Un historique des modifications et des validations à présenter à votre autorité de contrôle
Échéances et rappels pour chaque exigence
Questionnaire de sécurité pour vos fournisseurs
Export en PDF ou CSV à tout moment
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
