NIS2 : ce que vous devez exiger de votre datacenter
La directive (UE) 2022/2555, dite NIS2, ne s'adresse pas qu'aux grandes infrastructures. Elle impose à des milliers d'entreprises de gérer le risque de leur chaîne d'approvisionnement, et votre hébergeur en fait partie. Elle impose aussi des délais de notification si courts qu'ils sont intenables sans la coopération de ce dernier. Ce guide explique ce qui change concrètement pour qui loue une baie, et donne la liste des preuves à obtenir avant de signer.
Estimer mon coût →Deux catégories, deux régimes de contrôle #
La directive NIS2 distingue les entités essentielles et les entités importantes. Les premières relèvent des secteurs hautement critiques de son annexe I et font l'objet d'une supervision a priori : l'autorité peut contrôler sans attendre l'incident. Les secondes sont supervisées a posteriori, sur signalement ou après un événement. La différence se lit aussi dans les sanctions, définies à l'article 34 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel pour une entité essentielle, le montant le plus élevé étant retenu ; jusqu'à 7 millions ou 1,4 % pour une entité importante. Le texte de la directive fait foi.
L'infrastructure numérique est dans l'annexe I, votre hébergeur aussi #
Les fournisseurs de services de centres de données, les points d'échange internet, les fournisseurs de services d'informatique en nuage et les réseaux de communications électroniques publics figurent parmi les secteurs hautement critiques. Autrement dit, votre datacenter n'est pas seulement un fournisseur à surveiller : il est lui-même susceptible d'être assujetti, avec ses propres obligations de gestion du risque et de notification. C'est une bonne nouvelle pour vous, parce qu'un hébergeur assujetti a construit, ou doit construire, exactement ce dont vous avez besoin.
Trois échéances, et le compte à rebours part de votre connaissance de l'incident #
L'article 23 impose une alerte précoce dans les 24 heures suivant la connaissance d'un incident significatif, une notification circonstanciée avec évaluation de gravité et d'impact dans les 72 heures, un rapport intermédiaire si l'autorité le demande, puis un rapport final dans le mois qui suit la notification. Ces délais courent à partir du moment où vous avez CONNAISSANCE de l'incident, pas de sa résolution. C'est le point qui fait basculer le sujet du juridique vers l'opérationnel : si votre hébergeur met huit heures à vous dire ce qui s'est passé, vous avez déjà consommé le tiers de votre premier délai.
La chaîne d'approvisionnement devient votre responsabilité #
NIS2 exige des mesures de gestion des risques qui couvrent explicitement la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs directs. Vous ne pouvez plus vous contenter d'un engagement de disponibilité : il vous faut savoir comment votre hébergeur gère ses propres risques, comment il vous prévient, et ce qu'il consigne. Un contrat qui ne prévoit rien de tout cela vous laisse porter seul une obligation que vous ne pouvez pas tenir.
Les huit preuves à demander avant de signer #
- Le statut de l'hébergeur au regard de NIS2 : s'estime-t-il assujetti, en tant qu'entité essentielle ou importante, et sous quelle autorité nationale ?
- Le canal d'alerte : à quelle adresse, à quel numéro, avec quel délai cible vous prévient-il d'un incident qui vous concerne ?
- Le délai de première information, écrit dans le contrat, et non une pratique orale. C'est lui qui décide si vos 24 heures sont tenables.
- Le périmètre de ce qu'il considère comme incident significatif, et ce qu'il vous transmet dans ce cas.
- La procédure d'escalade nommée, avec les rôles, pas un simple guichet.
- Les preuves d'audit qu'il accepte de fournir : certifications en cours de validité pour CE site, rapports de test, comptes rendus d'exercice.
- La gestion de ses propres sous-traitants, notamment l'infogérance et la maintenance qui accèdent physiquement à vos baies.
- La clause de coopération en cas de contrôle de l'autorité, et ce qu'il s'engage à produire dans ce cadre.
Où en est la France, au 6 septembre 2026 #
La transposition française passe par un projet de loi de résilience qui n'est pas adopté à cette date, et la Commission européenne a saisi la Cour de justice de l'Union européenne en juillet 2026 à propos de ce retard, comme elle l'a fait pour d'autres États membres. Concrètement, le calendrier national reste mouvant, mais deux choses ne dépendent pas de lui : les obligations issues de la directive sont connues, et les preuves listées plus haut se demandent dès aujourd'hui, dans une négociation en cours ou un renouvellement. L'ANSSI publie l'état d'avancement et les modalités d'enregistrement des entités concernées.
Ce que DataColoc peut vérifier, et ce qu'il ne sait pas #
Le comparateur affiche les certifications déclarées site par site, avec leur date de validité, et refuse de les attribuer à un groupe entier quand elles ne portent que sur un bâtiment. C'est une pièce du dossier, pas le dossier. Le statut NIS2 d'un exploitant, ses canaux d'escalade et ses délais de première information ne sont publiés par personne aujourd'hui : ils se demandent, par écrit, et se consignent dans le contrat. Aucun comparateur ne peut les inventer.
Ce qu'il faut retenir #
NIS2 ne se règle pas par une case à cocher. Elle transforme une relation commerciale en chaîne de responsabilité, avec des délais qui se comptent en heures. La question utile n'est pas « mon hébergeur est-il conforme », qui ne veut rien dire, mais « que me transmet-il, à qui, en combien de temps, et qu'est-ce qui est écrit ». Posez les huit questions avant de signer : elles coûtent un courriel, et elles décident de votre capacité à tenir vos propres obligations.
Questions fréquentes #
Les fournisseurs de services de centres de données et les points d'échange internet figurent dans les secteurs hautement critiques de l'annexe I de la directive. L'assujettissement effectif dépend ensuite de la taille et de la transposition nationale. La bonne démarche est de le lui demander par écrit plutôt que de le supposer.
Une alerte précoce dans les 24 heures suivant la connaissance de l'incident, une notification circonstanciée dans les 72 heures, un rapport intermédiaire sur demande, puis un rapport final dans le mois qui suit la notification. Le compte à rebours part de la connaissance, pas de la résolution.
L'article 34 fixe des plafonds minimaux que les États doivent prévoir : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel pour une entité essentielle, le montant le plus élevé étant retenu ; jusqu'à 7 millions ou 1,4 % pour une entité importante.
Non. Une certification est une preuve utile parmi d'autres, et elle ne couvre que le périmètre pour lequel elle a été délivrée. Vérifiez toujours qu'elle vise le SITE que vous louez, et non le groupe, et qu'elle est en cours de validité.
C'est une information en soi. Sans délai écrit, vos 24 heures ne sont pas tenables et vous portez seul le risque. Le sujet se négocie au renouvellement, où votre position est la meilleure.
Rédigé le 6 septembre 2026.
Passer à la pratique : les datacenters à comparer
Estimer mon coût → Comparer les datacenters