Audit NIS2 et conformité KSC pour les entités essentielles et importantes

Secteurs hautement critiques (annexe 1)

• énergie
• transports
• secteur bancaire et infrastructures des marchés financiers
• santé
• approvisionnement et distribution d'eau potable
• assainissement collectif des eaux usées
• infrastructures numériques (notamment informatique en nuage, centres de données, DNS et communications électroniques)
• gestion des services TIC (fournisseurs de services gérés, y compris de services de sécurité gérés)
• espace
• entités publiques (notamment unités du secteur des finances publiques, administrations des voïvodies et des powiats, administrations communales employant au moins 50 personnes en équivalent temps plein)

Autres secteurs critiques (annexe 2)

• services postaux
• investissements dans l'énergie nucléaire
• gestion des déchets
• fabrication, production et distribution de produits chimiques
• production, transformation et distribution de denrées alimentaires
• fabrication (notamment dispositifs médicaux, produits informatiques et électroniques, équipements électriques, machines, véhicules)
• fournisseurs numériques (places de marché en ligne, moteurs de recherche en ligne, plateformes de réseaux sociaux)
• recherche
• entités publiques (unités et établissements budgétaires des collectivités territoriales, institutions culturelles, sociétés communales)

Taille

Seuils de taille : moyenne entreprise - moins de 250 personnes, chiffre d'affaires jusqu'à 50 millions EUR ou total du bilan jusqu'à 43 millions EUR ; grande entreprise - au-delà des seuils de la moyenne entreprise ; petite entreprise - moins de 50 personnes, chiffre d'affaires ou total du bilan jusqu'à 10 millions EUR. La taille est calculée en tenant compte des entreprises liées et des entreprises partenaires, à la date d'établissement des états financiers (art. 5, par. 5 à 7). Une entité qui ne dépasse un seuil qu'en raison d'autres sociétés du groupe ne relève pas de la loi à ce titre si son système d'information est indépendant du leur ou si elle ne fournit pas de services conjointement avec elles (art. 5, par. 6 et 7) - un point à examiner en priorité dans une filiale polonaise.

Exceptions à la règle de taille

• fournisseurs de services DNS, registres de noms de domaine de premier niveau et entités fournissant des services d'enregistrement de noms de domaine
• prestataires de services de confiance qualifiés
• entités critiques au sens de la directive (UE) 2022/2557 (CER)
• entités publiques énumérées à l'annexe 1
• fournisseurs de services de sécurité gérés - dès qu'ils atteignent la taille d'une petite entreprise
• entreprises de communications électroniques - à partir de la taille d'une moyenne entreprise (les plus petites sont des entités importantes)
• entités désignées par décision de l'autorité, par exemple le seul fournisseur d'un service essentiel au maintien d'activités sociétales ou économiques

L'autorité compétente, qui tient le registre et supervise les entités, dépend du secteur - par exemple l'autorité polonaise de surveillance financière (KNF) pour le secteur bancaire, le ministre chargé de la santé pour le secteur de la santé et le ministre chargé du numérique pour les infrastructures numériques et la gestion des services TIC (art. 41 et 41a). Dans le secteur bancaire et des infrastructures des marchés financiers, c'est pour l'essentiel DORA qui s'applique (art. 8i) - voir notre page Règlement DORA : tests de résilience et risque TIC. Si vous ne savez pas comment qualifier votre entreprise, nous établissons cette qualification au début d'une analyse des écarts.

Quand

L'entité essentielle réalise l'audit à ses frais au moins une fois tous les 3 ans, à compter de la signature du rapport du dernier audit (art. 15, par. 1). Les entités qui ont ce statut dès l'entrée en vigueur de la loi modificative réalisent leur premier audit au plus tard le 3 avril 2028, et celles qui deviennent essentielles plus tard, dans un délai de 24 mois à compter du moment où les conditions sont remplies (art. 16). Les anciens opérateurs de services essentiels déjà audités calculent le délai à compter de leur dernier rapport.

Périmètre et rapport

L'audit porte sur la sécurité du système d'information utilisé pour fournir le service. La loi n'impose pas de méthodologie : l'auditeur évalue le système sur la base de documents et de preuves et établit un rapport écrit. L'entité essentielle transmet une copie du rapport à l'autorité compétente dans un délai de 3 jours ouvrables à compter de sa réception (art. 15, par. 1a).

Audit ordonné par l'autorité

L'autorité peut, par décision, ordonner un audit à une entité essentielle à tout moment, et à une entité importante après un incident important ou un autre manquement à la loi (art. 15, par. 1b, art. 53, par. 2, pt 2).

Qui peut réaliser l'audit

1. un organisme d'évaluation de la conformité accrédité pour les évaluations de la sécurité des systèmes d'information
2. au moins deux auditeurs, chacun titulaire d'un certificat figurant dans l'arrêté du ministre des Affaires numériques ou justifiant d'au moins 3 ans de pratique de l'audit de la sécurité des systèmes d'information, ou de 2 ans de pratique et d'une formation postuniversitaire dans ce domaine
3. un CSIRT sectoriel dans un secteur de l'annexe 1, si ses auditeurs remplissent les mêmes conditions

Les certificats qui habilitent à réaliser l'audit sont énumérés dans un arrêté du ministre des Affaires numériques de 2018 (Dz.U. 2018, pos. 1999), toujours en vigueur après la loi modificative : CIA, CISA, Lead Auditor PN-EN ISO/IEC 27001, Lead Auditor PN-EN ISO 22301, CISM, CRISC, CGEIT, CISSP, SSCP, Certified Reliability Professional, ISA/IEC 62443 Cybersecurity Expert. Par pratique, on entend la réalisation documentée, au cours des 3 ans précédant l'audit, d'au moins 3 audits de la sécurité des systèmes d'information ou de la continuité d'activité, ou l'exercice de tels audits à hauteur d'au moins un mi-temps.

Moratoire

Les amendes prévues à l'art. 73, par. 1 à 4, aux art. 73a à 73c et à l'art. 76b peuvent être infligées pour la première fois à l'expiration d'un délai de 2 ans à compter de l'entrée en vigueur de la loi modificative (selon le ministère des Affaires numériques - après le 3 avril 2028). Le moratoire ne couvre pas l'amende pouvant atteindre 100 millions PLN. Avant d'infliger une amende, l'autorité peut adresser un avertissement ; elle communique ses constatations préliminaires et accorde 7 jours pour prendre position.

Responsabilité du dirigeant

Le dirigeant est responsable de l'exécution par l'entité des obligations en matière de cybersécurité énumérées à l'art. 8c - y compris lorsqu'il les a confiées à une autre personne avec l'accord de celle-ci. Lorsque l'organe de direction compte plusieurs membres et qu'aucune personne responsable n'a été désignée, tous ses membres sont responsables. Le dirigeant prend les décisions relatives au système de management de la sécurité, y affecte les ressources nécessaires et supervise l'exécution des tâches (art. 8d). Le dirigeant d'une entité essentielle ou importante ainsi que la personne à laquelle il a confié des obligations en matière de cybersécurité suivent une formation documentée une fois par année civile.

Ce que cela implique pour la direction

Lorsqu'une entité essentielle ne se conforme pas à une injonction ou à une décision de l'autorité, celle-ci peut interdire au dirigeant d'exercer des fonctions de direction jusqu'à ce qu'il soit remédié aux manquements ; cette mesure ne s'applique ni aux entités publiques ni aux entités importantes.

Le plus grand risque n'est pas l'amende, mais l'absence de décision : sans budget, sans responsables des tâches et sans plan, il est difficile de tenir l'échéance du 3 avril 2027. C'est pourquoi l'analyse des écarts se termine par une présentation à la direction, avec la liste des décisions à prendre. Voir aussi notre formation NIS2 pour les dirigeants.