La directive NIS2 (directive (UE) 2022\/2555<\/a>, appel\u00e9e \u00ab\u00a0directive SRI 2\u00a0\u00bb dans sa version fran\u00e7aise officielle) est une loi europ\u00e9enne sur la cybers\u00e9curit\u00e9 qui renforce les exigences de s\u00e9curit\u00e9 applicables aux organisations des secteurs critiques, dont l’\u00e9nergie. Elle impose aux organisations concern\u00e9es, y compris les op\u00e9rateurs de r\u00e9seau de recharge des v\u00e9hicules \u00e9lectriques (VE) qui remplissent les crit\u00e8res, de g\u00e9rer leurs risques de cybers\u00e9curit\u00e9, de s\u00e9curiser leur cha\u00eene d’approvisionnement et de signaler les incidents importants.<\/p>\n\n\n\n Selon l’article 41 de la directive, les \u00c9tats membres devaient la transposer en droit national au plus tard le 17 octobre 2024, mais beaucoup ont manqu\u00e9 cette \u00e9ch\u00e9ance.<\/p>\n\n\n\n L’annexe I de la directive NIS2, qui dresse la liste des secteurs hautement critiques, inclut les op\u00e9rateurs responsables de la gestion et de l’exploitation des points de recharge (le terme juridique europ\u00e9en pour les bornes de recharge) qui fournissent un service de recharge aux utilisateurs finaux. Cette formulation reprend la d\u00e9finition de l’op\u00e9rateur de bornes de recharge (CPO) dans l’AFIR, le r\u00e8glement sur le d\u00e9ploiement d’une infrastructure pour carburants alternatifs, expliqu\u00e9 dans le guide de conformit\u00e9 AFIR pour les CPO<\/a> d’AMPECO.<\/p>\n\n\n\n En r\u00e8gle g\u00e9n\u00e9rale, la directive NIS2 couvre les op\u00e9rateurs qui sont des moyennes ou grandes entreprises au sens des r\u00e8gles de l’UE. Cela signifie g\u00e9n\u00e9ralement au moins 50 salari\u00e9s ou le d\u00e9passement des seuils financiers applicables. La taille de l’entreprise peut aussi d\u00e9pendre de la structure du groupe auquel elle appartient\u00a0: les op\u00e9rateurs doivent donc v\u00e9rifier les r\u00e8gles nationales applicables.<\/p>\n\n\n\n Dans son champ d’application, la directive NIS2 distingue deux cat\u00e9gories\u00a0:<\/p>\n\n\n\n Un \u00c9tat membre peut aussi faire entrer une organisation plus petite dans le champ d’application en la d\u00e9signant, par exemple lorsqu’elle est le seul prestataire, dans ce pays, d’un service essentiel au maintien d’activit\u00e9s soci\u00e9tales ou \u00e9conomiques critiques.<\/p>\n\n\n\n Un fournisseur de services de mobilit\u00e9 \u00e9lectrique (eMSP)<\/a> qui se contente de vendre l’acc\u00e8s aux bornes de recharge d’autres op\u00e9rateurs n’est pas couvert en tant qu’op\u00e9rateur de bornes de recharge. Il n’entre dans le champ d’application \u00e0 ce titre que s’il exploite aussi des bornes de recharge, mais il pourrait relever d’une autre cat\u00e9gorie de la directive NIS2.<\/p>\n\n\n\n La directive NIS2 \u00e9tant une directive, chaque \u00c9tat membre l’applique au moyen de sa propre loi nationale, qui en fixe les modalit\u00e9s, notamment o\u00f9 et comment un op\u00e9rateur doit s’enregistrer.<\/p>\n\n\n\n La directive NIS2 impose aux \u00c9tats membres de pr\u00e9voir des amendes maximales d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entit\u00e9s essentielles, le montant le plus \u00e9lev\u00e9 \u00e9tant retenu. Pour les entit\u00e9s importantes, ces montants sont de 7 millions d’euros ou 1,4 %. Les sanctions r\u00e9elles d\u00e9pendent de la violation et du droit national.<\/p>\n\n\n\n La directive NIS2 fait peser ses obligations sur les op\u00e9rateurs de r\u00e9seau de recharge de VE qui remplissent les crit\u00e8res, et ces obligations restent les leurs\u00a0: s’enregistrer aupr\u00e8s de l’autorit\u00e9 comp\u00e9tente, mener leur propre analyse des risques, d\u00e9finir des politiques de cybers\u00e9curit\u00e9, former la direction, mettre en service les chargeurs de fa\u00e7on s\u00e9curis\u00e9e, g\u00e9rer les incidents et respecter les d\u00e9lais de signalement. Les \u00e9diteurs de logiciels les soutiennent en int\u00e9grant des contr\u00f4les de s\u00e9curit\u00e9, en maintenant des syst\u00e8mes s\u00e9curis\u00e9s et en fournissant de la documentation, comme des certifications, des rapports d’audit et des politiques de s\u00e9curit\u00e9. Les op\u00e9rateurs peuvent utiliser ces informations dans l’\u00e9valuation des risques li\u00e9s \u00e0 leurs fournisseurs, mais le recours \u00e0 une plateforme logicielle s\u00e9curis\u00e9e ne les rend pas automatiquement conformes \u00e0 la directive NIS2.<\/p>\n\n\n\nLes op\u00e9rateurs de recharge sont-ils soumis \u00e0 NIS2\u00a0?<\/h2>\n\n\n\n
\n
Qu’exige la directive NIS2\u00a0?<\/h2>\n\n\n\n
\n
R\u00f4les des op\u00e9rateurs et des \u00e9diteurs de logiciels selon NIS2<\/h2>\n\n\n\n
NIS2 et r\u00e8glement sur la cyberr\u00e9silience<\/h2>\n\n\n\n