Vous êtes classé comme Sous-traitant Critique de l'État
Le diagnostic indique que votre structure, bien que potentiellement petite ou en dehors des annexes classiques, fournit des prestations de services numériques ou de sécurité jugées hautement stratégiques pour la continuité de l'État ou la souveraineté nationale. À ce titre, l'ANSSI vous soumet directement aux obligations NIS 2.
Pourquoi êtes-vous dans cette situation ?
Fournisseur stratégique de l'État
Vous êtes un fournisseur direct ou un sous-traitant de confiance d'une administration publique centrale ou d'un ministère (Défense, Intérieur, Justice, Santé). L'interruption, le sabotage ou l'espionnage de vos services informatiques présente un risque direct pour la sécurité nationale.
Ce que vous devez faire
1. Déclaration et Mandat obligatoires
Vous devez vous enregistrer officiellement auprès de l'ANSSI en tant que prestataire critique.
Précision juridique majeure : La personne physique qui réalise cette démarche doit obligatoirement être expressément mandatée (pouvoir formalisé signé par le représentant légal) pour engager juridiquement votre structure auprès de l'État.
2. Durcissement des accès et gouvernance
La direction générale est directement responsable de la conformité. Vous devez impérativement déployer : isolation des environnements dédiés à l'État, authentification multifacteur (MFA) stricte pour vos administrateurs, chiffrement de bout en bout des données sensibles.
3. Notification d'incident ultra-rapide
Si votre propre infrastructure est compromise, ou si vous détectez un comportement suspect sur les accès menant à vos clients publics, vous devez alerter l'ANSSI immédiatement — délai maximal de 24 heures.
Régime de contrôle et sanctions
Contrôles « A Priori »
L'ANSSI peut exiger des audits de sécurité de vos systèmes ou mandater un prestataire qualifié (PASSI) pour vérifier vos défenses à tout moment, sans qu'un incident n'ait eu lieu.
Sanctions administratives et financières
Les manquements à la sécurisation de vos accès ou le silence après un incident grave vous exposent à des amendes administratives allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total (alignement sur le barème des Entités Essentielles).