Conseil independant en marketing, conformite reglementaire (ISO, ENS, RGPD), digitalisation et ventes B2B depuis Aranda de Duero (Castilla y Leon) pour toute l'Espagne.

Conseil indépendant en marketing, conformité réglementaire (ISO, ENS, RGPD), digitalisation et ventes B2B depuis Aranda de Duero (Castilla y León) pour toute l'Espagne.

NIS2 est la directive europeenne 2022/2555 qui remplace NIS (2016). Depuis 2026, elle oblige les PME essentielles et importantes des secteurs critiques (energie, eau, transport, banque, sante, infrastructure numerique) dans toute l'UE.

NIS2 (Directive UE 2022/2555) est la deuxieme directive europeenne de cybersecurite. Elle remplace NIS (2016) et a ete transposee en Espagne en 2026. A la difference de NIS, NIS2 inclut aussi les PME essentielles et importantes dans des secteurs elargis : alimentation critique, produits chimiques, fabrication d'equipements medicaux, dechets. Amendes jusqu'a 10 millions d'euros ou 2 % du chiffre d'affaires. Elle exige des mesures techniques et organisationnelles de gestion du risque, la notification des incidents en 24 heures, et la responsabilite personnelle de la direction. ISO 27001 + ISO 22301 couvrent environ 75 % des exigences NIS2.

Quelles PME espagnoles sont concernees par NIS2 ?

Entites essentielles (>250 salaries ou >50 M EUR de CA) dans les secteurs : energie, transport, banque, sante, eau, infrastructure numerique, espace. Entites importantes (50-250 salaries ou 10-50 M EUR) dans des secteurs elargis : alimentation critique, produits chimiques, postal/courrier, dechets, fabrication d'equipements medicaux. Certaines petites PME en infrastructure numerique entrent aussi dans le perimetre.

Quelles obligations techniques impose NIS2 ?

Dix domaines : politique de securite des systemes, gestion des incidents (notification 24h INCIBE/CCN-CERT), continuite d'activite et reprise apres sinistre, chaine d'approvisionnement (fournisseurs et dependances), securite dans l'acquisition et le developpement des systemes, evaluation de l'efficacite, pratiques de cyber-hygiene de base et formation, chiffrement, controle d'acces et authentification multifacteur, communications securisees.

Que se passe-t-il si une PME ne respecte pas NIS2 ?

Amendes administratives jusqu'a 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (le plus eleve). Responsabilite personnelle de l'organe de direction : la direction peut etre personnellement responsable si elle ne deploie pas les mesures. Suspension d'activite dans les cas graves.

Sources officielles