Règlement d'exécution (UE) 2024/2690

Règlement d'exécution (UE) 2024/2690 (CIR) : qui il lie et ce qu'il exige

Le règlement d'exécution (UE) 2024/2690 de la Commission, en abrégé le CIR, précise en détail comment certains fournisseurs numériques mettent en place les dix mesures de sécurité de NIS2, et quand un incident chez eux est important. Il s'applique directement dans chaque pays de l'UE, mais seulement à onze types de fournisseurs, comme le cloud, les centres de données et les services gérés. Pour toutes les autres entreprises, ce n'est pas la référence obligatoire, seulement un repère possible.

Commencer

Réserver un appel

Quelqu'un d'autre décide ? Une page pour votre direction

Simon Orzel·Zuletzt geprüft 5. Oktober 2026

Qui le règlement lie

L'article 1 nomme onze types d'entités. Le règlement les appelle les « entités concernées ».

Art. 1 et 16 Règlement d'exécution (UE) 2024/2690

Fournisseurs de services DNS
Registres de noms de domaine de premier niveau (TLD)
Fournisseurs de services d'informatique en nuage
Fournisseurs de services de centres de données
Fournisseurs de réseaux de diffusion de contenu
Fournisseurs de services gérés
Fournisseurs de services de sécurité gérés
Fournisseurs de places de marché en ligne
Fournisseurs de moteurs de recherche en ligne
Fournisseurs de plateformes de services de réseaux sociaux
Prestataires de services de confiance

C'est un règlement, pas une directive. C'est pourquoi il s'applique dans chaque pays de l'UE sans loi nationale. Il a été publié au Journal officiel le 18 octobre 2024 et est entré en vigueur 20 jours plus tard.

Qu'un tel fournisseur relève de NIS2 tout court, c'est la directive et la loi nationale qui le décident, en Allemagne le § 28 BSIG. Le règlement dit seulement comment exactement il met en place les mesures.

Ce qu'exige l'annexe

L'annexe compte 13 sections. Chacune se rattache à un point de l'art. 21(2) NIS 2 et contient des exigences individuelles numérotées.

N° 1

Politique de sécurité des réseaux et des systèmes d'information

Un document de politique que la direction revoit au moins une fois par an, plus des rôles et responsabilités clairs.

N° 2

Politique de gestion des risques

Identifier, évaluer et traiter les risques. Les résultats sont revus au moins une fois par an.

N° 3

Gestion des incidents

Détecter, journaliser, classer, traiter et analyser les incidents.

N° 4

Continuité des activités et gestion de crise

Plans de secours, sauvegardes et redondance, gestion de crise.

N° 5

Sécurité de la chaîne d'approvisionnement

Une politique pour les relations avec les fournisseurs directs et un registre de ces fournisseurs.

N° 6

Acquisition, développement et maintenance

Sécurité lors de l'achat et du développement des systèmes, changements, tests, mises à jour et traitement des vulnérabilités.

N° 7

Évaluer l'efficacité

Décider comment vérifier si les mesures fonctionnent.

N° 8

Cyberhygiène et formation

Des règles de base pour tous, sensibilisation et formation, y compris pour la direction.

N° 9

Cryptographie

Une politique de chiffrement, avec la gestion des clés.

N° 10

Sécurité des ressources humaines

Responsabilités, vérification des antécédents le cas échéant, et procédures pour les départs et les changements de poste.

N° 11

Contrôle d'accès

Droits d'accès, comptes à privilèges, identification, authentification et, le cas échéant, plusieurs facteurs (n° 11.7).

N° 12

Gestion des actifs

Un inventaire des systèmes et des actifs, leur classification et leur manipulation.

N° 13

Sécurité environnementale et physique

Protection contre les pertes d'alimentation, le feu et l'eau, accès physique contrôlé.

La proportionnalité s'applique ici aussi : le risque, la taille, ainsi que la probabilité et la gravité des incidents comptent (art. 2(2)). Lorsque l'annexe dit « le cas échéant » et qu'un fournisseur n'applique pas une exigence, il documente pourquoi de manière compréhensible.

Quand un incident est important

Pour les entités concernées, le règlement fixe quand un incident est important et doit donc être notifié. L'article 3 s'applique à toutes : par exemple une perte financière directe de plus de 500 000 euros ou de 5 pour cent du chiffre d'affaires annuel, le montant le plus faible étant retenu, l'exfiltration de secrets d'affaires, ou un accès réussi, soupçonné d'être malveillant, qui peut causer une perturbation grave de l'activité.

Si au moins deux incidents ayant la même cause apparente surviennent en six mois et atteignent ensemble le seuil de perte financière, ils comptent ensemble comme importants (article 4).

Les articles 5 à 14 fixent des seuils par type de fournisseur. Un exemple : un service cloud totalement indisponible pendant plus de 30 minutes (article 7). La maintenance planifiée ne compte pas.

Art. 3 à 14 Règlement d'exécution (UE) 2024/2690 · Art. 23(3) NIS 2

Le lien avec le BSIG allemand

Pour les onze types de fournisseurs, le règlement prime sur les mesures du § 30 BSIG (§ 30(3) BSIG).

Il ne s'applique à aucune autre entreprise. Leurs mesures sont appréciées au regard du § 30 BSIG. La Commission n'a pas encore adopté d'acte d'exécution pour toutes les entités (§ 30(4) BSIG).

Selon le § 44(2) BSIG, l'IT-Grundschutz du BSI vaut respect du § 30 seulement pour les organismes de l'administration fédérale. Pour les entreprises, il peut structurer le travail, mais ce n'est pas une preuve reconnue par la loi.

§ 30(3) et (4) · § 44(2) BSIG

Ce que cela signifie pour une entreprise de 50 à 150 salariés

La plupart des entreprises de cette taille, comme les fabricants, les entreprises alimentaires ou les entreprises de gestion des déchets, n'appartiennent à aucun des onze types. Le règlement ne les lie pas. Elles apprécient leurs mesures au regard du § 30 BSIG.

Vous pouvez lire le règlement comme un repère si vous voulez voir à quoi ressemble une mesure en détail. Ce n'est pas une obligation.

Si votre entreprise est toutefois un prestataire informatique qui exploite ou gère les systèmes de ses clients, elle peut être un fournisseur de services gérés. Le règlement s'applique alors directement à vous.

Un exemple

Deux entreprises fictives de 90 salariés chacune.

Un fabricant de machines d'emballage : la construction de machines figure à l'annexe 2 du BSIG, l'entreprise est donc une entité importante. Le règlement ne la lie pas. Elle revoit sa politique de sécurité à un intervalle qu'elle fixe elle-même.

Un prestataire informatique qui exploite des serveurs, des réseaux et des postes de travail pour 200 clients : c'est un fournisseur de services gérés. Le règlement s'applique directement à lui.

Pour le prestataire informatique, cela signifie entre autres : la direction revoit la politique de sécurité au moins une fois par an, l'évaluation des risques est revue au moins une fois par an, et l'accès à ses systèmes utilise plusieurs facteurs le cas échéant.

S'il a un incident, il vérifie les seuils des articles 3 et 10 du règlement avant de décider de notifier.

Comment cela se passe dans le parcours guidé

Le parcours guidé sur nisd2.eu couvre ce que le BSIG demande à chaque entité, et il connaît les fournisseurs auxquels le règlement s'applique.

Chacun des dix domaines du § 30(2) BSIG devient au moins une étape que vous remplissez.

L'étape de la politique de sécurité indique que, pour les fournisseurs auxquels le règlement s'applique, la politique est revue au moins une fois par an.

Si votre entreprise est enregistrée dans l'infrastructure numérique, la gestion des services TIC ou les fournisseurs numériques, chaque exigence reste ouverte pour vous avec les détails du règlement, même une fois que le parcours guidé a couvert la part que toute entité doit.

À la fin, la direction approuve les documents dans l'application, connectée avec son propre compte.

Commencer par la politique de sécurité dans le parcours guidé

Questions fréquentes

Qu'est-ce que le CIR 2024/2690 ?

Le règlement d'exécution (UE) 2024/2690 de la Commission du 17 octobre 2024. Pour onze types de fournisseurs numériques, il fixe les exigences techniques et méthodologiques des mesures de l'art. 21(2) NIS 2 et précise quand un incident chez eux est important.

Le règlement s'applique-t-il à mon entreprise ?

Seulement si elle est l'un des onze types de l'article 1, comme le cloud, les centres de données ou les services gérés, et si elle relève de NIS2 selon la loi nationale. Il ne s'applique à personne d'autre.

Le règlement doit-il être transposé en droit national ?

Non. En tant que règlement, il s'applique directement dans chaque pays de l'UE. En Allemagne, le BSIG lui donne la priorité pour les fournisseurs concernés (§ 30(3) BSIG).

Combien de sections compte l'annexe ?

13. Elles suivent les points (a) à (j) de l'art. 21(2) NIS 2. Le contrôle d'accès (n° 11), par exemple, contient l'authentification multifacteur (n° 11.7).

Un certificat ISO 27001 suffit-il ?

Le règlement s'appuie notamment sur ISO/IEC 27001 et 27002 (considérants). Un certificat ne remplace toutefois pas ses exigences. Vérifiez chaque exigence de l'annexe séparément.

Sources

Règlement d'exécution (UE) 2024/2690 de la Commission du 17 octobre 2024, JO L, 2024/2690, 18 octobre 2024, EUR-Lex
Directive (UE) 2022/2555 (NIS 2), art. 21 et 23, EUR-Lex
Loi BSI (BSIG) §§ 28, 30, 44, gesetze-im-internet.de/bsig_2025

En pratique

Où cela apparaît dans le parcours guidé

Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.

Le parcours lui-même est en allemand et en anglais.

Risk Management
Write the security policy
A short policy that management approves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.