Une carte inégale
En mai 2026, 23 des 27 États membres avaient transposé NIS2 dans leur droit national. Le groupe restant comprend l’Espagne, avec une transposition partielle, ainsi que la Bulgarie, la Pologne et la Slovénie. La Commission européenne a saisi la Cour de justice à l’encontre de sept États membres pour défaut de transposition.
Pour une organisation présente dans un seul pays, c’est un détail. Pour une organisation présente dans six, c’est un problème de planification sans réponse nette, car le paysage des obligations est réellement différent selon l’endroit où l’on regarde et il évolue selon un calendrier que personne ne maîtrise.
Les trois positions possibles, et ce que coûte chacune
Les entités multinationales choisissent globalement l’une de trois approches, et chacune présente un mode de défaillance distinct.
Attendre la loi nationale. Défendable et de plus en plus inconfortable. Les obligations de la directive n’apparaissent pas de nulle part lorsqu’une loi nationale est adoptée - elles arrivent assorties de délais de mise en œuvre, et les organisations qui ont commencé au moment de la transposition ont systématiquement constaté que le temps de préparation était plus court que prévu. Cela vous laisse aussi sans rien à montrer si un incident survient entre-temps dans une juridiction où le fond de la directive est politiquement d’actualité, même si la loi n’est pas encore en vigueur.
Se conformer partout au socle de la directive. Le plus simple sur le plan opérationnel, et légèrement surinclusif. Vous mettez en œuvre les exigences de la directive dans toute l’Union et acceptez que certaines juridictions finissent par demander un peu plus ou un peu moins. La plupart des grandes organisations que nous rencontrons en sont là.
Se conformer partout à la norme nationale la plus stricte. Le plus sûr et le plus coûteux. Pertinent pour un petit nombre d’entités très réglementées et difficile à justifier autrement, car la transposition la plus stricte sur un point donné n’est pas celle du même pays pour chaque point.
Où les transpositions diffèrent réellement
La directive harmonise davantage qu’on ne le lui reconnaît, et les divergences se concentrent sur un ensemble prévisible de points. Si vous construisez un programme multijuridictionnel, ce sont les champs à suivre pays par pays plutôt que de supposer une réponse unique.
L’identification des entités et les modalités d’enregistrement diffèrent sensiblement - qui s’enregistre, sur quelle plateforme, dans quel délai, et si c’est l’autorité de supervision qui identifie les entités ou l’entité qui s’auto-identifie. Les canaux et les seuils de notification des incidents varient autour d’une cadence commune. Les structures de supervision diffèrent, certains États concentrant la supervision au sein d’une autorité nationale de cybersécurité et d’autres la répartissant entre les régulateurs sectoriels. Les procédures de sanction et la mise en œuvre concrète de la responsabilité des organes de direction varient de manière significative. Enfin, plusieurs États ont étendu le champ d’application au-delà du minimum de la directive, en y intégrant des secteurs ou des seuils de taille que la directive n’exigeait pas.
La bonne nouvelle est que les attentes sous-jacentes en matière de contrôles sont globalement cohérentes. La variation porte sur l’interface avec l’autorité de supervision, pas sur le fond de ce que vous devez faire.
Pourquoi une base de preuves unique résiste à ces écarts
La conclusion pratique découle de ce dernier point. Si les contrôles sont globalement cohérents et que les interfaces diffèrent, alors ce qui coûte cher à construire par juridiction, c’est l’interface, et ce qui coûte cher à construire une seule fois, ce sont les preuves.
Cela suppose de résister à la tendance organisationnelle naturelle aux silos de conformité par pays. Une filiale polonaise qui constitue son propre référentiel de preuves parce que la loi polonaise n’est pas encore en vigueur, et une filiale portugaise qui en constitue un autre parce que le CNCS a commencé ses audits, produisent deux visions incomplètes et une fonction groupe incapable de répondre à une question sur l’une ou l’autre.
Une base de preuves unique qui enregistre ce qui s’est passé, quand et sous l’autorité de qui - interrogeable par entité, par juridiction et par autorité de supervision - répond au Portugal aujourd’hui et répondra à la Pologne dès que son tour viendra. Nous avons développé un argument structurellement identique à propos de régimes qui se chevauchent, plutôt que de juridictions qui se chevauchent, dans construire une couche de preuves unique pour les entités financières doublement réglementées.
- Tenir une fiche de suivi par juridiction couvrant l’état de la transposition, l’autorité de supervision, les modalités d’enregistrement et le canal de notification, et la réviser chaque mois plutôt que chaque année
- Construire les contrôles sur le socle de la directive et traiter les variations nationales comme une configuration par-dessus, et non comme des programmes distincts
- Conserver les preuves de manière centralisée, avec la juridiction comme attribut, afin de pouvoir répondre à la demande d’une autorité de supervision sans exercice de collecte de données
- Identifier laquelle de vos entités serait la première soumise à la supervision et utiliser cette juridiction pour mettre à l’épreuve le modèle du groupe
- Suivre les procédures d’infraction, car une saisine de la Cour de justice précède généralement une action nationale rapide
- Le Portugal est actuellement la juridiction la plus instructive à observer, puisque l’enregistrement et l’activité de supervision y sont tous deux effectifs - voir nos articles sur le Portugal
- La posture de l’Allemagne en matière d’application donne le signal le plus clair de ce à quoi ressemble une relation de supervision mature - voir au cœur de la vague d’application de NIS2 en Allemagne
- La situation de l’application à l’échelle de l’Union, y compris les premières amendes, est suivie dans le tableau de suivi de l’application de NIS2
Si les preuves de votre groupe sont aujourd’hui réparties dans autant d’endroits que vous avez de filiales, les consolider demande moins de travail qu’il n’y paraît. Vous pouvez commencer avec une entité et une juridiction, ou découvrir comment sont structurés les déploiements multi-entités sur la page enterprise de ROOTKey.