NIS2 en Autriche
Guide de mise en œuvre et de conformité NIS2 en Autriche.
L’Autriche met en œuvre le cadre européen renforcé de cybersécurité au moyen d’une législation nationale alignée sur la directive NIS2. Ce guide propose un aperçu structuré du champ d’application, des obligations, de l’exécution et de la gouvernance dans le cadre du régime national autrichien, adapté aux décideurs des PME qui doivent se repérer dans les exigences de conformité NIS2 en Autriche.
1. Aperçu rapide de l’applicabilité aux PME en Autriche
La NIS2 s'applique-t-elle aux PME en 1. Aperçu rapide de l’applicabilité aux PME en Autriche ?
Oui — selon le secteur et la taille.
- Applicabilité automatique aux entités de taille moyenne (≥50 employés et ≥€10 million de chiffre d'affaires ou de total de bilan) exerçant des activités dans les secteurs couverts.
- Les petites ou microentités ne sont incluses que si elles sont formellement désignées ou si elles exercent des activités dans des secteurs à haute criticité.
- S’applique aux entités établies en Autriche et, dans certains cas, aux prestataires numériques étrangers desservant le marché autrichien.
Les PME des secteurs réglementés devraient évaluer en amont leur qualification au titre du régime national de cybersécurité de l’Autriche.
2. Aperçu de la mise en œuvre de NIS2 en Autriche
L’Autriche transpose NIS2 au moyen du NIS-Gesetz 2024 (NISG 2024), qui remplace et étend le cadre de cybersécurité antérieur au titre du Network and Information Systems Security Act.
La législation a été adoptée en 2024 afin de s’aligner sur la directive (UE) 2022/2555 et établit des obligations actualisées pour les entités essentielles et importantes. L’entrée en vigueur est liée au calendrier formel de mise en œuvre de l’Autriche et au processus de notification à l’UE.
La mise en œuvre de NIS2 par l’Autriche reflète largement le socle de la directive. Lorsque des précisions sectorielles sont introduites, elles s’alignent sur la structure réglementaire et les autorités de surveillance déjà en place en Autriche.
3. Champ d’application en Autriche
Entités essentielles
Entités exerçant des activités dans des secteurs hautement critiques :
Entités importantes
Entités exerçant des activités dans d'autres secteurs listés :
L’Autriche n’étend pas de manière substantielle le périmètre sectoriel au-delà du minimum prévu par la directive à ce stade.
4. Seuils de taille et applicabilité aux PME en Autriche
Les seuils de base s'appliquent :
- ≥50 employés, et
- ≥€10 million de chiffre d'affaires annuel ou de total de bilan.
Les entités remplissant les deux critères dans les secteurs couverts entrent automatiquement dans le champ d’application, sauf exemption.
Les petites et micro-entreprises peuvent néanmoins relever des exigences NIS2 en Autriche si elles sont désignées par les autorités en raison de leur importance critique ou de leur pertinence systémique.
L’Autriche conserve la faculté de désigner des entités lorsque cela est justifié par l’exposition au risque, des considérations de sécurité nationale ou une pertinence transfrontalière.
5. Cadre de classification des entités en Autriche
L’Autriche classe les entités concernées comme suit :
- Entités essentielles — Soumises à une surveillance plus stricte, y compris des inspections proactives.
- Entités importantes — Principalement soumises à une supervision réactive, sauf si des indicateurs de risque justifient une intervention.
La classification est automatique selon le secteur et la taille, mais peut être ajustée par les autorités compétentes. Les régulateurs autrichiens peuvent reclasser des entités lorsque l’impact opérationnel justifie un renforcement de la surveillance.
6. Exigences de gestion des risques de cybersécurité en Autriche
Le régime national autrichien s’aligne étroitement sur le socle de la directive. Les entités concernées doivent mettre en œuvre des mesures techniques et organisationnelles proportionnées couvrant :
- Analyse des risques et sécurité des systèmes
- Procédures de gestion des incidents
- Continuité d'activité et gestion de crise
- Contrôles des risques de la chaîne d'approvisionnement
- Acquisition et développement sécurisés des systèmes
- Mécanismes de contrôle d'accès
- Politiques de chiffrement et de cryptographie
- Gestion et divulgation des vulnérabilités
- Formation du personnel à la cybersécurité
Les mesures doivent refléter l’état de l’art et l’exposition au risque. L’alignement sur ISO/IEC 27001 et les cadres autrichiens reconnus en matière de cybersécurité est encouragé.
7. Responsabilité de la direction et gouvernance en Autriche
Les organes de direction doivent approuver les mesures de gestion des risques de cybersécurité et en superviser la mise en œuvre.
- Les conseils d'administration sont responsables de la supervision de la conformité.
- La haute direction doit garantir une expertise adéquate en cybersécurité.
- Des sanctions administratives peuvent viser les défaillances de gouvernance.
- La suspension temporaire des fonctions dirigeantes peut être prévue par des mécanismes alignés sur la Directive.
Les standards de responsabilité de la direction NIS2 en Autriche mettent l’accent sur la responsabilité au niveau du conseil plutôt que sur une responsabilité purement technique.
8. Obligations de notification d’incident en Autriche
Définition d'un incident significatif
Un incident est considéré comme significatif s'il entraîne :
- Perturbation opérationnelle grave
- Perte financière significative
- Impact sociétal substantiel
- Effets transfrontaliers
Calendrier de notification
| Phase de notification | Délai | Autorité |
|---|---|---|
| Alerte précoce | 24 heures | Federal Ministry of the Interior (BMI) |
| Notification d'incident | 72 heures | Federal Ministry of the Interior (BMI) |
| Rapport final | 1 mois | Federal Ministry of the Interior (BMI) |
9. Autorités de surveillance et modèle d’exécution en Autriche
Autorité principale : Federal Ministry of the Interior (BMI).
L’Autriche opère un modèle de coordination centralisé, soutenu par les régulateurs sectoriels le cas échéant.
Supervisory powers include:
- Demandes d'informations
- Audits de sécurité
- Inspections sur site
- Instructions de conformité contraignantes
- Participation à la coordination européenne en cybersécurité
La structure d’exécution s’intègre aux cadres de coordination de cybersécurité de l’UE.
10. Sanctions et amendes NIS2 en Autriche
L’Autriche applique des sanctions administratives alignées sur la directive.
Entités essentielles
Jusqu'à €10 million ou 2% du chiffre d'affaires annuel mondial total (le plus élevé des deux)
Entités importantes
Jusqu'à €7 million ou 1.4% du chiffre d'affaires annuel mondial total (le plus élevé des deux)
L’application des amendes NIS2 en Autriche peut également inclure :
- Injonctions correctives contraignantes
- Identification publique des entités non conformes
- Suspension de la certification ou de l'autorisation
- Pouvoirs de suspension des fonctions dirigeantes
11. Sécurité de la chaîne d’approvisionnement et des fournisseurs NIS2 en Autriche
Les entités doivent gérer le risque cyber lié aux tiers au moyen de :
- Diligence raisonnable des fournisseurs
- Obligations contractuelles de sécurité
- Surveillance continue des prestataires
- Contrôle renforcé des prestataires de services TIC
- Évaluation du risque de concentration
- Analyse du risque de propagation des incidents
Le cadre national autrichien s’aligne sur le socle de la directive dans ce domaine, en mettant l’accent sur une supervision proportionnée de la chaîne d’approvisionnement.
12. Obligations d’enregistrement et d’auto-identification en Autriche
Entities within scope must:
- S'enregistrer auprès des autorités compétentes
- Fournir les informations d'identification de l'entité
- Déclarer la classification sectorielle
- Maintenir à jour les coordonnées
Les délais et modalités procédurales suivent le règlement d’exécution de l’Autriche. À l’état actuel de la transposition, l’Autriche suit le cadre de base de la directive NIS2. Les détails nationaux d’exécution peuvent affiner certaines obligations.
L'auto-identification est obligatoire lorsque les entités atteignent les seuils légaux.
13. Interaction avec le GDPR et autres lois en Autriche
Le Règlement général sur la protection des données continue de s'appliquer parallèlement.
Les points de chevauchement comprennent :
- Notification des violations de données personnelles sous 72 heures
- Coordination des autorités de surveillance
- Enquêtes parallèles en cybersécurité et en protection des données
- Législation autrichienne sectorielle en matière de cybersécurité
Un cyberincident peut déclencher des obligations de signalement au titre des deux régimes.
14. Applicabilité transfrontalière
Les entités dont l’établissement principal est en Autriche sont supervisées par les autorités autrichiennes pour les services transfrontaliers.
Les prestataires numériques étrangers offrant des services en Autriche peuvent être soumis à des obligations locales selon la structure d’établissement.
Les exigences de représentation suivent les standards de la directive pour les prestataires non européens desservant le marché autrichien.
15. Calendrier de mise en œuvre en Autriche
- Adoption de la Directive : 2022
- Adoption de la législation nationale : 2024
- Entrée en vigueur : Conformément au calendrier de publication national
- Notification à la Commission : En attente / alignement en cours
- Jalon de conformité : Aligné sur les échéances de la directive
La mise en œuvre de NIS2 par l’Autriche reflète le calendrier de transposition de l’UE, sans périodes de grâce prolongées annoncées.
16. Points clés pour les PME en Autriche
- Les entités de taille moyenne dans les secteurs couverts sont automatiquement dans le champ d'application.
- Les petites entités peuvent être désignées si elles sont opérationnellement critiques.
- La supervision de la gouvernance au niveau du conseil est obligatoire.
- La notification des incidents suit des délais de 24h / 72h / 1 mois.
- Les sanctions financières peuvent atteindre €10 million ou 2% du chiffre d'affaires mondial.
- La gestion des risques liés aux fournisseurs est une obligation centrale.
- Une planification précoce de la conformité réduit l'exposition aux mesures d'exécution.
FAQ : Guide NIS2 Autriche pour les PME
La directive NIS2 s’applique-t-elle aux petites entreprises en Autriche ?
Les petites entreprises sont généralement exclues sauf désignation ou activité dans des secteurs hautement critiques. Les entités de taille moyenne atteignant les seuils sont automatiquement couvertes.
Quelles sont les amendes NIS2 en Autriche ?
Les entités essentielles encourent des sanctions pouvant atteindre €10 million ou 2% du chiffre d’affaires annuel mondial. Les entités importantes encourent jusqu’à €7 million ou 1.4% du chiffre d’affaires annuel mondial.
Quand la NIS2 entre-t-elle en vigueur en Autriche ?
L’Autriche a adopté la législation d’exécution en 2024. L’entrée en vigueur est alignée sur la publication nationale et les processus de notification à l’UE.
Qui applique la NIS2 en Autriche ?
Le Federal Ministry of the Interior (BMI) est l’autorité de surveillance principale, en coordination avec les régulateurs sectoriels le cas échéant.
Les administrateurs peuvent-ils être personnellement responsables au titre de NIS2 en Autriche ?
Les organes de gestion doivent approuver et superviser les mesures de cybersécurité. Les autorités peuvent imposer des conséquences administratives, y compris des pouvoirs de suspension dans les cas graves.
En quoi NIS2 diffère-t-elle du GDPR en Autriche ?
NIS2 régit la gestion des risques de cybersécurité et la résilience opérationnelle. Le GDPR se concentre sur la protection des données à caractère personnel. Les deux peuvent s’appliquer simultanément à la suite d’un incident cyber.
Qu’est-ce qui constitue un incident significatif au titre de NIS2 en Autriche ?
Un incident provoquant une perturbation grave, une perte financière substantielle, un impact sociétal ou des effets transfrontaliers répond généralement au seuil de notification.