Ce que « proportionné » signifie réellement dans l'art. 21(1) NIS 2
Le mot le plus utile de NIS 2 est « proportionné ». C'est la ligne qui sépare une mise en œuvre qu'un Mittelstand de 60 personnes peut soutenir d'un coût de théâtre d'audit qu'aucune Geschäftsführung n'approuvera.
Pourquoi la proportionnalité est le mot porteur
La plupart des équipes abordent l'art. 21 NIS 2 comme une liste de contrôle de dix mesures de cybersécurité. La directive ne dit pas cela. Elle dit que les entités doivent prendre des mesures appropriées et proportionnées, et l'art. 21(1) énumère six facteurs qui déterminent ce que proportionné signifie dans votre cas précis.
Cela compte dans deux directions. Vers le haut : cela permet à un Stadtwerk de 60 personnes d'opérer sans la pile GRC d'une banque de 5000 personnes. Vers le bas : cela vous oblige à écrire pourquoi votre niveau est suffisant. La proportionnalité n'est pas une clause échappatoire, c'est un choix documenté.
Les lecteurs novices passent souvent à côté parce que le mot sonne comme une couverture. C'est l'inverse. La proportionnalité est le seul ancrage juridique pour adapter NIS 2 à un budget Mittelstand, et c'est la seule défense face à un auditeur qui suggère que vous auriez dû en faire davantage.
Art. 21(1) NIS 2 (opératoire)
Les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services.
Le même paragraphe énumère six facteurs qui déterminent la proportionnalité : le degré d'exposition de l'entité aux risques, la taille de l'entité, la probabilité de survenance des incidents et leur gravité, y compris leur impact sociétal et économique, l'état de l'art et le coût de mise en œuvre. Les six sont des éléments de décision, aucun n'est facultatif.
Considérant 82 NIS 2
Les mesures de gestion des risques en matière de cybersécurité devraient être proportionnées au degré d'exposition de l'entité essentielle ou importante aux risques et à l'impact sociétal et économique potentiel d'un incident.
Le considérant 82 est le cadre interprétatif. Il nomme ce qui décide jusqu'où vont les mesures : la criticité de l'entité, les risques auxquels elle est exposée, sa taille, ainsi que la probabilité et la gravité des incidents.
CIR 2024/2690, art. 1
Le présent règlement établit, en ce qui concerne les fournisseurs de services DNS, les registres des noms de domaines de premier niveau, les fournisseurs de services d'informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux et les fournisseurs de services de confiance (ci-après les «entités concernées»), les exigences techniques et méthodologiques liées aux mesures visées à l'article 21, paragraphe 2, de la directive (UE) 2022/2555 […]
Le règlement d'exécution ne quantifie les mesures que pour un ensemble restreint de fournisseurs d'infrastructure numérique (DNS, TLD, cloud, centre de données, CDN, MSP, MSSP, place de marché, moteur de recherche, plateforme sociale, services de confiance). Tous les autres appliquent la proportionnalité sans ces seuils quantitatifs.
Degré d'exposition aux risques
Quelle est la surface de menace réelle ? Un service d'eau potable doté uniquement d'un segment SCADA se trouve dans une position différente d'un hôpital ayant des dossiers de patients sur l'internet ouvert.
Taille de l'entité
Effectif, chiffre d'affaires, portée de marché. La directive attend des contrôles différents de 60 salariés et de 6000 salariés. Les deux peuvent être conformes.
Probabilité et gravité des incidents
Taux d'incidents historique, intérêt des acteurs de la menace pour le secteur, gravité si cela survient. Un fabricant pharmaceutique est confronté à des probabilités différentes d'un courtier en logistique.
Impact sociétal et économique
Qui est lésé lorsque vous défaillez. Un exploitant de réseau électrique a une densité d'impact par défaillance plus élevée qu'une entreprise SaaS B2B. Ce facteur tire vers des mesures plus lourdes même dans de petites entités.
État de l'art
Quelle est la base technique qu'un pair raisonnable déploierait. La MFA en 2026 est l'état de l'art pour l'accès administrateur ; le stockage de mots de passe en SHA-1 ne l'est pas.
Coût de mise en œuvre
Documenté explicitement à l'art. 21(1). Vous ne pouvez pas omettre une mesure parce qu'elle est coûteuse, mais vous pouvez choisir une voie moins coûteuse si elle atteint l'objectif de sécurité.
Stadtwerk, 80 salariés, distribution d'énergie
Secteur de l'annexe I, dans le champ d'application quelle que soit sa taille s'il fournit des services essentiels. Pile proportionnée : MFA sur l'accès administrateur et OT, réseau OT segmenté, clauses contractuelles écrites avec les fournisseurs, exercice d'incident annuel, registre des risques documenté. Pas de SOC, pas de SIEM en service géré. Défendable parce que l'exposition est sectorielle mais l'effectif est faible.
Hôpital, 200 salariés, clinique régionale
Secteur de la santé de l'annexe I. La pile proportionnée ajoute : chiffrement au repos des données de patients, audit des fournisseurs d'informatique clinique, astreinte 24/7 pour la réponse à incident, politique formelle de classification des incidents. Plus lourde que le Stadtwerk parce que l'impact sociétal par défaillance est plus élevé et que la surface de menace est plus large.
Une analyse de proportionnalité écrite
Parcourez les six facteurs, énoncez votre position sur chacun, justifiez pourquoi la profondeur de mesure obtenue est suffisante. Une page suffit pour une entité de 60 personnes.
Un relevé coûts-bénéfices par étape omise
Si une entité pair fait X et que vous ne le faites pas, documentez pourquoi. L'état de l'art (Stand der Technik) plus le coût est une raison légitime. Le silence ne l'est pas.
Une revue annuelle
Les décisions de proportionnalité se périment. Le paysage de la menace évolue, votre taille change, la pratique des pairs se déplace. Réénoncez votre position au moins une fois par an.
- Directive (UE) 2022/2555 (NIS 2), art. 21(1) et considérant 82, www.eur-lex.europa.eu
- Règlement d'exécution (UE) 2024/2690 de la Commission (CIR), art. 1, www.eur-lex.europa.eu
- Loi sur l'Office fédéral de la sécurité des technologies de l'information (BSIG), § 30 (transposition nationale de l'art. 21), www.gesetze-im-internet.de
- ENISA Technical Implementation Guidance v1.0 (juin 2025) sur l'évaluation de la proportionnalité
Cette page fournit une orientation structurée fondée sur des sources accessibles au public (directive NIS 2, CIR 2024/2690, BSIG, ENISA TIG). Elle ne constitue pas un conseil juridique au sens du § 2 RDG. Pour des cas particuliers, consultez un avocat inscrit. À jour au 2026-06-04.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
