Le piège classique
Le considérant 11 crée une zone grise redoutable : les prestataires de services de confiance (signature électronique qualifiée, horodatage, cachet, certificats SSL/TLS qualifiés eIDAS) basculent intégralement sous NIS 2, même s'ils exercaient déjà sous eIDAS. L'ILR sanctionné en pratique les trust service providers qui croient encore relever uniquement du règlement 910/2014 et qui n'ont pas mis a niveau leur gouvernance cybersécurité (analyse de risque NIS 2, notification d'incident sous 24h, mesures techniques de l'article 21). A l'inverse, certaines entités etendent abusivement l'exclusion des systèmes fermes a des services commerciaux ouverts au public, ce qui est requalifie en manquement.
Le test du système ferme : ne vous trompez pas de qualification
Le considérant 11 exclut uniquement les services de confiance utilises exclusivement dans des systèmes fermes resultant du droit national ou d'accords entre un ensemble defini de participants. Le test est cumulatif et restrictif :
- L'usage doit être exclusif au cercle ferme : un seul usage externe casse l'exclusion.
- Le périmètre des participants doit être defini contractuellement ou par texte (consortium bancaire interne, réseau ministeriel, plateforme interbancaire dédiée).
- L'accord doit preexister a la fourniture du service, pas être reconstruit a posteriori.
- Toute extension a un tiers (nouvelle filiale, partenaire ad hoc, sous-traitant) doit déclencher une re-qualification immediate.
Pour les activités de sécurité nationale, défense ou application de la loi, l'exclusion ne couvre que la dimension regalienne ; des qu'une entité mixte fournit en parallèle des services de confiance commerciaux, ces services tombent dans NIS 2 sans exception.
Comment Luxgap automatise ce risque
Notre Luxgap Trust Scope Classifier élimine l'ambiguite de qualification entre eIDAS pur, NIS 2 et exclusion système ferme en produisant une qualification opposable a l'ILR. L'outil cartographie l'ensemble de vos services de confiance (PKI interne, certificats qualifiés, horodatage, signature, cachet) en se connectant a votre annuaire Active Directory, vos consoles HSM (Thales, Utimaco), vos AC publiques (LuxTrust, Sectigo, DigiCert) et vos contrats Odoo / DocuWare pour identifier chaque flux d'usage réel.
- Détecte automatiquement chaque service de confiance emis ou consomme et le rattache a une base juridique (eIDAS qualifié, eIDAS non qualifié, exclusion système ferme NIS 2).
- Applique le test cumulatif du considérant 11 : vérifié l'exclusivite d'usage, l'existence d'un accord préalable et la stabilite du cercle des participants.
- Alerte en temps réel via Teams ou Slack des qu'un nouveau participant rejoint un système ferme, declenchant la re-qualification NIS 2 du service concerne.
- Génère les déclarations d'enregistrement auprès de l'ILR avec le bon périmètre (entité essentielle NIS 2 + prestataire de services de confiance qualifié eIDAS).
- Produit un rapport PDF horodate, cryptographiquement scelle, opposable lors d'une inspection ILR ou d'un audit de conformité eIDAS.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur vos services de confiance réels, avec un audit blanc gratuit sous 48h pour qualifier votre exposition NIS 2 avant tout engagement.