NIS2 Article 26 : quelle autorité supervise réellement votre client ?

Un prestataire de services managés à Rotterdam assure les opérations de sécurité d''un client dont le siège social est à Francfort, avec trois sites de production en Pologne et un bureau commercial à Milan.

Quatre pays. Quatre lois nationales NIS2. Quatre autorités de contrôle.

Laquelle peut l''auditer ?

La plupart des consultants se trompent. Ils supposent que NIS2 fonctionne comme le guichet unique du RGPD, ou que chaque pays d''activité ajoute une autorité. Ni l''un ni l''autre. L''article 26 de NIS2 pose la règle, et il sépare les entités en deux groupes au fonctionnement très différent.

Pour la plupart des secteurs, la compétence suit l''établissement — dans chaque pays d''activité

L''article 26(1)(a) est bref : les entités relèvent de la compétence de l''État membre dans lequel elles sont établies.

Notez le pluriel implicite. Un industriel disposant d''entités juridiques en Allemagne, en Pologne et en Italie est établi trois fois. Si chacune de ces entités franchit le seuil de taille dans un secteur de l''annexe I ou de l''annexe II, chacune entre séparément dans le champ d''application, s''enregistre séparément et est supervisée séparément par l''autorité de ce pays.

C''est le cas par défaut, et il concerne la plupart des clients : énergie, transports, banque, santé, eau potable, eaux usées, industrie manufacturière, agroalimentaire, gestion des déchets, services postaux, chimie, fournisseurs numériques, recherche.

Exemple concret. Un producteur agroalimentaire exploite une usine de 60 personnes en Pologne et une usine de 40 personnes en Belgique. L''entité polonaise entre dans le champ de la loi polonaise et doit s''y enregistrer. L''entité belge n''atteint pas le seuil de taille à elle seule. Même groupe, obligations différentes, autorités différentes, deux programmes de conformité distincts.

Les consultants qui construisent un programme NIS2 central unique pour un groupe et s''arrêtent là laissent chaque entité locale exposée. Une politique groupe est utile. Elle ne remplace pas l''enregistrement local et la supervision locale.

Les fournisseurs numériques et de services managés n''ont qu''une seule autorité

L''article 26(1)(b) isole une liste précise et attribue à ces entités un point de supervision unique, quel que soit leur périmètre d''activité dans l''UE :

• fournisseurs de services DNS
• registres de noms de domaine de premier niveau
• entités fournissant des services d''enregistrement de noms de domaine
• fournisseurs de services d''informatique en nuage
• fournisseurs de services de centres de données
• fournisseurs de réseaux de diffusion de contenu
• fournisseurs de services managés
• fournisseurs de services de sécurité managés
• fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux

Ces entités relèvent de la compétence de l''État membre dans lequel se trouve leur établissement principal. Une autorité. Un enregistrement. Une loi nationale, même si elles servent des clients dans les 27 États membres.

Si vous dirigez un MSP ou un MSSP, cela vous concerne directement — pour votre propre conformité, pas seulement celle de vos clients. Voir notre guide NIS2 pour les MSP et MSSP sur le problème de la double obligation.

L''« établissement principal » n''est pas votre siège social

C''est là que la plupart des auto-évaluations échouent. L''article 26(2) définit l''établissement principal par une cascade, et le siège social n''y figure nulle part.

1. L''État membre où les décisions relatives aux mesures de gestion des risques en matière de cybersécurité sont principalement prises.
2. Si cet État membre ne peut être déterminé, ou si ces décisions ne sont pas prises dans l''Union — l''État membre où les opérations de cybersécurité sont effectuées.
3. Si cela reste indéterminable — l''État membre où l''entité compte l''établissement ayant le plus grand nombre de salariés dans l''Union.

Relisez l''étape un. Il s''agit du lieu où les décisions sont prises. Pas du lieu d''immatriculation, ni du bureau du dirigeant, ni du lieu d''émission des factures.

Un MSP immatriculé au Luxembourg pour des raisons fiscales, dont le RSSI, le comité de pilotage sécurité et le registre des risques se trouvent à Anvers, a son établissement principal en Belgique. Le droit belge s''applique. Le CCB supervise. L''immatriculation luxembourgeoise est sans pertinence au regard de l''article 26.

Documentez l''étape de la cascade retenue et pourquoi. Quand une autorité pose la question, « nos avocats ont dit le Luxembourg » n''est pas une réponse. Un procès-verbal de conseil montrant où les décisions de gestion des risques sont approuvées, si.

Les fournisseurs hors UE doivent désigner un représentant — et ce choix fixe la compétence

L''article 26(3) vise les fournisseurs de la liste 26(1)(b) qui ne sont pas établis dans l''Union mais y offrent des services. Ils doivent désigner un représentant établi dans l''un des États membres où ils proposent ces services. L''entité est alors réputée relever de la compétence de l''État membre où ce représentant est établi.

Deux conséquences que les consultants oublient systématiquement.

Désigner un représentant ne protège pas l''entité. Des poursuites peuvent toujours être engagées contre le fournisseur lui-même, même lorsqu''un représentant a été désigné.

Ne pas en désigner ne crée aucune immunité. Cela crée un fournisseur non représenté qui vend sur un marché où les autorités peuvent agir contre lui de toute façon.

Conséquence pratique : si vous revendez ou intégrez une plateforme cloud américaine, britannique ou suisse dans un service essentiel d''un client, demandez son représentant UE et l''État membre où il se trouve. S''il ne peut en nommer aucun, vous avez un constat à inscrire dans l''évaluation de la chaîne d''approvisionnement du client. C''est exactement le type de faille traité dans la sécurité de la chaîne d''approvisionnement NIS2.

Une seule autorité ne signifie pas un seul corpus de règles

L''article 26 détermine qui vous supervise. Il n''harmonise pas ce sur quoi porte le contrôle.

NIS2 est une directive, pas un règlement. Chaque État membre l''a transposée dans sa propre loi, avec son portail d''enregistrement, ses délais, son interprétation des seuils de taille et, dans plusieurs cas, son propre référentiel de contrôle — le CyFun belge, la catégorisation ACN italienne, le BSIG allemand.

Et la transposition reste incomplète. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l''UE contre l''Irlande, l''Espagne, la France et les Pays-Bas pour défaut de notification de mesures de transposition complètes, en demandant des sanctions financières dans chaque cas. Nous avons détaillé les conséquences pour les fournisseurs dans France et Espagne renvoyées devant la CJUE.

Pour un fournisseur de la liste 26(1)(b), l''établissement principal est donc une véritable variable stratégique. Le lieu où sont prises vos décisions de sécurité détermine le portail d''enregistrement, le CSIRT à notifier, la culture de contrôle à laquelle vous ferez face et le référentiel auquel vos preuves doivent se rattacher. Ce n''est pas à découvrir en pleine mission de contrôle. Vérifiez la position de chaque pays dans notre calendrier de mise en œuvre NIS2.

L''article 27 empêche de choisir discrètement une juridiction favorable

L''article 27 impose aux États membres de collecter, via leurs points de contact uniques, les informations d''identification de chaque entité de la liste 26(1)(b) et de les transmettre à l''ENISA. L''ENISA tient un registre à l''échelle de l''Union et en donne l''accès aux autorités compétentes sur demande.

Les informations transmises comprennent le nom de l''entité, le secteur et sous-secteur concernés au titre des annexes, l''adresse et les coordonnées, les États membres où les services sont fournis et les plages d''adresses IP.

Ces deux derniers éléments pèsent plus lourd qu''il n''y paraît. Vous déclarez vous-même les pays servis, l''ENISA détient le registre, et toute autorité nationale peut en demander l''accès.

Un fournisseur qui s''enregistre dans l''État membre à la réputation de contrôle la plus souple alors que ses décisions de sécurité sont prises ailleurs ne se cache donc pas. Il dépose une déclaration qui donne aux autorités la matière première pour repérer l''écart. L''enregistrement est déjà l''obligation la plus oubliée de NIS2 — voir l''obligation d''enregistrement.

Se tromper de compétence produit trois manquements distincts

Cela reste rarement un problème de paperasse.

Enregistrement. Enregistré dans le mauvais État membre, vous n''êtes pas enregistré dans le bon. Dans la plupart des lois nationales, c''est un manquement autonome, totalement indépendant de la qualité réelle de votre posture de sécurité.

Notification d''incident. L''alerte précoce à 24 heures va au CSIRT de l''État membre compétent. Envoyée au mauvais, le compteur continue de tourner pendant que vous vous en rendez compte. Une notification tardive est une violation distincte de l''incident lui-même. Les délais figurent dans la notification d''incident NIS2.

Chaîne d''approvisionnement. Vos clients doivent évaluer leurs fournisseurs au titre de l''article 21(2)(d). Un fournisseur incapable d''indiquer sa propre autorité de contrôle est un fournisseur dont le statut de conformité n''est pas vérifiable — et cela figure directement comme risque ouvert dans la documentation fournisseurs du client.

Ce qu''il faut documenter pour chaque client multipays

Quatre livrables. Aucun ne prend longtemps. Tous seront demandés.

1. Une cartographie des entités. Chaque entité juridique, son pays, ses effectifs, son chiffre d''affaires et le secteur de l''annexe I ou II concerné. Vous saurez ainsi quelles entités entrent séparément dans le champ au titre de l''article 26(1)(a).
2. Une note d''établissement principal pour chaque entité de la liste 26(1)(b). Indiquez l''étape de la cascade retenue, les preuves associées et la date. Une page suffit.
3. Le dossier d''enregistrement. Portail, date de dépôt, numéro de référence, autorité compétente et canal du CSIRT national pour les notifications.
4. Les coordonnées du représentant pour chaque fournisseur hors UE dans la chaîne d''approvisionnement critique du client, avec l''État membre concerné.

Révisez la note d''établissement principal chaque fois que la fonction sécurité se déplace. Déménager un SOC, externaliser les opérations de sécurité vers un autre pays ou recruter un RSSI ailleurs peut modifier la compétence via la cascade. Aucune autorité ne vous en avertira.

La plupart des organisations découvrent que leur hypothèse de compétence était fausse au moment où on leur demande déjà de prouver autre chose. Notre scan rapide NIS2 gratuit parcourt le champ d''application, la compétence et les mesures de l''article 21 en une dizaine de minutes et produit une analyse d''écarts directement exploitable avec le client.

L''article 26 tient en deux paragraphes de texte juridique. Le manquer invalide tout ce que vous construisez par-dessus.