Statutul NIS 2 în Franța
Ce cere directiva, cum o transpune Franța și unde se situează ANSSI în tablou.
Prezentare generală
Directiva NIS 2 este stratul UE. Obligă fiecare stat membru, inclusiv Franța, cu un prag unic de securitate cibernetică pentru entitățile esențiale și importante. Franța trebuie să pună acel prag în dreptul francez și să ruleze un regim de supraveghere sub el.
Franța nu a transpus încă NIS 2. Transpunerea este un proiect de lege al guvernului, projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, care acoperă NIS 2, directiva privind entitățile critice și DORA. Senatul l-a adoptat la 12 martie 2025, iar o comisie specială a Assemblée nationale la 10 septembrie 2025. Dezbaterea în plen a Assemblée este programată pentru 7 octombrie 2026. Comisia a sesizat Curtea de Justiție a UE împotriva Franței la 8 iulie 2026 pentru netranspunerea NIS 2 și a cerut sancțiuni financiare. Proiectul se suprapune peste regimul OIV existent (Opérateurs d'Importance Vitale) și peste regimul OSE din NIS 1 (Opérateurs de Services Essentiels), în loc să le înlocuiască de la zero.
ANSSI (Agence nationale de la sécurité des systèmes d'information) conduce CSIRT-ul național și este autoritatea națională în temeiul proiectului de lege. Oferă preînregistrare voluntară la messervices.cyber.gouv.fr/nis2 (fostul MonEspaceNIS2); înregistrarea devine obligatorie abia după adoptarea legii. Autoritățile de reglementare sectorială rămân implicate pentru sectoarele care aveau deja una, finanțele în special, unde DORA acționează ca lex specialis.
Directiva UE
Directiva (UE) 2022/2555 (NIS 2)
Directiva UE de securitate cibernetică la nivelul întregii Uniuni. Stabilește obligațiile pe care fiecare stat membru trebuie să le transpună, inclusiv testele de mărime și de sector pentru entitățile esențiale și importante.
Implementare UE
Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei
Măsuri tehnice și metodologice pentru furnizorii de infrastructură digitală. Direct aplicabil în Franța fără transpunere națională.
Transpunerea franceză (proiect de lege)
Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
Proiectul de lege al guvernului care va transpune NIS 2, împreună cu directiva privind entitățile critice și DORA. Senatul l-a adoptat la 12 martie 2025; dezbaterea în plen a Assemblée nationale este programată pentru 7 octombrie 2026. Titlul I al proiectului rescrie regulile privind operatorii critici din Code de la défense; Titlul II preia NIS 2 sub formă de articole ale noii legi, cu ANSSI ca autoritate națională. Decretele de aplicare și ghidurile ANSSI vor completa detaliul operațional.
Proiectul de lege privind reziliența și securitatea cibernetică
Va aduce obligațiile NIS 2 în dreptul francez după adoptare; nu este încă lege. Proiectul definește două categorii, entités essentielles (EE) și entités importantes (EI), competențele de supraveghere ale ANSSI, obligațiile de raportare a incidentelor și sancțiunile. Cea mai mare parte a detaliului operațional este delegată décrets d'application.
ANSSI ca supraveghetor și CSIRT
Conform proiectului de lege, ANSSI conduce supravegherea și auditurile și trimite încălcările către o comisie de sancțiuni (commission des sanctions), care aplică amenzile. Operează totodată CSIRT-ul național și preînregistrarea voluntară la messervices.cyber.gouv.fr/nis2 (fostul MonEspaceNIS2). Autoritățile de reglementare sectorială precum ACPR pentru finanțe își păstrează propria competență acolo unde se aplică lex specialis.
Înregistrare și raportare
Directiva a cerut ca entitățile să poată fi identificate de statele membre începând cu 17 aprilie 2025. Franța nu are încă o obligație de înregistrare: ANSSI oferă preînregistrare voluntară la messervices.cyber.gouv.fr/nis2 (fostul MonEspaceNIS2), iar înregistrarea devine obligatorie abia după adoptarea legii. Odată aplicabilă, incidentele semnificative urmează cadența directivei: avertizare timpurie de 24 de ore, notificare de 72 de ore și raport final de o lună.
Legea locală se aplică în Franța
Entitățile stabilite în Franța vor urma transpunerea franceză după adoptarea acesteia. Un Geschäftsführer german care administrează o filială franceză va citi legea franceză pentru acea filială, nu BSIG-ul german. Obligațiile directivei sunt aceleași; procedura, portalul și sancțiunile vor fi în dreptul francez.
Franța nu poate coborî sub pragul UE
Directiva este un instrument de armonizare minimă. Franța poate fi mai strictă și a fost istoric, prin regimul OIV. Nu poate coborî sub directivă în privința obligațiilor entităților esențiale și importante, a termenelor de raportare a incidentelor sau a responsabilizării organului de conducere.
ANSSI
CSIRT național și autoritatea națională în temeiul proiectului de lege. Operează preînregistrarea voluntară NIS 2 la messervices.cyber.gouv.fr/nis2 (fostul MonEspaceNIS2), emite ghiduri și efectuează audituri. Conform proiectului, ANSSI supraveghează și trimite încălcările către o comisie de sancțiuni (commission des sanctions), care aplică amenzi de până la 10 milioane EUR sau 2 % din cifra de afaceri mondială pentru entitățile esențiale și 7 milioane EUR sau 1,4 % pentru entitățile importante. Deține doctrina OIV istorică ce va alimenta supravegherea NIS 2.
CNIL
Autoritatea franceză de protecție a datelor. Nu este autoritatea de reglementare NIS 2. Rămâne competentă pentru raportarea breșelor de date cu caracter personal conform GDPR. Un incident NIS 2 care atinge date cu caracter personal este adesea o dublă notificare: ANSSI și CNIL.
ENISA
Agenția UE pentru securitate cibernetică. Publică ghiduri, administrează baza de date europeană privind vulnerabilitățile și sprijină coordonarea transfrontalieră. Nu este supraveghetor pentru entitățile franceze; ANSSI este.
Suntem deja OIV, deci NIS 2 este rezolvat.
Clasificările OIV și OSE din cadrul existent Code de la défense și NIS 1 nu se preiau automat ca entități esențiale sau importante (EE sau EI) sub NIS 2. Perimetrul este diferit, pragurile sectoriale sunt diferite, iar entitățile trebuie să își verifice statutul față de noile criterii. Multe OIV sunt și entități esențiale NIS 2, dar setul de obligații și canalul de raportare se schimbă.
NIS 2 în Franța se aplică doar marilor operatori.
Testul de mărime se plafonează la întreprinderile medii și mari în mod implicit, dar directiva surprinde entități mici acolo unde sunt unicul furnizor, unde perturbarea are impact transfrontalier sau unde legea franceză le adaugă. Administrațiile publice și anumiți furnizori digitali intră indiferent de mărime. Verificarea de aplicabilitate trebuie făcută caz cu caz, nu doar după mărimea companiei.
MonEspaceNIS2 și ANSSI acceptă doar franceza.
Portalul și ghidurile oficiale sunt în primul rând în franceză. Companiile-mamă străine nu ar trebui să presupună că au nevoie de o traducere franceză completă a fiecărei politici interne pentru a se înregistra sau a depune un raport de incident.
Majoritatea operatorilor francezi echivalenți Mittelstand-ului pe care îi vedem tratează încă NIS 2 ca o extensie a vechiului regim OIV / OSE. Asta este pe jumătate corect. Conform proiectului de lege, supravegherea și canalul de incidente se află în ANSSI ca înainte, dar domeniul este mai larg și asumarea de către organul de conducere este mai grea. Odată ce legea se aplică, echivalentul Geschäftsführer (président, directeur général, gérant) răspunde personal pentru aprobarea managementului riscului și pentru formare.
Mișcarea practică este aceeași ca peste tot în UE: confirmați domeniul de aplicare conform directivei, preînregistrați-vă voluntar la ANSSI (messervices.cyber.gouv.fr/nis2, fostul MonEspaceNIS2) și înregistrați-vă după adoptarea legii, instituiți cele patru obligații continue (menținerea înregistrării, raportarea incidentelor, riscul de lanț de aprovizionare, supravegherea de către organul de conducere) și documentați minimul. Aparatul OIV ajută, dar nu înlocuiește obligațiile NIS 2.
- Directiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité: Assemblée nationale, dosar legislativ
- Code de la défense, Articolele L.1332-1 et suivants (OIV). Légifrance
- ANSSI. Agence nationale de la sécurité des systèmes d'information, site oficial
- Preînregistrarea ANSSI pentru NIS 2: messervices.cyber.gouv.fr/nis2 (fostul MonEspaceNIS2)
- ACPR / Banque de France. autoritatea competentă pentru DORA în sectorul financiar
În practică
Ce schimbă legea națională și ce nu
Legea națională stabilește, printre altele, unde vă înregistrați și cui raportați incidentele. Măsurile pornesc, în fiecare stat membru, de la aceeași listă minimă (art. 21 NIS 2). Parcursul ghidat vă conduce prin ele pas cu pas:
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
