Conformité NIS2 : comprendre la directive et piloter vos obligations

Qu’est-ce que la directive NIS 2 ?

Adoptée le 14 décembre 2022, la directive (UE) 2022/2555 remplace la directive NIS de 2016. Elle vise un niveau élevé et commun de cybersécurité dans l’Union, et corrige les limites de la première version : un périmètre trop étroit, des exigences hétérogènes d’un pays à l’autre et des sanctions peu dissuasives.

Les États membres devaient la transposer au plus tard le 17 octobre 2024. Elle élargit fortement le nombre d’organisations concernées, fixe une liste de mesures de sécurité minimales, encadre la notification des incidents et rend les organes de direction responsables de la cybersécurité.

Qui est concerné : entités essentielles et entités importantes

NIS 2 couvre 18 secteurs. Onze sont dits hautement critiques (annexe I) : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC entre entreprises, administration publique et espace. Sept autres sont dits critiques (annexe II) : services postaux, gestion des déchets, produits chimiques, alimentation, fabrication (dispositifs médicaux, électronique, machines, véhicules…), fournisseurs numériques et recherche.

En règle générale, la directive s’applique aux entreprises de taille moyenne ou plus de ces secteurs, c’est-à-dire comptant au moins 50 salariés, ou dépassant 10 M€ à la fois de chiffre d’affaires et de total de bilan. Certains acteurs sont visés quelle que soit leur taille, comme les fournisseurs de services DNS, les registres de noms de domaine ou les prestataires de services de confiance qualifiés.

Les entités essentielles sont, pour l’essentiel, les grandes entreprises des secteurs hautement critiques, auxquelles s’ajoutent des acteurs désignés. Les autres entités concernées sont importantes. La distinction change l’intensité de la supervision (contrôles a priori pour les premières, a posteriori pour les secondes) et le plafond des sanctions, pas la nature des mesures à mettre en œuvre.

Les dix mesures de l’article 21

L’article 21 impose des mesures techniques, opérationnelles et organisationnelles « appropriées et proportionnées », fondées sur une approche « tous risques ». Il en fixe le socle minimal :

• Analyse des risques et sécurité des SI

  Des politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information.

• Gestion des incidents

  Détection, traitement et retour d’expérience.

• Continuité et gestion de crise

  Sauvegardes, reprise après sinistre et gestion des crises.

• Chaîne d’approvisionnement

  La sécurité des relations avec les fournisseurs et prestataires directs.

• Acquisition, développement et maintenance

  Y compris le traitement et la divulgation des vulnérabilités.

• Évaluation de l’efficacité

  Des politiques et procédures pour mesurer l’efficacité des mesures de gestion des risques.

• Cyberhygiène et formation

  Les pratiques de base et la formation à la cybersécurité.

• Cryptographie

  Des politiques d’usage de la cryptographie et, le cas échéant, du chiffrement.

• RH, contrôle d’accès et actifs

  La sécurité des ressources humaines, les politiques d’accès et la gestion des actifs.

• MFA et communications sécurisées

  Authentification multifacteur ou continue, communications et systèmes d’urgence sécurisés.

Notification des incidents importants

L’article 23 organise la notification de tout incident ayant un impact important sur la fourniture des services. En France, elle s’adresse à l’ANSSI.

• Une alerte précoce dans les 24 heures suivant la prise de connaissance de l’incident.
• Une notification d’incident dans les 72 heures, avec une première évaluation de sa gravité et de son impact.
• Un rapport intermédiaire à la demande de l’autorité.
• Un rapport final au plus tard un mois après la notification.

Responsabilité des dirigeants et sanctions

L’article 20 confie aux organes de direction l’approbation des mesures de gestion des risques et la supervision de leur mise en œuvre. Leur responsabilité peut être engagée en cas de manquement, et ils doivent suivre une formation à la cybersécurité.

Les amendes administratives peuvent atteindre 10 M€ ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle, et 7 M€ ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu. Elles s’ajoutent aux injonctions et mesures de supervision de l’autorité.

Où en est la transposition en France ?

En France, NIS 2 est transposée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Adopté par le Sénat en mars 2025, le texte n’avait pas encore été examiné en séance par l’Assemblée nationale en octobre 2026. Les obligations nationales s’appliqueront après sa promulgation et la publication de ses décrets d’application.

Attendre n’est pas pour autant une stratégie : le fond des exigences est fixé par la directive, et les chantiers qu’elle ouvre — analyse de risques, sécurité des fournisseurs, continuité, gouvernance — demandent des mois. L’ANSSI met à disposition un service en ligne, MonEspaceNIS2, pour vérifier si une organisation est concernée et préparer son enregistrement.