Depuis le 1er octobre 2026, la nouvelle loi autrichienne sur la sécurité des réseaux et des systèmes d'information, en abrégé NISG 2026 (Netz- und Informationssystemsicherheitsgesetz), est en vigueur. Elle transpose la directive européenne NIS2 et fait de la cybersécurité une obligation légale pour des milliers d'entreprises. Selon la Chambre économique autrichienne (Wirtschaftskammer), environ 4 000 entreprises et entités de 18 secteurs sont directement concernées, auxquelles s'ajoutent de nombreux fournisseurs soumis à des obligations par l'intermédiaire de leurs clients.
L'une des meilleures synthèses en langue allemande sur le sujet a été réalisée par le juriste et consultant en entreprise viennois Franz Kopp sur https://nis-2-ready.at en complément de son livre „Quick Guide NIS-2 in Österreich“ (Guide rapide NIS-2 en Autriche, Springer Gabler). J'ai étudié le site et ses guides et je résume ici ce que les dirigeantes et dirigeants doivent savoir dès maintenant : qui est concerné, quels délais courent, ce qu'il faut signaler en cas d'incident et quelles sanctions s'appliquent. Ma propre entreprise suit actuellement ce chemin, c'est pourquoi j'ajoute à certains endroits ce que nous avons appris dans la pratique.
Qu'est-ce que NIS2 et qu'est-ce que la NISG 2026 ?
NIS2 est la deuxième directive de l'UE sur la sécurité des réseaux et de l'information (directive (UE) 2022/2555). Elle oblige les États membres à introduire des normes minimales contraignantes de cybersécurité pour les domaines critiques et importants de l'économie. L'Autriche l'a fait avec la NISG 2026, publiée au Journal officiel fédéral (BGBl. I Nr. 94/2025). Les dispositions opérationnelles s'appliquent depuis le 1er octobre 2026, et le règlement d'application correspondant, la NISV 2026, depuis le 2 octobre 2026.
L'essentiel de la loi tient en quatre phrases. Les entreprises concernées doivent s'enregistrer. Elles doivent mettre en place une gestion des risques pour leur informatique couvrant dix domaines définis. Elles doivent signaler les incidents de sécurité importants dans un délai de 24 heures. Et la direction est personnellement responsable de veiller à ce que tout cela soit fait.
Suis-je concerné ? Les trois questions à se poser
Le fait qu'une entreprise relève de la NISG 2026 ne dépend ni du seul secteur ni de la seule taille, mais des deux ensemble. S'y ajoutent quelques cas particuliers qui s'appliquent indépendamment de la taille.
La première question est celle de la taille. Sont en principe visées les moyennes entreprises à partir de 50 salariés ou réalisant plus de 10 millions d'euros de chiffre d'affaires annuel et, en même temps, plus de 10 millions d'euros de total de bilan. Une entreprise est considérée comme grande à partir de 250 salariés ou avec plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de total de bilan. Important : moins de 50 salariés n'exclut pas automatiquement l'assujettissement, car les indicateurs financiers comptent aussi. Dans les groupes, les entreprises partenaires et liées sont en principe prises en compte, sauf si la société est réellement autonome sur les plans organisationnel, technique et opérationnel.
La deuxième question est celle de l'activité. La loi énumère dans deux annexes les services visés. L'annexe 1 couvre les secteurs hautement critiques : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique et espace. L'annexe 2 couvre les autres secteurs critiques : services postaux et d'expédition, gestion des déchets, chimie, alimentation, industrie manufacturière, par exemple de dispositifs médicaux, d'électronique, de machines et de véhicules, services numériques et recherche. Ce qui compte, c'est le service concret tel que décrit dans la loi, et non une étiquette sectorielle générale.
La troisième question concerne les clients. Même une entreprise qui n'est pas elle-même visée peut se voir imposer des obligations par ses donneurs d'ordre, car ceux-ci doivent sécuriser leur chaîne d'approvisionnement. Nous y reviendrons plus loin.
Entité essentielle ou importante ?
La NISG 2026 distingue deux catégories. Les grandes entreprises d'un secteur de l'annexe 1 sont en règle générale des entités essentielles. Les moyennes entreprises des deux annexes ainsi que les grandes entreprises de l'annexe 2 sont des entités importantes. Les obligations sont pour l'essentiel identiques, mais les entités essentielles sont soumises à une surveillance plus stricte et à un plafond de sanctions plus élevé.
Indépendamment de leur taille, sont visés les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau, les fournisseurs de services DNS et certains fournisseurs de services de communications publiques. En outre, l'autorité de cybersécurité peut classer une entreprise par décision, par exemple si elle est le seul fournisseur d'un service critique en Autriche. C'est précisément le cas de ma propre entreprise : comme nous exploitons des services DNS, nous sommes une entité essentielle malgré notre taille. Quiconque propose de l'hébergement, des domaines ou une infrastructure informatique devrait donc vérifier ce point avec une attention particulière.
Les délais : enregistrement avant le 31 décembre 2026
Pour les entreprises qui remplissaient déjà les conditions le 1er octobre 2026, la feuille de route comporte quatre étapes.
Premièrement, l'enregistrement selon le § 29 auprès de l'autorité de cybersécurité. Il doit intervenir dans les trois mois suivant l'entrée en vigueur, donc d'ici la fin de 2026. Il faut indiquer notamment le nom et les coordonnées, le secteur et le type d'entité, les États de l'UE concernés, l'établissement principal et les seuils. Il faut en outre désigner un point de contact avec un numéro de téléphone et une adresse e-mail. Si ces informations changent ultérieurement, la modification doit être déclarée dans un délai de deux semaines ou de trois mois selon le cas. En pratique, l'enregistrement se fait via le portail autrichien des services aux entreprises, l'Unternehmensserviceportal (USP), dans la rubrique „NIS2 Services“. Une entreprise qui ne remplit les conditions que plus tard, par exemple en raison de sa croissance, doit s'enregistrer au plus tard trois mois à compter de ce moment.
Deuxièmement, la gestion des risques selon le § 32. Il n'existe ici aucune période transitoire générale, les mesures doivent donc être mises en place parallèlement à l'enregistrement.
Troisièmement, l'auto-déclaration selon le § 33, alinéa 1. Dans les douze mois suivant la naissance de l'obligation d'enregistrement, l'entreprise doit communiquer à l'autorité, sous une forme structurée, les mesures qu'elle a mises en œuvre, y compris la sécurité de la chaîne d'approvisionnement et les résultats de l'analyse des risques. Pour la plupart des entreprises déjà visées, cela signifie : d'ici fin septembre 2027.
Quatrièmement, le contrôle indépendant selon le § 33, alinéa 2. Il n'a pas lieu automatiquement, mais à la demande de l'autorité, au plus tôt deux ans après l'entrée en vigueur. En principe, la mise en œuvre doit alors être démontrée dans un délai de deux ans par un organisme indépendant. Les entités essentielles doivent en revanche justifier la partie opérationnelle et organisationnelle dans un délai de deux mois. Des certificats valides ne peuvent couvrir que cette partie opérationnelle et organisationnelle, et non la partie technique.
Les dix domaines de mesures du § 32
Le cœur de la loi est le § 32. Il exige des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, selon une approche tous risques. Au moins dix domaines doivent être couverts.
Premièrement, une analyse des risques et la sécurité des systèmes d'information : quels systèmes, services et menaces déterminent votre propre risque ? Deuxièmement, la gestion des incidents de sécurité, c'est-à-dire leur détection, leur évaluation, leur escalade et leur traitement. Troisièmement, la continuité des activités avec sauvegarde, restauration et gestion de crise. Quatrièmement, la sécurité de la chaîne d'approvisionnement et des prestataires de services. Cinquièmement, la sécurité de l'acquisition, du développement et de la maintenance, y compris le traitement des vulnérabilités. Sixièmement, des procédures permettant d'évaluer l'efficacité des mesures, par exemple des indicateurs, des tests de contrôle et des audits. Septièmement, la cyberhygiène et la formation. Huitièmement, la cryptographie et le chiffrement. Neuvièmement, la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs. Dixièmement, l'authentification multifacteur, les communications sécurisées et, le cas échéant, les communications d'urgence.
Ce que signifie „proportionné“ dépend de l'exposition aux risques, de la taille, de la probabilité de survenance et de la gravité potentielle d'un incident, y compris de ses conséquences sociétales et économiques. Les coûts à eux seuls ne constituent pas un motif d'exemption. La NISV 2026 précise que l'analyse des risques doit prendre en compte les risques technologiques, humains, liés à la chaîne d'approvisionnement et liés au site. Une entreprise qui ne peut pas satisfaire à une exigence temporairement ou en raison de sa taille doit justifier et documenter des mesures de substitution et en vérifier l'efficacité au moins une fois par an.
Obligation de notification : 24 heures, 72 heures, un mois
En cas d'incident de sécurité important, une procédure de notification en trois étapes s'applique auprès du CSIRT (centre de réponse aux incidents de sécurité informatique) sectoriel compétent ou, à défaut, auprès du CSIRT national. Les délais courent à partir du moment où l'on a connaissance de l'incident.
Dans un délai de 24 heures, une alerte précoce doit être envoyée, indiquant si une attaque est soupçonnée et si d'autres pays pourraient être touchés. Dans un délai de 72 heures suit la notification proprement dite, avec une première évaluation de la gravité et de l'impact et, le cas échéant, des indicateurs de compromission. Au plus tard un mois après, un rapport final est dû, décrivant les causes, le type de menace, les mesures correctives et les effets transfrontaliers. Si l'incident est toujours en cours, un rapport d'avancement est d'abord remis. En outre, les clients dont les services sont affectés doivent être informés sans délai. Le CSIRT répond de son côté dans les 24 heures et apporte son soutien sur demande.
Quand un incident est-il important ? La NISV 2026 fixe des critères selon lesquels c'est en tout état de cause le cas : une perte financière directe supérieure à 500 000 euros ou à 5 pour cent du chiffre d'affaires de l'année précédente (le montant le plus bas est retenu), la fuite de secrets d'affaires, le décès ou une atteinte grave à la santé d'une personne, un accès réussi, présumé malveillant, susceptible de provoquer de graves perturbations opérationnelles, une panne touchant plus de 100 000 utilisateurs ou 10 pour cent des utilisateurs pendant plus de 24 heures, une panne sur le territoire d'au moins un Land autrichien pendant plus de 24 heures ainsi que l'activation de plans de crise ou d'urgence. Des incidents mineurs répétés ayant la même cause peuvent également, cumulés, devenir importants. Les maintenances planifiées ne comptent pas.
D'après ma propre expérience : il ne faut pas lire ces critères pour la première fois en pleine urgence. Nous avons mis en place pour notre équipe un processus de notification écrit avec une astreinte clairement définie et un exercice intitulé „important ou pas ?“. Dans la nuit du samedi au dimanche, personne n'a envie d'ouvrir le texte de loi.
L'affaire du patron : les obligations de la direction
Le § 31 fait expressément de NIS2 une mission de direction. La direction ou le directoire doit garantir la mise en œuvre des mesures du § 32 et la superviser en permanence. Le travail opérationnel peut être délégué à l'informatique, à la sécurité de l'information, aux achats ou à des prestataires externes, mais la responsabilité reste au sommet.
En outre, les membres des organes de direction doivent suivre des formations en cybersécurité spécialement conçues pour le niveau de direction. Une formation de sensibilisation générale destinée aux collaborateurs ne suffit pas. La loi ne prescrit ni la durée, ni la fréquence, ni la forme de l'attestation de participation. Des contenus pertinents sont par exemple la situation de risque actuelle, les obligations légales, les situations de décision lors d'un incident, les risques liés à la chaîne d'approvisionnement et la question de savoir ce qu'une preuve démontre réellement. Pour les collaborateurs, la loi exige en outre des formations régulières et adaptées.
Comme preuve, Franz Kopp recommande d'adopter des décisions sur les rôles et le budget, de se faire présenter des rapports réguliers et de documenter les décisions. Un bon rapport de direction contient la situation de risque, l'état d'avancement des dix domaines de mesures, les fournisseurs critiques, les incidents, les mesures en retard, les résultats d'audit et l'état des formations.
Sanctions et responsabilité
Les amendes sont lourdes. Pour les entités essentielles, elles peuvent atteindre 10 millions d'euros ou 2 pour cent du chiffre d'affaires mondial de l'exercice précédent, pour les entités importantes 7 millions d'euros ou 1,4 pour cent, le montant le plus élevé étant retenu dans chaque cas. Un enregistrement omis ou des informations erronées constituent également une infraction administrative, tout comme l'absence de notification.
C'est en premier lieu l'entreprise elle-même qui est sanctionnée. La loi ne prévoit pas d'amende personnelle automatique pour les dirigeants. Les conséquences en droit des sociétés, en droit civil et en droit des assurances doivent toutefois être examinées séparément, et celui qui ne peut pas documenter son devoir de surveillance se trouve en mauvaise posture en cas de litige. Pour les entités essentielles, il existe en outre un niveau d'escalade selon le § 39 : si l'entreprise ne se conforme pas dans les délais à une décision de mise en conformité, l'autorité peut interdire temporairement aux membres des organes de direction d'exercer leurs fonctions de direction jusqu'à ce que les mesures soient mises en œuvre. Il ne s'agit pas d'une interdiction générale d'exercer. Je recommande néanmoins d'examiner également, dans ce contexte, votre propre assurance D&O et votre assurance cyber.
NIS2 dans la chaîne d'approvisionnement : ce qui attend les fournisseurs
De nombreuses petites entreprises ressentiront NIS2 non pas à travers la loi, mais à travers leurs clients. Les entités essentielles et importantes doivent prendre en compte, dans leur propre gestion des risques, la sécurité de leur chaîne d'approvisionnement et de leurs prestataires de services directs. Cela ne fait pas automatiquement d'un fournisseur une entité relevant de la NISG. Mais des obligations contraignantes naissent pour lui par le biais des contrats et des appels d'offres.
Le degré d'exigence dépend du risque. Un service cloud disposant d'un accès administrateur n'est pas contrôlé de la même manière qu'un fournisseur de fournitures de bureau. Les justificatifs typiques sont une description de la prestation et de ses dépendances techniques, un point de contact pour les incidents de sécurité, des règles d'accès et d'authentification multifacteur, un processus de correctifs et de gestion des vulnérabilités, un concept de sauvegarde et de reprise testé, un processus de gestion des incidents incluant l'information des clients, une liste des sous-traitants essentiels ainsi que des rapports d'audit ou des certificats au périmètre adéquat.
Une phrase telle que „Le prestataire respecte NIS2“ est trop vague en tant que clause contractuelle. De bons contrats précisent concrètement quelles mesures de sécurité s'appliquent, qui informe qui des incidents et dans quel délai, quelles preuves sont acceptées, comment se déroulent les contrôles et comment sont traités les sous-traitants et les manquements. Nous avons vécu exactement cela avec de grands clients : questionnaires, tests d'intrusion, tests de contrôle. Ceux qui se préparent tôt y gagnent la confiance et parfois aussi des contrats.
Ce que vous devriez faire concrètement maintenant
Vérifiez et documentez si vous êtes concerné : taille y compris les entreprises liées, activités selon les annexes 1 et 2, cas particuliers indépendants de la taille. Consignez le résultat par écrit et faites-le signer par la direction.
Si vous êtes concerné, enregistrez-vous via l'USP avant le 31 décembre 2026 et désignez un point de contact joignable.
Établissez un plan de mesures suivant les dix domaines du § 32, faites-le approuver par la direction et archivez dès le départ la preuve de chaque mesure. Ce dossier constitue la base de l'auto-déclaration à l'automne 2027.
Rédigez un processus de notification et d'escalade pour 24 et 72 heures et entraînez-vous. Formez la direction et l'équipe. Et passez en revue vos principaux prestataires et contrats clients au regard des exigences de sécurité.
Ma conclusion
NIS2 n'est pas un projet informatique que l'on confie aux techniciens, mais une mission de direction assortie de délais clairs. La bonne nouvelle : celui qui gère déjà correctement son informatique dispose de beaucoup d'éléments et doit surtout les rendre démontrables. La mauvaise : sans documentation, rien de tout cela ne compte en cas d'incident.
Pour commencer, je recommande le site https://nis-2-ready.at avec son court test d'assujettissement et ses six guides. Les sources faisant foi sont les textes primaires du système fédéral autrichien d'information juridique (RIS). Cet article est ma synthèse en tant qu'entrepreneur et ne remplace pas un conseil juridique.
Je vous conseille volontiers
Mon entreprise vient de mettre en œuvre elle-même la NISG 2026 en tant qu'entité essentielle : classification, enregistrement, plan de mesures, processus de notification et d'urgence, formation de la direction et de l'équipe, preuves pour la chaîne d'approvisionnement. Je partage volontiers cette expérience. Si vous souhaitez savoir si votre entreprise est concernée ou si vous cherchez une voie pragmatique pour la mise en œuvre, je vous conseille volontiers personnellement. Écrivez-moi simplement : https://www.mariokoerbler.com/fr/contact