Qu’est-ce que la directive NIS2 ?
La directive NIS2 (directive (UE) 2022/2555, appelée « directive SRI 2 » dans sa version française officielle) est une loi européenne sur la cybersécurité qui renforce les exigences de sécurité applicables aux organisations des secteurs critiques, dont l’énergie. Elle impose aux organisations concernées, y compris les opérateurs de réseau de recharge des véhicules électriques (VE) qui remplissent les critères, de gérer leurs risques de cybersécurité, de sécuriser leur chaîne d’approvisionnement et de signaler les incidents importants.
Selon l’article 41 de la directive, les États membres devaient la transposer en droit national au plus tard le 17 octobre 2024, mais beaucoup ont manqué cette échéance.
Les opérateurs de recharge sont-ils soumis à NIS2 ?
L’annexe I de la directive NIS2, qui dresse la liste des secteurs hautement critiques, inclut les opérateurs responsables de la gestion et de l’exploitation des points de recharge (le terme juridique européen pour les bornes de recharge) qui fournissent un service de recharge aux utilisateurs finaux. Cette formulation reprend la définition de l’opérateur de bornes de recharge (CPO) dans l’AFIR, le règlement sur le déploiement d’une infrastructure pour carburants alternatifs, expliqué dans le guide de conformité AFIR pour les CPO d’AMPECO.
En règle générale, la directive NIS2 couvre les opérateurs qui sont des moyennes ou grandes entreprises au sens des règles de l’UE. Cela signifie généralement au moins 50 salariés ou le dépassement des seuils financiers applicables. La taille de l’entreprise peut aussi dépendre de la structure du groupe auquel elle appartient : les opérateurs doivent donc vérifier les règles nationales applicables.
Dans son champ d’application, la directive NIS2 distingue deux catégories :
- Entités essentielles : les grands opérateurs de bornes de recharge (CPO). Les autorités les supervisent de manière proactive et peuvent les auditer sans soupçon de manquement.
- Entités importantes : les opérateurs de taille moyenne, supervisés a posteriori lorsqu’il existe des indices de non-conformité.
Un État membre peut aussi faire entrer une organisation plus petite dans le champ d’application en la désignant, par exemple lorsqu’elle est le seul prestataire, dans ce pays, d’un service essentiel au maintien d’activités sociétales ou économiques critiques.
Un fournisseur de services de mobilité électrique (eMSP) qui se contente de vendre l’accès aux bornes de recharge d’autres opérateurs n’est pas couvert en tant qu’opérateur de bornes de recharge. Il n’entre dans le champ d’application à ce titre que s’il exploite aussi des bornes de recharge, mais il pourrait relever d’une autre catégorie de la directive NIS2.
La directive NIS2 étant une directive, chaque État membre l’applique au moyen de sa propre loi nationale, qui en fixe les modalités, notamment où et comment un opérateur doit s’enregistrer.
Qu’exige la directive NIS2 ?
- Responsabilité de la direction : l’organe de direction (conseil d’administration ou direction générale) doit approuver et superviser les mesures de cybersécurité et suivre une formation. Ses membres peuvent être tenus responsables des violations.
- Mesures de gestion des risques : l’article 21 fixe dix domaines minimaux, dont la gestion des incidents, la continuité des activités et les sauvegardes, le chiffrement, le contrôle d’accès et l’authentification multifacteur. Le guide de la directive NIS2 pour les CPO les présente tous les dix.
- Signalement des incidents : un incident important est un incident qui cause, ou peut causer, une perturbation opérationnelle grave, des pertes financières ou un dommage considérable à des tiers. Il déclenche trois délais : une alerte précoce dans les 24 heures suivant sa prise de connaissance, une notification d’incident dans les 72 heures et un rapport final dans un délai d’un mois après cette notification.
- Sécurité de la chaîne d’approvisionnement : les opérateurs doivent évaluer la sécurité de leurs fournisseurs directs, y compris les fabricants de chargeurs et le système de gestion des bornes de recharge (CPMS) sur lequel ils s’appuient.
La directive NIS2 impose aux États membres de prévoir des amendes maximales d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, le montant le plus élevé étant retenu. Pour les entités importantes, ces montants sont de 7 millions d’euros ou 1,4 %. Les sanctions réelles dépendent de la violation et du droit national.
Rôles des opérateurs et des éditeurs de logiciels selon NIS2
La directive NIS2 fait peser ses obligations sur les opérateurs de réseau de recharge de VE qui remplissent les critères, et ces obligations restent les leurs : s’enregistrer auprès de l’autorité compétente, mener leur propre analyse des risques, définir des politiques de cybersécurité, former la direction, mettre en service les chargeurs de façon sécurisée, gérer les incidents et respecter les délais de signalement. Les éditeurs de logiciels les soutiennent en intégrant des contrôles de sécurité, en maintenant des systèmes sécurisés et en fournissant de la documentation, comme des certifications, des rapports d’audit et des politiques de sécurité. Les opérateurs peuvent utiliser ces informations dans l’évaluation des risques liés à leurs fournisseurs, mais le recours à une plateforme logicielle sécurisée ne les rend pas automatiquement conformes à la directive NIS2.
NIS2 et règlement sur la cyberrésilience
| Aspect | Directive NIS2 | Règlement sur la cyberrésilience (CRA) |
|---|---|---|
| Objet | La manière dont une organisation sécurise ses réseaux et ses systèmes | La conception des produits comportant des éléments numériques, chargeurs compris |
| Assujettis | Opérateurs de réseau de recharge de VE qui remplissent les critères et autres entités concernées | Fabricants, importateurs et distributeurs |
| Obligations | Gouvernance, gestion des risques, signalement des incidents | Sécurité dès la conception, gestion des vulnérabilités |
| Délais | Date limite de transposition nationale : 17 octobre 2024 | Signalement à partir du 11 septembre 2026 ; application complète le 11 décembre 2027 |
Les deux textes portent sur des aspects différents de la cybersécurité. La directive NIS2 porte sur la manière dont les organisations gèrent les risques de cybersécurité, y compris ceux liés à leurs fournisseurs. Le règlement sur la cyberrésilience, règlement (UE) 2024/2847, fixe des exigences de cybersécurité pour les produits matériels et logiciels connectés. Les services cloud autonomes ne relèvent généralement pas du CRA, mais certains services à distance indispensables au fonctionnement d’un produit peuvent être concernés.
Comment AMPECO facilite l’évaluation NIS2 des fournisseurs
La plateforme de recharge pour VE d’AMPECO dispose de contrôles de sécurité évalués de manière indépendante, que les opérateurs peuvent examiner lorsqu’ils évaluent AMPECO en tant que fournisseur dans le cadre de la directive NIS2 :
- Certification ISO/IEC 27001:2022 et audit SOC 2 Type II
- Contrôle d’accès basé sur les rôles, authentification multifacteur et authentification unique (SSO)
- TLS 1.2 pour les données en transit et chiffrement AES-256 pour les données au repos
- Journalisation d’audit
- Procédures de reprise après sinistre testées lors d’exercices réguliers
Les certifications et les contrôles sont décrits sur la page sécurité d’AMPECO.
Termes associés
- Opérateur de bornes de recharge (CPO)
- eMSP (fournisseur de services de mobilité électrique)
- CPMS (système de gestion des bornes de recharge)
- OCPP (Open Charge Point Protocol)
- ISO 15118
Questions fréquentes
NIS2 concerne-t-elle les petits opérateurs de recharge ?
En général, non. Les petites entreprises, qui comptent moins de 50 salariés et dont le chiffre d’affaires annuel ou le total du bilan ne dépasse pas 10 millions d’euros, ne remplissent pas le critère de taille. Un État membre peut néanmoins désigner un petit opérateur, par exemple s’il est le seul prestataire d’un service essentiel dans ce pays : vérifiez donc le droit national avant de l’exclure.
Quels sont les délais de signalement des incidents NIS2 ?
En cas d’incident important, un opérateur envoie une alerte précoce à son centre national de réponse aux incidents de sécurité informatique (CSIRT) ou à l’autorité compétente dans les 24 heures suivant sa prise de connaissance. Une notification d’incident comprenant une évaluation initiale suit dans les 72 heures, puis un rapport final dans un délai d’un mois après cette notification. Si l’incident est toujours en cours à ce moment-là, l’opérateur envoie à la place un rapport d’avancement, puis le rapport final dans un délai d’un mois après le traitement de l’incident.
NIS2 s’applique-t-elle aux éditeurs de logiciels de recharge ?
C’est possible. Les éditeurs de logiciels de recharge de VE ne sont pas automatiquement couverts en tant qu’opérateurs de bornes de recharge, mais ils peuvent relever de la directive NIS2 au titre d’autres catégories, comme l’informatique en nuage ou les services gérés. Même lorsqu’un éditeur de logiciels n’est pas directement réglementé, les opérateurs de recharge soumis à la directive NIS2 doivent évaluer les pratiques de cybersécurité de leurs fournisseurs, y compris de leurs fournisseurs de CPMS.
La certification ISO 27001 suffit-elle pour NIS2 ?
Non. La certification ISO/IEC 27001 peut aider les organisations à démontrer qu’elles ont mis en place des processus de gestion des risques de cybersécurité, mais elle ne garantit pas à elle seule la conformité à la directive NIS2. Les organisations doivent aussi respecter les exigences applicables en matière de responsabilité de la direction, de signalement des incidents, de sécurité de la chaîne d’approvisionnement et les autres obligations prévues par la législation nationale de transposition de NIS2.
Cela vous a-t-il été utile ?