Statut de NIS 2 en Croatie
Ce que la directive exige, comment la Croatie la transpose, et où se situent la SOA, le NCSC-HR et CERT.hr dans le tableau.
Vue d'ensemble
La directive NIS 2 est la couche de l'UE. Elle lie chaque État membre, Croatie comprise, à un niveau minimal unique pour les entités essentielles et importantes. La Croatie doit inscrire ce niveau dans le droit croate et exercer une supervision au titre de celui-ci.
La Croatie transpose NIS 2 par la loi sur la cybersécurité (Zakon o kibernetičkoj sigurnosti, NN 14/2024), adoptée par le Parlement croate en janvier 2024 et en vigueur depuis le 15 février 2024. Le règlement d'exécution détaillé (Uredba o kibernetičkoj sigurnosti, NN 135/2024) a suivi en novembre 2024. La Croatie a été l'un des rares États membres à respecter l'échéance de transposition du 17 octobre 2024 bien à l'avance.
La supervision est répartie. L'Agence de sécurité et de renseignement (SOA, Sigurnosno-obavještajna agencija) héberge le Centre national de cybersécurité (NCSC-HR) et est l'autorité compétente centrale pour la plupart des secteurs. Le Bureau du Conseil national de sécurité (UVNS) agit comme point de contact unique vis-à-vis de l'UE. CERT.hr, exploité au sein de CARNet, est le CSIRT national opérationnel et exploite la plateforme de notification des incidents PiXi.
Directive de l'UE
Directive (UE) 2022/2555 (NIS 2)
La directive de cybersécurité à l'échelle de l'UE. Elle fixe les obligations que chaque État membre doit transposer, y compris le test de taille et de secteur pour les entités essentielles et importantes.
Acte d'exécution de l'UE
Règlement d'exécution (UE) 2024/2690
Mesures techniques et méthodologiques pour les fournisseurs d'infrastructures numériques. Directement applicable en Croatie, sans transposition nationale.
Transposition croate
Zakon o kibernetičkoj sigurnosti, NN 14/2024 (en vigueur le 15 février 2024)
La transposition croate de NIS 2. Le règlement d'exécution Uredba o kibernetičkoj sigurnosti (NN 135/2024) ajoute le détail opérationnel, y compris les modalités de supervision et les obligations d'auto-évaluation pour les entités.
Loi sur la cybersécurité NN 14/2024
Inscrit les obligations de NIS 2 dans le droit croate. Définit les entités essentielles et importantes, les pouvoirs de supervision, les obligations de notification des incidents et les sanctions. Le règlement d'accompagnement NN 135/2024 précise les mesures de cybersécurité et la supervision avec un détail opérationnel plus poussé que la directive elle-même.
SOA, NCSC-HR et UVNS
L'Agence de sécurité et de renseignement (SOA) héberge le Centre national de cybersécurité (NCSC-HR), qui agit comme autorité compétente centrale pour la plupart des secteurs. Le Bureau du Conseil national de sécurité (UVNS) est le point de contact unique de l'UE. Les régulateurs sectoriels conservent leur rôle là où la lex specialis s'applique, par exemple dans le secteur financier au titre de DORA.
Enregistrement et notification
La Croatie a respecté l'échéance de transposition du 17 octobre 2024 bien à l'avance. Les entités essentielles et importantes s'auto-identifient et s'enregistrent via les canaux prévus par NN 14/2024 et NN 135/2024. Les incidents significatifs suivent la temporalité de la directive : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans un délai d'un mois. La notification passe par la plateforme PiXi exploitée par CARNet, à laquelle on accède via e-Ovlaštenja.
L'activité croate suit le droit croate
L'activité sur le territoire croate suit la transposition croate. Un directeur général allemand ayant une filiale croate lit NN 14/2024 pour cette filiale, et non le BSIG. Les obligations de la directive sont identiques. La procédure, le portail et les sanctions résident dans le droit croate.
La Croatie ne doit pas descendre sous le niveau de l'UE
La directive est une harmonisation minimale. La Croatie peut aller plus loin, et sur des points comme le régime d'auto-évaluation, l'a sans doute fait. La Croatie ne peut pas descendre sous la directive, ni pour les obligations des entités essentielles et importantes, ni pour les délais de notification, ni pour la responsabilité de l'organe de direction.
SOA / NCSC-HR
L'Agence de sécurité et de renseignement (SOA) héberge le Centre national de cybersécurité (NCSC-HR), l'autorité compétente centrale pour la supervision de la cybersécurité au titre de NN 14/2024. Le NCSC-HR coordonne l'action de supervision et publie des orientations. L'UVNS se tient à ses côtés comme point de contact unique de l'UE.
CERT.hr (CARNet)
Le CSIRT national, exploité au sein de CARNet (Réseau académique et de recherche croate). Exploite la plateforme de notification PiXi que les entités essentielles et importantes utilisent pour la notification obligatoire des incidents. Traite directement les secteurs de la banque, des infrastructures du marché financier, des infrastructures numériques, de la recherche et de l'éducation. Les autres secteurs passent par leurs autorités de supervision respectives.
ENISA
L'agence de cybersécurité de l'UE. Publie des orientations, exploite la base de données européenne des vulnérabilités et coordonne au niveau transfrontalier. N'est pas un régulateur pour les entités croates. Ce rôle revient à la SOA / au NCSC-HR.
La Croatie n'est qu'une copie traduite du BSIG allemand.
Les deux transposent la même directive, mais la procédure diffère. La Croatie achemine la supervision via la SOA / le NCSC-HR, et non une agence civile comparable au BSI. La notification passe par la plateforme PiXi et e-Ovlaštenja, et non par le portail du BSI. La loi croate formalise également un régime d'auto-évaluation que le projet allemand ne reflète pas. Le niveau de la directive est identique, la couche opérationnelle ne l'est pas.
La Croatie a manqué l'échéance et n'a pas de canal d'enregistrement opérationnel.
La Croatie a adopté NN 14/2024 en janvier 2024 et l'a mise en vigueur le 15 février 2024, bien avant l'échéance de l'UE du 17 octobre 2024. Le règlement d'exécution NN 135/2024 a suivi en novembre 2024. Les entités essentielles et importantes s'auto-identifient et s'enregistrent au titre de la loi, et notifient via la plateforme PiXi grâce à e-Ovlaštenja. Un groupe étranger bloqué sur l'absence d'un processus croate lit des informations périmées.
Seuls les secteurs de l'Annexe I sont dans le périmètre.
Le test de taille et de secteur de la directive s'applique, mais la loi et le règlement atteignent aussi les entités importantes des secteurs de l'Annexe II et certaines entités indépendamment de leur taille, comme l'administration publique et certains fournisseurs numériques. L'applicabilité doit être vérifiée entité par entité, au regard du texte croate et de la directive, et non d'une liste sectorielle unique.
La plupart des opérateurs croates que nous rencontrons lisent encore NIS 2 comme une continuation de l'ancien cadre des infrastructures critiques. Ce n'est qu'en partie vrai. La supervision passe désormais par la SOA / le NCSC-HR avec l'UVNS comme contact de l'UE, le périmètre est plus large que sous l'ancien régime, et l'organe de direction porte une responsabilité personnelle pour l'approbation de la gestion des risques et l'accomplissement de sa propre formation.
La démarche pratique est la même que partout dans l'UE : vérifier l'applicabilité au regard de la directive, s'enregistrer via les canaux prévus par NN 14/2024 et NN 135/2024, mettre en place les quatre obligations continues (tenir à jour les données d'enregistrement, notification des incidents, risque de la chaîne d'approvisionnement, supervision par l'organe de direction) et documenter le minimum. La plateforme PiXi et e-Ovlaštenja sont l'interface opérationnelle, et non l'obligation elle-même.
Nous construisons le registre des obligations NIS 2 sur la couche de l'UE, et non sur une transposition nationale unique. La même liste de contrôle convient à une filiale croate au titre de NN 14/2024, à une société mère allemande au titre du BSIG et à une société sœur française au titre de l'Ordonnance n° 2024-1093. Les références d'articles se décalent selon le pays, les obligations sous-jacentes, non.
Pour le périmètre croate, vous commencez par le test d'applicabilité, puis la cadence de notification des incidents, les clauses de chaîne d'approvisionnement et la validation de l'organe de direction. Là où la SOA / le NCSC-HR ou CERT.hr publie des orientations sectorielles, nous les relions. Nous ne les copions pas.
- Directive (UE) 2022/2555 (NIS 2): EUR-Lex
- Règlement d'exécution (UE) 2024/2690
- Zakon o kibernetičkoj sigurnosti, NN 14/2024: Narodne novine
- Uredba o kibernetičkoj sigurnosti, NN 135/2024: Narodne novine
- SOA: Sigurnosno-obavještajna agencija, site officiel
- NCSC-HR: Centre national de cybersécurité, hébergé par la SOA
- UVNS: Bureau du Conseil national de sécurité, point de contact unique de l'UE
- CERT.hr: exploité au sein de CARNet, CSIRT national
- PiXi: plateforme croate de notification des incidents NIS 2 (CARNet)