Vérifier le cadre territorial sans importer un seuil étranger
La directive distingue l’administration publique et laisse certains choix aux États membres pour le niveau local. La FAQ ANSSI indique que le statut définitif des collectivités dépend du parcours de transposition. Les règles d’un autre pays ne doivent donc pas être utilisées pour classer une commune française. Une population donnée ou un budget local ne suffit pas, à lui seul, à établir une obligation sans texte national pertinent.
Le premier livrable utile est une note de périmètre datée. Elle identifie la collectivité, les établissements et les personnes morales distinctes. Elle sépare la lecture du cadre de l’administration publique et celle des activités exercées. La veille conserve les textes officiels et leur état, sans présenter un projet comme une disposition promulguée. Les ressources ANSSI apportent une orientation mais ne remplacent pas l’analyse juridique.
Examiner les services et leurs opérateurs
Une collectivité peut organiser des services d’eau, de déchets, de transport ou d’autres activités. L’opérateur peut être une régie, un établissement ou une société distincte. La qualification dépend de l’entité et des activités réellement exercées. Une délégation de service doit être examinée pour comprendre les responsabilités et les dépendances, sans conclure que le statut du délégant et celui du délégataire sont nécessairement identiques.
Préparez une carte des services publics et des systèmes qui les supportent. Identifiez les conventions, les contrats et les interlocuteurs. Une liste de logiciels municipaux ne suffit pas à expliquer qui assure la continuité d’un service. Les propriétaires métier doivent confirmer les activités prioritaires et les conséquences d’une indisponibilité. Cette cartographie reste utile même si l’assujettissement d’une entité demeure à préciser.
Organiser les responsabilités en cas de mutualisation
Une équipe informatique mutualisée peut intervenir pour plusieurs structures. Le dossier doit préciser qui possède les systèmes, qui administre et qui décide des mesures. La mutualisation n’efface pas les responsabilités des personnes morales. Les conventions peuvent devoir préciser les accès, les preuves disponibles et les circuits d’information en cas d’incident.
Un service central peut constituer une dépendance commune : annuaire, téléphonie, sauvegarde ou hébergement. Demandez comment une défaillance affecterait chaque structure et comment les communications seraient organisées. Le programme doit associer les directions métier, le juridique et les responsables techniques. Les réserves sur le périmètre doivent rester visibles dans le plan de préparation.
| Question | Pièce à examiner |
|---|---|
| Quelle personne morale ? | Actes, conventions et identité de l’opérateur |
| Quel service ? | Description métier et responsabilités d’exploitation |
| Quel SI partagé ? | Convention de mutualisation et cartographie |
| Quelle continuité ? | Scénarios métier et dépendances de reprise |
| Quelle qualification ? | Textes nationaux pertinents et note d’analyse |
Exemple pédagogique : un service d’eau externalisé
Dans un exemple de raisonnement, une collectivité confie l’exploitation d’un service à un opérateur distinct et conserve une application de relation avec les usagers. L’analyse doit décrire ces deux périmètres et leurs échanges. Elle examine les responsabilités contractuelles, les activités de chaque entité et les impacts possibles d’un incident. Le caractère public du service ne permet pas de fusionner les personnes morales dans un classement unique.
Le cahier de mission doit prévoir l’accès aux informations du délégataire lorsque cela est nécessaire et contractuellement possible. Les preuves de sécurité peuvent être partagées sous une forme proportionnée. Les contacts d’urgence et les règles de communication doivent être connus. Cet exemple ne décrit aucun client et ne donne aucun verdict d’assujettissement territorial.
Préparer les équipes et les décisions
Identifiez les personnes capables de décider en cas d’indisponibilité numérique. Les procédures doivent couvrir la continuité des services, la relation avec les usagers et la communication institutionnelle. Un exercice peut vérifier les circuits de décision sans manipuler les systèmes de production. Les résultats servent à corriger les responsabilités et les dépendances manquantes.
Les achats doivent décrire le besoin sans promettre une conformité automatique. Une revue de périmètre, un audit d’écart et un exercice sont des missions différentes. Le cadre de commande publique applicable à l’achat doit être examiné par les fonctions compétentes. Ce site propose une mise en relation, mais ne garantit ni disponibilité d’un prestataire ni procédure d’achat particulière.
Cahier de mission et critères de réception
Demandez une offre distinguant les structures étudiées, les services et les systèmes mutualisés. La qualification juridique doit identifier les sources et les réserves. Le devis précise les conventions et contrats à examiner, les entretiens nécessaires et les autorisations pour les observations. Une mission limitée à la collectivité ne couvre pas implicitement tous ses opérateurs externes.
Le rapport devrait comporter une matrice de responsabilités et un registre des actions, avec les décisions relevant des élus, de la direction et des exploitants. La synthèse destinée à la gouvernance peut éviter les détails techniques sensibles tout en exposant les impacts sur les services. Demandez les formats de remise et la possibilité de mettre à jour les documents avec les équipes internes.
La réception vérifie une chaîne de service complète : responsabilité métier, système support, prestataire, dépendance et circuit d’alerte. Les zones inconnues doivent être identifiées. Prévoyez la manière dont une évolution des textes français sera intégrée au dossier. Le prestataire ne doit pas annoncer un seuil territorial définitif sans fournir le texte applicable et sa date. Les mesures de sécurité proposées restent rattachées aux risques des services et aux décisions de l’organisation.
Sources et portée réglementaire
- Directive (UE) 2022/2555 : texte européen
- Source institutionnelle du sujet
- ANSSI : état de préparation NIS2 en France
Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.
Poursuivre le cadrage
- Accompagnement NIS2 : du périmètre au plan de préparation
- Notre méthode : sélection des prestataires et traitement de la demande
- NIS2 dans l'industrie : qualifier les activités et le SI
- Formation des dirigeants NIS2 : cadrer une prestation utile
Questions sur ce dossier
Peut-on appliquer à la France un seuil de population étranger ?
Non. Le cadre national doit être vérifié. Les ressources étrangères peuvent éclairer une comparaison, mais ne déterminent pas l’assujettissement d’une collectivité française.
La mutualisation informatique règle-t-elle toutes les responsabilités ?
Elle organise des services, mais les personnes morales et leurs décisions restent à identifier. Les conventions doivent préciser les contrôles, les preuves et les communications.
Un délégataire est-il inclus automatiquement dans la mission ?
Le périmètre et les accès à ses informations doivent être définis. Le devis identifie les opérateurs examinés et les limites contractuelles de la revue.