La directive européenne NIS2 a été transposée en droit hongrois par la loi LXIX de 2024, en vigueur depuis le 1er janvier 2025. La réglementation concerne des milliers d'entreprises actives en Hongrie (y compris des fabricants et prestataires à capitaux étrangers), mais beaucoup ne s'en préoccupent que lorsqu'un client exige une conformité auditée, ou lorsque le courrier de l'autorité arrive.
Qui est concerné ?
La loi s'applique aux organisations des secteurs à risque et à haut risque : notamment l'énergie, les transports, la santé, l'infrastructure numérique, l'industrie et l'agroalimentaire. Important : les PME de plus de 50 salariés ou dépassant 10 millions d'euros de chiffre d'affaires sont elles aussi généralement concernées, pas seulement les grandes entreprises.
Votre entreprise peut être concernée même en tant que « simple » fournisseur : NIS2 exige explicitement la gestion des risques cyber de la chaîne d'approvisionnement, et les donneurs d'ordre font de plus en plus de la conformité auditée une condition contractuelle.
Les principales obligations
- Enregistrement auprès de l'autorité de contrôle et nomination d'un responsable de la sécurité de l'information
- Classification de sécurité et mise en œuvre des mesures de protection correspondantes
- Contrat avec un auditeur dans les 120 jours suivant l'enregistrement
- Audit de cybersécurité obligatoire, renouvelé tous les deux ans
- Déclaration des incidents dans les délais légaux : l'alerte précoce sous 24 heures est obligatoire
- Gestion et documentation des risques cyber de la chaîne d'approvisionnement
La première échéance d'audit est déjà passée
Les organisations concernées ayant démarré leur activité avant le 1er janvier 2025 devaient clôturer leur premier audit de cybersécurité au plus tard le 30 juin 2026. Selon l'autorité SZTFH, la majorité des plus de 2 500 organisations concernées s'est mise en conformité. Les retardataires s'exposent en revanche à un avertissement, puis à une amende. Pour ceux qui ont manqué l'échéance, l'objectif est désormais de régulariser au plus vite : un contrat d'auditeur signé et une préparation engagée avant le contrôle de l'autorité réduisent sensiblement le risque de sanction.
Quel est l'enjeu ?
Selon les règles hongroises, l'amende pour manquement (qu'il s'agisse de l'absence d'enregistrement ou d'audit) peut atteindre 2 % du chiffre d'affaires net de l'exercice précédent, plafonnée à 150 millions de forints (environ 380 000 euros). Et, surprise pour beaucoup : la responsabilité est aussi personnelle : un dirigeant peut être écarté de la direction pour une durée pouvant aller jusqu'à 5 ans en cas de manquements répétés.
Les six étapes de la préparation
- Applicabilité et identification des SIE : le secteur et la taille déterminent rapidement si la loi vous concerne, et quels systèmes d'information électroniques entrent dans son champ.
- Analyse d'écarts (GAP) : où en est l'organisation par rapport aux exigences de sa classe de sécurité, et quel est l'écart ?
- Mesures de protection et politiques : mise en place des contrôles selon un plan d'action cadencé, avec politique de sécurité, plan de réponse aux incidents et gestion des risques fournisseurs.
- Sensibilisation à la sécurité : une grande partie des exigences repose sur les personnes ; la formation doit aussi être documentée.
- Pré-audit : la répétition générale du véritable audit, avec les mêmes questions, mais sans conséquences, pour que l'audit réel ne réserve aucune surprise.
- Audit : avec un auditeur enregistré, renouvelé tous les deux ans.
L'évaluation rapide de Zenit donne en quelques jours une image complète de votre préparation, et nos experts certifiés NIS2 vous accompagnent dans toute la démarche, de la classification à l'accompagnement de votre enregistrement. Nos références incluent des infrastructures critiques : nous avons mené la préparation et des audits NIS2 dans des centrales électriques hongroises.
Nous le clarifions lors d'une courte consultation, gratuite et sans engagement.
Demander une évaluation