NIS2 place de marché en ligne : votre client est-il concerné ?

Une entreprise de Lyon de 70 salariés exploite une plateforme où des passionnés se vendent entre eux des pièces d'appareils photo anciens. Les acheteurs paient sur le site, les vendeurs expédient eux-mêmes, et votre MSP héberge l'ensemble. Demandez au fondateur si NIS2 s'applique, et il répondra : « Nous sommes une petite boutique en ligne. C'est du commerce, pas une infrastructure critique. »

Cette réponse peut être fausse. Une plateforme où les acheteurs concluent des contrats avec des vendeurs tiers est une place de marché en ligne NIS2. Les fournisseurs numériques de ce type figurent à l'annexe II, avec leur propre règle de compétence, leur propre obligation d'enregistrement et leurs propres seuils d'incident. Voici comment le vérifier chez un client, et ce que le résultat change.

NIS2 place de marché en ligne : ce que la directive couvre vraiment

L'annexe II de la directive range les « fournisseurs numériques » dans un secteur à part. Trois types comptent ici : les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux. Ce sont des entités importantes, pas essentielles, donc la supervision est surtout a posteriori. Cela ne les rend pas facultatives : les mesures de l'article 21 et la notification d'incident de l'article 23 s'appliquent pleinement.

Le règlement d'exécution (UE) 2024/2690, en vigueur depuis le 7 novembre 2024, précise le volet technique. Son article 1 cite les places de marché, les moteurs de recherche et les réseaux sociaux parmi les dix types d'entités visés. Il détaille les mesures de l'article 21, paragraphe 2 et fixe les cas où un incident est significatif.

Vous connaissez peut-être notre guide sur l'infrastructure numérique et la règle des 30 minutes. Les seuils de durée stricts y concernent les fournisseurs DNS, cloud et assimilés. Pour les places de marché, moteurs de recherche et réseaux sociaux, les seuils reposent sur le nombre d'utilisateurs.

Les trois définitions qui décident du périmètre

Le périmètre dépend de l'article 6, pas de la façon dont le client se décrit.

Une place de marché en ligne est définie par renvoi à l'article 2, point n), de la directive 2005/29/CE : un service, exploité par ou pour un professionnel, qui permet aux consommateurs de conclure des contrats à distance avec d'autres professionnels ou consommateurs. Une boutique qui ne vend que son propre stock n'y entre pas. Une plateforme où des tiers vendent, si.

Un moteur de recherche en ligne est défini par renvoi à l'article 2, point 5, du règlement (UE) 2019/1150. Un champ de recherche interne ne suffit pas. Un service qui interroge l'ensemble des sites, si.

Une plateforme de services de réseaux sociaux est définie à l'article 6 lui-même : une plateforme permettant aux utilisateurs finaux de se connecter, de partager, de découvrir et de communiquer entre eux sur plusieurs appareils, notamment par des discussions, des publications, des vidéos et des recommandations. Des fonctions communautaires greffées à un produit ne suffisent généralement pas. Un produit dont c'est le cœur, si.

Les cas limites sont fréquents : un forum de niche avec annonces payantes, un portail de commande B2B où les distributeurs revendent, une application dotée d'une messagerie. Consignez le raisonnement pour chaque client. Un « hors périmètre parce que X » documenté pèse plus lors d'un contrôle qu'une hypothèse non écrite.

Taille et classification : le test que les clients oublient

La règle de taille reste applicable. Le fournisseur doit être au moins de taille moyenne : 50 salariés ou plus, ou un chiffre d'affaires annuel et un total de bilan tous deux supérieurs à 10 millions d'euros. La plateforme lyonnaise de 70 salariés y satisfait. Une start-up de 12 personnes avec le même service, non.

Qui passe le test de taille est une entité importante. Le plafond d'amende prévu par la directive est de 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu, et la direction porte la responsabilité. Pour la logique de périmètre, voir NIS2 s'applique-t-elle à mon organisation ?.

Un seul régulateur pour toute l'UE : l'article 26

La plupart des secteurs relèvent du pays où ils exercent. Places de marché, moteurs de recherche et réseaux sociaux suivent une autre règle. Selon l'article 26, paragraphe 1, point b), ils relèvent de l'État membre où se situe leur établissement principal dans l'Union.

L'article 26, paragraphe 2 le définit comme l'État membre où sont principalement prises les décisions relatives aux mesures de gestion des risques de cybersécurité. À défaut, c'est celui où sont menées les opérations de cybersécurité. Si ce n'est pas clair non plus, c'est l'État membre de l'établissement comptant le plus de salariés.

Pour vos clients MSP, cela signifie qu'une plateforme pilotée depuis Lyon mais vendant en Allemagne, en Espagne et en Pologne dépend d'une seule autorité nationale, pas de quatre. Un fournisseur établi hors de l'UE qui propose des services dans l'Union doit, selon l'article 26, paragraphe 3, désigner un représentant dans un État membre où il propose ses services. Cet État membre devient compétent. Notre article sur le régulateur qui supervise votre client détaille la cascade.

Enregistrement : l'article 27, indépendant des audits

L'article 27 oblige ces fournisseurs à transmettre des données d'identification pour le registre que tient l'ENISA. La liste est précise : nom de l'entité, secteur et type selon l'annexe II, adresse de l'établissement principal et des autres établissements dans l'Union (ou du représentant), coordonnées à jour, États membres où les services sont proposés, et plages d'adresses IP.

La première transmission était due au 17 janvier 2025. Toute modification doit être signalée sans retard et, en tout état de cause, dans un délai de trois mois. Les plages IP sont l'élément le plus souvent oublié. Elles changent à chaque évolution de CDN ou d'hébergement, et personne ne prévient le responsable conformité.

Les registres nationaux ajoutent leurs propres portails et délais. Le retard d'enregistrement en Allemagne montre ce qui arrive quand personne n'en est responsable.

Seuils d'incident : 5 % des utilisateurs ou 1 million

Pour les places de marché, moteurs de recherche et réseaux sociaux, le règlement d'exécution fixe des seuils fondés sur les utilisateurs aux articles 11, 12 et 13. Un incident est significatif si le service est totalement indisponible, ou de disponibilité limitée, pour plus de 5 % de ses utilisateurs dans l'Union ou plus de 1 million d'utilisateurs, le seuil le plus bas s'appliquant. Une compromission de données d'une telle ampleur l'est aussi.

Une atteinte présumée malveillante à l'intégrité, la confidentialité ou l'authenticité des données est significative quel que soit le nombre d'utilisateurs. L'article 3 ajoute des critères généraux, dont une perte financière directe supérieure à 500 000 euros ou à 5 % du chiffre d'affaires annuel, le montant le plus bas étant retenu.

Prenons une place de marché de 400 000 utilisateurs dans l'UE. Cinq pour cent font 20 000. Une panne touchant 20 000 utilisateurs, ou une fuite de 20 000 comptes, est significative. Beaucoup d'équipes croient que le million est le seuil. Pour les plateformes petites et moyennes, c'est le pourcentage.

Dès qu'un incident est significatif, la séquence en trois étapes de l'article 23 s'applique. Les délais de notification sont de 24 heures pour l'alerte précoce, 72 heures pour la notification d'incident et un mois pour le rapport final.

Où en est la France en octobre 2026

La France n'a pas encore transposé NIS2. Le projet de loi « Résilience » a été adopté par le Sénat mais reste bloqué à l'Assemblée nationale, notamment autour de l'article 16 bis sur les accès dérobés. La Commission européenne a saisi la Cour de justice de l'UE contre la France le 8 juillet 2026. L'ANSSI reste l'autorité de référence, sans que le socle législatif soit finalisé.

Pour un client dont l'établissement principal est en France, cela veut dire : pas encore de sanctions nationales, mais le cadre est connu et les obligations arrivent. Pour un client dont l'établissement principal est dans un État déjà transposé, la loi de cet État s'applique dès maintenant. L'état de la transposition montre la situation pays par pays.

Ce qu'il faut vérifier ce mois-ci

Passez cinq questions en revue pour chaque client plateforme. Le service répond-il à l'une des trois définitions de l'article 6 ? Le client franchit-il le seuil de taille ? Où sont principalement prises les décisions de cybersécurité, et donc quel régulateur s'applique ? Les données de l'article 27 sont-elles à jour, plages IP comprises ? Et quelqu'un a-t-il confronté le nombre d'utilisateurs aux seuils de 5 % et de 1 million ?

Les deux premières se règlent en général en un après-midi. Les trois dernières révèlent les vraies lacunes. Pour un point de départ structuré, lancez le scan de maturité NIS2 gratuit et servez-vous du résultat comme base de la discussion avec le client.