NIS2 : la Bretagne recense les entités régionales concernées par la directive
La directive européenne NIS2 vise 18 secteurs critiques, de l’énergie à la santé en passant par la banque, les administrations, les transports ou les services de l’eau ou des déchets. Jusqu’à présent, le nombre exact d’entités concernées a fait l’objet d’évaluations « à la louche » avec différents chiffres qui ont circulé, de 10 à 20.000 selon les sources.
Recollement de données
Si l’Anssi a mis en place un site pour permettre aux entreprises de savoir si elles étaient ou non concernées, le campus cyber breton a opté pour la démarche inverse en partant des secteurs listés par la directive. Bretagne Cyber Alliance est l’un des 8 campus territoriaux – bientôt 9 avec le projet CyberLig des Pays de la Loire – adossés au Campus cyber national. Il est piloté par l’agence de développement économique de la région, Bretagne Next. « Nous avons pu nous appuyer sur des bases de données sectorielles de l’agence et avons mobilisé l’open data (Sirene, NAF…) pour recoller les catégories NIS2 aux secteurs d’activité » explique Tiphaine Leduc, coordinatrice générale du campus breton. Un travail de dentelle car certaines filières, comme l’hydrogène, n’ont pas de code d’activité propre, et il faut aussi démêler les établissements des sièges sociaux.
2.028 entités bretonnes concernées
Ces calculs ont abouti au chiffre de 2.028 entités concernées. Six secteurs concentrent 85% des entités NIS2 bretonnes :
– administrations et collectivités,
– santé,
– industrie,
– agroalimentaire,
– transport-logistique,
– infrastructures et services numériques.
Le campus a même élargi son recensement à deux filières absentes de la directive mais structurantes localement, la pêche et le tourisme, soit 26 entités aux systèmes d’information critiques.
Sensibilisation ultra ciblée
Pour cette région particulièrement investie sur le cyber – Rennes accueille une partie des services de l’Anssi et de nombreuses startups cyber – cette base de données va lui permettre de mener un travail de sensibilisation ultra ciblée. Le campus va contacter chacune des entités recensées via un courrier cosigné par la préfète de région et le président de région. « Ce que nous souhaitons, c’est que les dirigeants concernés ne découvrent pas la réglementation au moment des contrôles » insiste Tiphaine Leduc.
Le campus va ensuite aller à leur rencontre lors d’un « tour de Bretagne NIS2« .
D’octobre 2026 à février 2027, une journée par mois sera organisée dans cinq villes (Rennes, Brest, Vannes, Lorient et Lannion). Au programme : sensibilisation aux obligations à venir, enjeux propres à chaque filière, puis ateliers avec des experts avec à la clef un premier niveau de conseil gratuit.
La base de données est enfin appelée à vivre pour devenir un observatoire NIS2 régional, dédié au suivi de la conformité des entités concernées et au ciblage de l’accompagnement.
Une démarche amenée à se généraliser
La démarche a été présentée à la ministre déléguée au Numérique Anne Le Hénanff, à l’Anssi, à la DGE ainsi qu’aux autres campus cyber, en vue de sa réplique. Celle-ci n’a cependant rien d’automatique : un travail préalable sur les données est nécessaire pour un chiffrage précis, la Bretagne ayant eu pour avantage de pouvoir mobiliser les compétences data de son agence de développement économique.
Néanmoins, il apparaît d’ores et déjà que les évaluations sur l’impact de la directive sont à revoir à la hausse : la DGE parle désormais plutôt de 25.000 entités concernées. Un chiffre qui souligne l’importance d’un accompagnement local, surtout si on le compare aux 300 opérateurs d’importance vitale suivis jusqu’ici par l’Anssi au titre de NIS1.
Un seuil à figer pour les collectivités
Mais le chiffre définitif reste dépendant de l’adoption définitive du projet de loi « résilience », transposition de trois directives dont NIS2, toujours en attente d’inscription à l’ordre du jour de l’Assemblée nationale.
Le texte doit notamment figer le périmètre applicable aux collectivités. Sur ce point, le Sénat a déjà repris une demande de l’AMF en faisant basculer les communautés d’agglomération dépourvues de commune de plus de 30.000 habitants vers les entités importantes, aux obligations plus légères. Il en a en revanche écarté une autre qui visait à sortir purement et simplement les communautés de communes du dispositif.
.