L’auto-enregistrement auprès de l’ILR, étape par étape

Une démarche à l’initiative de l’entité

Les entités essentielles et importantes, ainsi que les entités qui fournissent des services d’enregistrement de noms de domaine, doivent communiquer un ensemble d’informations à l’autorité compétente (art. 11, par. 3 et 4). L’autorité met en place un mécanisme national d’auto-enregistrement et confirme la désignation de l’entité (art. 11, par. 5).

Autrement dit, personne ne vous écrira pour vous inviter à vous enregistrer. C’est à la direction de vérifier si l’entité entre dans le champ, puis d’agir. Le dossier champ d’application détaille les critères.

Le délai et la situation actuelle

L’article 11, paragraphe 4, accorde deux mois à compter de l’entrée en vigueur de la loi. La loi étant en vigueur depuis le 10 mai 2026, la date limite était le 10 juillet 2026. Les enregistrements effectués avant l’entrée en vigueur restent valables.

Une entité qui a manqué ce délai ne doit pas attendre un contrôle. L’absence d’enregistrement est l’un des manquements que l’article 25, paragraphe 1er, permet de sanctionner par un avertissement, un blâme ou une amende pouvant atteindre 250 000 €. Plus l’entité régularise tôt, plus sa position est défendable.

Les listes d’entités tenues par l’autorité sont réexaminées au moins tous les deux ans (art. 11, par. 3). Il est donc utile de revoir aussi votre propre analyse à ce rythme, en particulier après une acquisition ou le lancement d’une nouvelle activité.

Les informations demandées

L’article 11, paragraphe 4, liste le contenu de l’enregistrement :

• le nom de l’entité ;
• son adresse et des coordonnées à jour, y compris adresses électroniques, plages d’adresses IP et numéros de téléphone ;
• le secteur et, le cas échéant, le sous-secteur des annexes ;
• les États membres dans lesquels l’entité exerce son activité ;
• la taille de l’entité ou du groupe.

Prévoyez une adresse e-mail fonctionnelle plutôt que nominative, par exemple une boîte partagée de l’équipe sécurité. Elle survivra aux départs. Pour les plages IP, interrogez vos fournisseurs d’accès et d’hébergement : elles changent souvent lors d’une migration sans que la direction le sache.

Le formulaire sur le guichet ILR

L’enregistrement passe par le guichet en ligne de l’ILR, formulaire « Auto-enregistrement des entités importantes et essentielles ». Les explications de l’autorité se trouvent sur la page Self-registration du site de l’ILR.

Modifications et fournisseurs numériques

Toute modification des informations transmises doit être notifiée dans les deux semaines qui suivent (art. 11, par. 4). Un changement d’hébergeur, un nouveau responsable ou une ouverture de filiale dans un autre pays de l’Union déclenchent cette obligation.

Les fournisseurs numériques ont des obligations en plus. Fournisseurs DNS, registres de domaines, fournisseurs de cloud, centres de données, réseaux de diffusion de contenu, fournisseurs de services gérés et de sécurité gérée, places de marché, moteurs de recherche et réseaux sociaux communiquent des informations complémentaires destinées au registre de l’ENISA (art. 17). Leurs modifications se déclarent dans les trois mois. Le texte de l’article 17 mentionne une date limite du 17 janvier 2025, antérieure à l’entrée en vigueur ; la façon dont l’ILR traite ce décalage n’est pas précisée publiquement à ce jour.

Dans le NIS2-Scoring, la première question du domaine « Auto-enregistrement et notification » porte sur ce point. La notification d’incidents, qui passe par un autre canal, est traitée dans le dossier notification.