Les nouvelles exigences prévues par la loi bulgare sur la cybersécurité concernent désormais un cercle beaucoup plus large d’entreprises que celles traditionnellement associées aux « infrastructures critiques ». Par les modifications publiées au Journal officiel bulgare n° 17 du 13 février 2026, la Bulgarie a transposé en droit national les exigences de la directive (UE) 2022/2555, connue sous le nom de directive NIS2.

Pour les dirigeants, propriétaires, investisseurs, directeurs informatiques et juristes d’entreprise, la question principale n’est plus seulement de savoir si la société dispose de mesures techniques suffisantes. Il faut également déterminer si elle entre dans le champ d’application de la loi, quel est son statut, quelles règles internes elle doit adopter, comment elle doit notifier les incidents et quelles sanctions peuvent s’appliquer en cas de manquement.

Le régime ne vise pas uniquement les télécommunications, les banques et les autorités publiques. Peuvent également être concernées les entreprises du secteur de l’énergie, les opérateurs de transport, les hôpitaux, les fabricants de médicaments et de dispositifs médicaux, les fournisseurs de services cloud, les centres de données, les fournisseurs de services TIC gérés, les prestataires de services de cybersécurité, les opérateurs postaux et de messagerie, les entreprises des secteurs alimentaire, chimique et des déchets, certains fabricants ainsi que les organismes de recherche.

Quel est le principal changement ?

La loi n’utilise plus l’ancienne logique des « opérateurs de services essentiels » et des « fournisseurs de services numériques ». Le nouveau cadre introduit deux catégories principales : les entités essentielles et les entités importantes. Cette classification a une incidence sur la supervision, les contrôles, les preuves de conformité et le risque de sanctions.

Au niveau européen, NIS2 élargit le champ des règles de cybersécurité, introduit des obligations plus claires en matière de gestion des risques et de notification des incidents, et renforce les mécanismes de supervision et d’application.

En droit bulgare, cela se traduit par l’exigence d’un « niveau commun élevé de cybersécurité ». Il ne s’agit pas d’une mesure informatique isolée, mais d’un système global : gestion des risques, réponse aux incidents, continuité d’activité, contrôle des fournisseurs, formation, contrôle des accès, gestion des actifs, cryptographie et preuves de mise en œuvre effective.

Quelles entreprises entrent dans le champ d’application ?

L’analyse commence par l’activité de la société. La loi prévoit deux grands groupes de secteurs : les secteurs hautement critiques et les autres secteurs critiques. Si la société exerce une activité dans l’un de ces secteurs, il convient ensuite d’examiner sa taille, ainsi que l’éventuelle appartenance à une catégorie spéciale pour laquelle la taille n’est pas déterminante.

Secteurs hautement critiques

Cette catégorie comprend les activités dans lesquelles une perturbation des systèmes peut affecter des fonctions sociales ou économiques essentielles.

Énergie — électricité, chauffage et refroidissement urbains, pétrole, gaz naturel, hydrogène, opérateurs de réseaux, installations de stockage, transport, distribution, producteurs, acteurs du marché et opérateurs de points de recharge.

Transport — transport aérien, ferroviaire, maritime/fluvial et routier, y compris les aéroports, entreprises ferroviaires, gestionnaires d’infrastructure, autorités portuaires et opérateurs de systèmes de transport intelligents.

Secteur financier — établissements de crédit, opérateurs de plateformes de négociation et contreparties centrales.

Santé — prestataires de soins de santé, laboratoires de référence, entités menant des activités de recherche et développement dans le domaine des médicaments, fabricants de substances et produits pharmaceutiques, ainsi que certains fabricants de dispositifs médicaux critiques.

Eau potable et eaux usées — fournisseurs d’eau potable et entreprises collectant, évacuant ou traitant des eaux usées urbaines, domestiques ou industrielles, lorsque cette activité ne constitue pas une partie non essentielle de leur activité globale.

Infrastructure numérique — fournisseurs de points d’échange Internet, de services DNS, registres de noms de domaine de premier niveau, services cloud, centres de données, réseaux de diffusion de contenu, services de confiance, réseaux publics de communications électroniques et services de communications électroniques accessibles au public.

Gestion de services TIC interentreprises — fournisseurs de services gérés et fournisseurs de services de sécurité gérés. Sont notamment visées les entreprises qui installent, gèrent, maintiennent ou administrent des produits TIC, réseaux, infrastructures, applications ou systèmes pour des clients professionnels.

Espace — opérateurs d’infrastructures au sol soutenant la fourniture de services spatiaux.

Autres secteurs critiques

La loi couvre également des activités que de nombreuses entreprises n’associeraient pas immédiatement à une réglementation en matière de cybersécurité.

Il s’agit notamment des services postaux et de messagerie, de la gestion des déchets, de la fabrication et distribution de produits chimiques, de la production, transformation et distribution de denrées alimentaires, ainsi que de certaines activités manufacturières — dispositifs médicaux, ordinateurs, produits électroniques et optiques, équipements électriques, machines et équipements, véhicules à moteur, remorques, semi-remorques et autres équipements de transport.

Certains services numériques sont également inclus : places de marché en ligne, moteurs de recherche en ligne et plateformes de réseaux sociaux, ainsi que les organismes de recherche.

Ainsi, une entreprise industrielle, un opérateur logistique, une plateforme en ligne, un prestataire de support informatique ou un fournisseur de services de sécurité de l’information ne doit pas automatiquement considérer que ce régime ne le concerne pas.

Taille de l’entreprise : pourquoi l’analyse ne se limite pas au nombre de salariés

En règle générale, la loi s’applique aux entités publiques et privées relevant des secteurs visés lorsqu’elles remplissent au moins les critères des moyennes entreprises ou dépassent le seuil supérieur applicable à ces entreprises.

Selon la définition européenne des PME, les critères pertinents sont l’effectif, le chiffre d’affaires annuel et le total du bilan. Une moyenne entreprise compte moins de 250 salariés et réalise un chiffre d’affaires annuel n’excédant pas 50 millions d’euros ou présente un total de bilan n’excédant pas 43 millions d’euros.

Toutefois, l’analyse ne se limite pas toujours à une seule société et à un seul numéro d’immatriculation. En cas d’entreprises liées, d’entreprises partenaires, de groupes et de relations de contrôle, les données d’autres sociétés peuvent devoir être prises en compte. Cela est particulièrement important pour les sociétés bulgares appartenant à un groupe international ou ayant une structure de propriété complexe.

Que signifie « entité essentielle » ?

Les entités essentielles sont les acteurs présentant un profil réglementaire plus élevé. Pour ces entités, la loi présume une plus grande importance de l’activité ou des conséquences plus graves en cas d’interruption, de faille ou d’incident systémique.

Sont principalement considérées comme entités essentielles :

• les entités des secteurs hautement critiques qui dépassent le seuil supérieur des moyennes entreprises ;
• les prestataires de services de confiance qualifiés ;
• les registres de noms de domaine de premier niveau ;
• les fournisseurs de services DNS, quelle que soit leur taille ;
• les fournisseurs de réseaux publics de communications électroniques ou de services de communications électroniques accessibles au public, lorsqu’ils sont des moyennes entreprises ;
• les autorités administratives ;
• les entités qui sont les seuls fournisseurs d’un service critique ou dont l’interruption pourrait avoir un impact significatif sur la sûreté publique, la sécurité publique, la santé publique, le risque systémique ou l’importance nationale/régionale d’un secteur ;
• les entités critiques au sens de la directive (UE) 2022/2557 ;
• les entités qui, à l’entrée en vigueur des modifications, avaient déjà été désignées comme opérateurs de services essentiels.

Par exemple, un grand fournisseur de services cloud, un opérateur énergétique majeur, une structure hospitalière importante ou un fournisseur de services TIC gérés pour des clients professionnels peut être qualifié d’entité essentielle s’il relève du secteur concerné et remplit les critères légaux.

Que signifie « entité importante » ?

Les entités importantes sont les entités relevant des secteurs couverts par la loi mais ne remplissant pas les critères applicables aux entités essentielles.

Cela ne signifie pas que leurs obligations sont purement formelles. Les entités essentielles comme les entités importantes doivent adopter des mesures de gestion des risques et notifier les incidents significatifs. La différence réside principalement dans l’intensité de la supervision et la manière dont les autorités peuvent exercer leurs pouvoirs de contrôle.

Par exemple, une moyenne entreprise de production alimentaire, un fabricant moyen d’équipements électriques, un fournisseur moyen de services informatiques gérés ou un opérateur moyen de place de marché en ligne peut être qualifié d’entité importante si son activité figure dans la liste prévue par la loi.

Fournisseurs dans la chaîne d’approvisionnement : champ direct ou impact contractuel

Le fournisseur d’une grande entreprise n’entre pas automatiquement dans le champ de la loi sur la cybersécurité au seul motif que son client est une entité essentielle ou importante.

Il entre directement dans le champ d’application s’il :

• exerce une activité dans l’un des secteurs visés par la loi ;
• satisfait aux critères de taille ;
• fournit un service relevant d’une catégorie spéciale pour laquelle la taille n’est pas déterminante ;
• est l’unique fournisseur d’un service critique ;
• joue un rôle tel que l’interruption de son service pourrait entraîner un risque public, systémique, transfrontalier ou sectoriel significatif.

En même temps, le fournisseur peut être affecté contractuellement, même s’il ne relève pas directement de la loi. La raison en est que les entités essentielles et importantes doivent gérer le risque lié à la chaîne d’approvisionnement. La loi leur impose de tenir compte des vulnérabilités propres à leurs fournisseurs directs et prestataires de services, ainsi que de la qualité de leurs produits et pratiques de cybersécurité.

En pratique, cela signifie des contrats plus stricts avec les fournisseurs TIC, hébergeurs, plateformes cloud, fournisseurs ERP/CRM, administrateurs externes, prestataires SOC/MSSP, développeurs de logiciels, fournisseurs de support et autres entreprises ayant accès aux systèmes, applications, infrastructures ou données.

Les contrats comporteront de plus en plus souvent des clauses relatives :

• aux standards minimaux de sécurité ;
• aux délais de notification en cas d’incident ;
• à l’accès aux journaux et informations techniques ;
• aux règles applicables aux sous-traitants ;
• aux droits d’audit ou à la fourniture de preuves ;
• aux sauvegardes et à la reprise d’activité ;
• à l’assistance lors de contrôles réglementaires ;
• à la responsabilité en cas d’inexécution.

Le registre : qui y figure, qui fournit les informations et pourquoi cela importe

Le ministre de l’e-gouvernement crée, tient et administre un registre des entités relevant de la loi. Le registre contient des informations telles que le nom de l’entité, son adresse et ses coordonnées à jour, ses plages IP, son secteur, son sous-secteur, les États membres dans lesquels les services sont fournis et les coordonnées du représentant, le cas échéant. Le registre n’est pas public.

Il convient ici de distinguer plusieurs processus.

Premièrement, les autorités nationales compétentes identifient les entités essentielles et importantes selon une méthodologie adoptée par le Conseil des ministres et en informent le ministre de l’e-gouvernement.

Deuxièmement, certains fournisseurs numériques et d’infrastructure ont l’obligation active de fournir des informations concernant leur établissement principal dans l’UE, leurs autres établissements ou leur représentant dans l’UE. Cela concerne les fournisseurs DNS, les registres de domaines de premier niveau, les prestataires de services d’enregistrement de noms de domaine, les fournisseurs cloud, les centres de données, les réseaux de diffusion de contenu, les services gérés, les services de sécurité gérés, les places de marché en ligne, les moteurs de recherche en ligne et les plateformes de réseaux sociaux.

Troisièmement, en cas de modification des données fournies, les entités doivent notifier l’autorité nationale compétente dans un délai de deux semaines à compter du changement.

Le registre n’est pas public car il contient des informations opérationnelles sensibles — par exemple des plages IP et des contacts de réponse aux incidents. Pour les entreprises, cela signifie qu’un responsable interne du processus doit être désigné : qui suit les données, qui les met à jour, qui communique avec l’autorité compétente et qui est responsable en cas de modification.

L’organe de direction a désormais un rôle spécifique

La loi place expressément les organes de direction dans le processus de gestion du risque cyber. Ils approuvent les mesures de gestion des risques et suivent leur mise en œuvre. Les membres des organes de direction doivent suivre une formation tous les deux ans afin d’être en mesure d’identifier les risques et d’évaluer les pratiques de gestion des risques ainsi que leur impact sur les services de l’entité.

Cela modifie l’organisation pratique des sociétés. Les décisions relatives à la cybersécurité doivent être traçables au niveau de la direction — avec un plan, un budget, des responsables désignés, des délais, un reporting interne et des décisions documentées.

En cas de violation de ces obligations de direction, la loi prévoit des amendes pour les dirigeants d’autorités administratives, gérants ou membres des organes de direction allant de 500 à 5 000 euros.

Quelles mesures doivent être mises en place ?

Les mesures doivent être appropriées et proportionnées au risque, à la taille de l’entité, à la probabilité d’incidents et à leur impact social et économique potentiel. La loi n’impose pas une technologie spécifique, mais exige un niveau de sécurité adapté au risque.

Le socle minimal des mesures comprend :

• des politiques d’analyse des risques et de sécurité des systèmes d’information ;
• la gestion des incidents ;
• la continuité d’activité, les sauvegardes, la reprise après sinistre et la gestion de crise ;
• la sécurité de la chaîne d’approvisionnement ;
• la sécurité lors de l’acquisition, du développement et de la maintenance des systèmes ;
• la gestion et la divulgation des vulnérabilités ;
• des procédures d’évaluation de l’efficacité des mesures ;
• la cyberhygiène et la formation ;
• la cryptographie et le chiffrement, le cas échéant ;
• la sécurité des ressources humaines ;
• le contrôle des accès ;
• la gestion des actifs ;
• l’authentification multifactorielle ou continue, lorsque cela est approprié ;
• la gestion des changements affectant les actifs informationnels.

L’ENISA a publié des orientations techniques sur NIS2, qui offrent un repère pratique pour l’infrastructure numérique, la gestion des services TIC et les fournisseurs numériques. Ces orientations ne remplacent pas le droit bulgare, mais elles sont utiles pour mettre en place un programme de conformité documenté.

Trois notions que les entreprises doivent comprendre

Cyberhygiène désigne les pratiques et procédures standard de maintenance et de protection des systèmes informatiques, réseaux et terminaux — formation, contrôle des accès, mises à jour, sauvegardes, réponse aux incidents et réduction des risques.

Incident significatif désigne un incident qui a causé ou est susceptible de causer une perturbation opérationnelle grave, une perte financière ou des dommages matériels ou immatériels significatifs à d’autres personnes.

Actifs informationnels ne se limitent pas aux serveurs et logiciels. La loi inclut le matériel, les logiciels, la documentation, les systèmes de support, les processus opérationnels, les employés et les organisations externes.

Notification des incidents significatifs

Les entités essentielles et importantes doivent notifier chaque incident significatif à l’équipe sectorielle compétente de réponse aux incidents de sécurité informatique — CSIRT/SERICS.

Les délais sont courts :

• dans les 24 heures après avoir eu connaissance de l’incident significatif — alerte précoce ;
• dans les 72 heures après en avoir eu connaissance — notification de l’incident avec une première évaluation de sa gravité, de son impact et des informations techniques disponibles ;
• pour les prestataires de services de confiance, le délai de notification est de 24 heures ;
• à la demande de SERICS — rapport intermédiaire ;
• dans un délai d’un mois après la notification de l’incident — rapport final ;
• si l’incident est toujours en cours, le rapport final est soumis dans un délai d’un mois après sa résolution.

Lorsque cela est approprié et sans retard injustifié, les entités concernées informent les destinataires de leurs services des incidents significatifs susceptibles d’affecter négativement la fourniture de ces services.

En cas d’incident transfrontalier, le point de contact unique national peut informer les États membres concernés et l’ENISA, tout en préservant la sécurité, les intérêts commerciaux et la confidentialité des informations.

Questions fréquentes sur la notification

1. Une expertise technique complète est-elle nécessaire avant l’alerte précoce ?
   Non. L’alerte précoce constitue la première étape de la notification. L’analyse technique complète peut être développée dans la notification ultérieure, le rapport intermédiaire et le rapport final.
2. Tout cyberincident est-il « significatif » ?
   Non. Le caractère significatif s’apprécie au regard de la perturbation opérationnelle, de la perte financière et des dommages potentiels pour d’autres personnes. En pratique, cette appréciation peut être difficile en cas de rançongiciel, de comptes compromis, d’interruption de service, d’incident chez un fournisseur ou d’incident impliquant des données personnelles.
3. Que faut-il préparer à l’avance ?
   Au minimum : une procédure de qualification des incidents, une matrice d’escalade, des personnes de contact, des règles déterminant qui envoie la notification, l’articulation avec la procédure GDPR et des règles de conservation des preuves.

Contrôles, audits et preuves de conformité

Le contrôle est exercé par les autorités nationales compétentes, le ministère de la Défense, le ministère de l’Intérieur et l’Agence d’État pour la sécurité nationale, selon leurs compétences respectives.

Pour les entités essentielles, les autorités peuvent effectuer des contrôles planifiés ou inopinés, sur place ou à distance, des audits réguliers ou ciblés, des audits inopinés en cas d’incident significatif ou de manquement, et demander des informations, documents et preuves de mise en œuvre des politiques.

Les entités importantes peuvent également faire l’objet de contrôles sur place, d’une supervision à distance ultérieure, d’audits ciblés, de demandes d’informations, d’accès aux documents et de preuves de mise en œuvre des politiques de cybersécurité.

Les coûts d’un audit de sécurité ciblé réalisé par un organisme indépendant sont en principe supportés par l’entité auditée, sauf décision contraire dûment motivée de l’autorité nationale compétente.

En pratique, une société doit être en mesure de présenter non seulement une politique de cybersécurité, mais aussi des preuves de son application effective — décisions, formations, procès-verbaux, contrats fournisseurs, éléments techniques, résultats d’audits, plans de reprise, tests de sauvegarde, registres d’actifs et mesures correctives.

Mesures contraignantes et sanctions

En cas de manquement, les autorités peuvent émettre des avertissements, prescriptions obligatoires et injonctions, notamment pour remédier à des insuffisances, faire cesser un comportement illicite, mettre en œuvre des mesures de gestion des risques, respecter les obligations de notification et rendre public un manquement.

Pour les entités essentielles, la loi permet également des mesures plus lourdes — suspension temporaire d’une licence, d’un enregistrement, d’un certificat ou d’une autorisation concernant tout ou partie des services ou activités concernés, ainsi qu’une demande d’interdiction temporaire pour une personne exerçant des fonctions de direction d’exercer ces fonctions au sein de l’entité essentielle.

Les sanctions sont importantes :

• pour non-exécution d’une mesure administrative contraignante — de 2 500 à 12 000 euros, et en cas de récidive de 5 000 à 25 000 euros ;
• pour une entité essentielle qui ne respecte pas ses obligations de gestion des risques et de notification — jusqu’à 10 000 000 euros ou jusqu’à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu, sans être inférieur à 25 000 euros ;
• pour une entité importante — jusqu’à 7 000 000 euros ou jusqu’à 1,4 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu, sans être inférieur à 12 500 euros ;
• pour violation des obligations de direction — amende de 500 à 5 000 euros pour les dirigeants d’autorités administratives, gérants ou membres des organes de direction.

À la date du présent article, une règle transitoire est également applicable : pour les infractions commises jusqu’au 1er juin 2026, les amendes et sanctions pécuniaires sont réduites de 50 % par rapport au montant prévu par la loi. Il ne s’agit pas d’une exonération de responsabilité, mais d’une réduction temporaire du montant de la sanction.

Tableau des risques pratiques

Problèmes possibles	Comment nous pouvons vous assister
Mauvaise appréciation du champ d’application : la société estime que la loi ne la concerne pas, alors qu’elle opère dans un secteur couvert, atteint les seuils pertinents ou exerce une fonction critique.	Analyse juridique et factuelle de l’applicabilité : nous examinons le secteur, la taille, les liens de groupe, les services, les fournisseurs et les bases possibles d’une qualification d’entité essentielle ou importante.
Préparation insuffisante au registre : coordonnées imprécises, plages IP, données relatives aux États membres, représentant ou absence de responsable interne du processus.	Préparation du dossier réglementaire : nous aidons à structurer les données, les responsabilités internes et la communication avec l’autorité compétente.
Procédure d’incident peu claire : la société ne peut pas déterminer rapidement si l’événement constitue un incident significatif ni qui doit déposer la notification.	Procédure de réponse et de notification : nous préparons une matrice d’escalade, des critères juridiques, des projets de notifications, l’articulation avec le GDPR et des règles de preuve.
Contrats TIC insuffisants : absence de clauses sur les incidents, audits, sous-traitants, journaux, reprise d’activité et assistance lors de contrôles.	Revue et refonte contractuelle : nous préparons des clauses relatives à la cybersécurité, à la chaîne d’approvisionnement, à la notification, aux droits d’audit, à la responsabilité et à l’assistance opérationnelle.
Contrôle ou sanction : l’autorité demande des documents, preuves, résultats d’audit ou impose une injonction, une sanction pécuniaire ou une autre mesure.	Défense lors de contrôles et procédures : nous vous représentons devant les autorités et les juridictions, préparons objections, recours et stratégie de limitation des risques réglementaires et réputationnels.

Lien avec le GDPR, DORA et les régimes sectoriels

Un cyberincident a souvent des conséquences au-delà de la loi sur la cybersécurité. S’il concerne des données personnelles, une évaluation distincte au titre du GDPR et de la loi bulgare sur la protection des données personnelles est nécessaire. La loi prévoit que les autorités compétentes informent la Commission de protection des données personnelles lorsqu’elles constatent une violation susceptible d’entraîner une violation de la sécurité des données personnelles.

Pour le secteur financier, le règlement (UE) 2022/2554 — DORA — doit également être pris en compte. La loi prévoit une coopération entre les autorités compétentes au titre de la loi sur la cybersécurité et les autorités compétentes au titre de DORA, notamment en ce qui concerne les prestataires tiers critiques de services TIC.

En outre, lorsqu’une législation sectorielle spéciale contient des exigences équivalentes en matière de gestion des risques ou de notification des incidents significatifs, certaines dispositions de la loi sur la cybersécurité peuvent ne pas s’appliquer aux entités concernées. Cette analyse est toutefois spécifique et ne doit pas être effectuée de manière mécanique.

Que doit faire l’entreprise maintenant ?

La première étape est la cartographie du champ d’application. Il faut déterminer si la société exerce des activités dans les secteurs couverts, si elle est au moins une moyenne entreprise, si elle fait partie d’un groupe, si elle fournit des services transfrontaliers et si elle appartient à une catégorie spéciale indépendamment de sa taille.

La deuxième étape est la détermination du statut — entité essentielle ou importante. Il ne s’agit pas d’une simple question terminologique, car ce statut influence la supervision, les preuves à fournir, le risque de contrôle et la communication avec les autorités.

La troisième étape est une analyse des écarts par rapport aux mesures légales de gestion des risques : politiques, incidents, sauvegardes, reprise, gestion des actifs, contrôle des accès, fournisseurs, vulnérabilités, chiffrement, formation et gestion des changements.

La quatrième étape est la revue contractuelle. Les fournisseurs ayant accès aux systèmes, infrastructures, applications ou données doivent être évalués et liés contractuellement par des exigences de sécurité, de notification et de coopération.

La cinquième étape est la préparation aux incidents. La procédure doit fonctionner en temps réel. Si le délai de 24 heures ne peut pas être respecté avec l’organisation existante, le risque est déjà managérial et juridique, et non seulement technique.

Questions fréquentes sur les nouvelles obligations prévues par la loi sur la cybersécurité

1. Comment savoir si nous sommes une entité essentielle ou importante ?
   Il faut examiner le secteur, le type de service, la taille de l’entreprise, la structure du groupe, l’activité transfrontalière et l’éventuel rôle critique du service. Une vérification du seul code d’activité principal ne suffit pas.
2. Si nous sommes fournisseur d’une entreprise du secteur de l’énergie ou de la santé, entrons-nous automatiquement dans le champ de la loi ?
   Pas nécessairement. L’application directe dépend de votre propre secteur, de votre taille et du type de service fourni. Toutefois, si vous êtes un fournisseur TIC direct, un fournisseur de services gérés, un prestataire de sécurité ou un fournisseur critique, vous serez probablement affecté contractuellement.
3. Quelles preuves l’organe de direction doit-il conserver ?
   En pratique, il est recommandé de disposer d’une décision d’adoption des mesures, d’un plan de mise en œuvre, de responsables désignés, de preuves de formation, de rapports périodiques, d’un registre des risques et de documents relatifs au contrôle des fournisseurs.
4. Que faire en cas de cyberincident pendant un jour non ouvrable ?
   Les délais légaux ne sont pas liés aux heures ouvrables. Si l’incident est significatif, l’alerte précoce doit être transmise dans les 24 heures suivant sa constatation. Des contacts prédéfinis, remplaçants, modèles et une procédure interne d’escalade sont donc nécessaires.
5. Devons-nous également informer la Commission de protection des données personnelles ?
   Si l’incident implique des données personnelles, une analyse distincte au titre du GDPR est nécessaire. Une notification à la Commission de protection des données personnelles et/ou aux personnes concernées peut être requise en plus des obligations prévues par la loi sur la cybersécurité.
6. Que faire si nous recevons une injonction ou une demande de documents d’une autorité compétente ?
   Il faut d’abord clarifier la base juridique, le périmètre de la demande, le délai, la sensibilité des informations et les preuves disponibles. Des réponses incomplètes ou inexactes peuvent aggraver la situation de l’entreprise.

Conclusion

Les modifications de la loi sur la cybersécurité à la suite de NIS2 concernent un cercle d’entreprises beaucoup plus large que les opérateurs classiques d’infrastructures critiques. Pour les entrepreneurs, dirigeants, investisseurs et juristes d’entreprise, la question essentielle n’est pas de savoir si la société présente un risque informatique, mais si elle a désormais l’obligation légale de gérer, documenter et prouver la gestion de ce risque.

Les conséquences pratiques sont concrètes : qualification d’entité essentielle ou importante, inscription dans un registre non public, formation des organes de direction, politiques et procédures, contrôle des fournisseurs, délais courts de notification, contrôles, audits, injonctions et sanctions importantes.

Si vous souhaitez vérifier si le nouveau régime s’applique à votre entreprise et quelles démarches concrètes sont nécessaires, contactez-nous. Le cabinet d’avocats Vassilev & Partners peut vous assister dans l’évaluation juridique du champ d’application, la préparation de règles internes, la revue de contrats, la communication avec les autorités compétentes, la formation des équipes dirigeantes et opérationnelles, ainsi que la défense lors de contrôles et de procédures de sanction.

Avertissement

Les informations contenues dans cet article sont fournies à titre purement informatif et visent à offrir une première orientation sur le sujet au regard de la situation juridique à la date de publication. Bien que nous nous efforcions d’assurer l’exactitude du contenu, les règles juridiques et leur interprétation évoluent avec le temps. Pour vérifier le texte actuel des dispositions applicables et leur application à votre situation concrète, il est nécessaire de nous contacter directement. Nous déclinons toute responsabilité pour les dommages pouvant résulter de l’utilisation autonome des informations contenues dans cet article sans consultation juridique individuelle préalable. Le présent article ne constitue pas un avis juridique.