NIS2 : obligations, conformité et enjeux de la directive cybersécurité européenne

NIS2 est la directive européenne (UE) 2022/2555 qui impose à environ 15 000 organisations françaises, contre quelques centaines sous le régime précédent, un socle d’exigences de gestion du risque cyber, d’enregistrement auprès de l’autorité nationale et de notification des incidents, assorti de sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial. En France, sa transposition passe par la loi dite Résilience, qui désigne l’ANSSI comme autorité compétente. Cette page réunit le périmètre, les obligations concrètes, le calendrier et une feuille de route de mise en conformité, dans le prolongement de notre couverture de la cybersécurité en entreprise.

Qu’est-ce que la directive NIS2 ?

Définition. NIS2 est la directive (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d’information, adoptée en décembre 2022. Elle élargit considérablement le nombre d’entités soumises à des obligations de cybersécurité, harmonise les exigences entre États membres, engage la responsabilité des organes de direction et instaure un régime de sanctions administratives.

Ce que NIS2 change par rapport à NIS1

Le changement le plus structurant n’est pas technique. C’est le passage d’une logique de désignation à une logique d’auto-identification : il revient à l’organisation de déterminer si elle entre dans le périmètre, puis de s’enregistrer. L’ignorance du périmètre n’est pas un moyen de défense.

État du texte en France

La France n’a pas respecté l’échéance de transposition fixée au 17 octobre 2024 par la directive, ce qui lui a valu l’ouverture d’une procédure d’infraction par la Commission européenne fin novembre 2024. Le gouvernement a fait le choix d’un texte unique, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose simultanément trois textes européens : NIS2, la directive REC sur la résilience des entités critiques, et le volet directive associé au règlement DORA pour le secteur financier. Cette ambition explique en partie la longueur du parcours parlementaire.

Chronologie : présentation en Conseil des ministres le 15 octobre 2024, adoption au Sénat en première lecture le 12 mars 2025, examen en commission spéciale à l’Assemblée nationale le 10 septembre 2025, examen en séance publique en juillet 2026. Sur le volet technique, l’ANSSI a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui décline en objectifs de sécurité et en moyens acceptables de conformité les exigences attendues des entités régulées, avec un principe de proportionnalité selon le statut. Tant que la loi n’est pas promulguée, ce référentiel a valeur de recommandation.

Qui est concerné par NIS2 ?

Deux critères se combinent : le secteur d’activité et la taille de l’organisation.

Entités essentielles et entités importantes

La directive distingue deux catégories. Les entités essentielles relèvent des secteurs de haute criticité : énergie, transports, banque, infrastructures de marché financier, santé, eau potable et eaux usées, infrastructures numériques, gestion des services TIC, administration publique, espace. Les entités importantes relèvent d’autres secteurs critiques : services postaux, gestion des déchets, produits chimiques, denrées alimentaires, fabrication de dispositifs médicaux et de produits électroniques, fournisseurs numériques, recherche.

La différence porte moins sur les obligations, largement identiques, que sur le régime de supervision et le plafond des sanctions. Les entités essentielles font l’objet d’un contrôle a priori, les entités importantes d’un contrôle a posteriori déclenché par un incident ou un signalement.

Les seuils de taille

Le principe général retient les organisations d’au moins 50 salariés ou réalisant plus de 10 millions d’euros de chiffre d’affaires annuel. Des exceptions existent : certaines entités sont incluses indépendamment de leur taille en raison de leur rôle, notamment les fournisseurs de services de confiance et certains opérateurs d’infrastructures numériques.

Les fournisseurs et sous-traitants

Une organisation hors périmètre n’est pas hors sujet. NIS2 impose aux entités régulées de traiter la sécurité de leur chaîne d’approvisionnement. Concrètement, les exigences se propagent par contrat : clauses de sécurité, obligations de notification, droit d’audit. Une PME prestataire d’un opérateur de santé sera soumise à ces exigences par voie contractuelle, sans être elle-même dans le périmètre réglementaire.

Le point de contrôle à date : l’ANSSI opère la plateforme MonEspaceNIS2, qui permet aux organisations de s’auto-évaluer et de préparer leur enregistrement.

Quelles obligations impose NIS2 ?

L’article 21 de la directive fixe un socle de mesures de gestion des risques. Traduites en projets :

• Analyse de risque et politique de sécurité. Une analyse formalisée, méthode EBIOS Risk Manager ou équivalente, et une PSSI approuvée par la direction.
• Gestion des incidents. Procédures de détection, de qualification et de traitement, avec chaîne d’alerte définie.
• Continuité d’activité. Plan de continuité, plan de reprise, gestion des sauvegardes et gestion de crise. La capacité de restauration doit être testée, pas seulement documentée. Voir notre section sauvegarde, PRA et PCA.
• Sécurité de la chaîne d’approvisionnement. Évaluation des fournisseurs, exigences contractuelles, suivi.
• Sécurité de l’acquisition et du développement. Gestion des vulnérabilités, divulgation coordonnée, sécurité du cycle de développement.
• Évaluation de l’efficacité. Indicateurs, audits, tests. Les tests d’intrusion constituent l’un des moyens de preuve attendus.
• Hygiène et formation. Sensibilisation des utilisateurs et formation spécifique des dirigeants.
• Cryptographie et protection des données. Politique de chiffrement documentée.
• Sécurité des ressources humaines et contrôle d’accès. Gestion des habilitations, moindre privilège, comptes à privilèges. Voir gestion des identités et des accès.
• Authentification multifacteur et communications sécurisées. Explicitement mentionnées dans le texte.

La notification des incidents

Le régime est en trois temps, et c’est la contrainte la plus opérationnelle :

Ces délais courent à compter de la connaissance de l’incident. Ils se cumulent, pour un incident touchant des données personnelles, avec la notification à la CNIL sous 72 heures au titre de l’article 33 du RGPD, et avec le dépôt de plainte sous 72 heures conditionnant l’indemnisation assurantielle des pertes d’exploitation. Trois compteurs, trois destinataires, un seul point de départ. Ce séquencement doit figurer dans le plan de crise, pas être reconstitué le jour de l’incident. Notre section ransomware détaille la conduite à tenir dans les 48 premières heures.

La responsabilité des dirigeants

C’est le point qui déplace le sujet du bureau du RSSI vers celui du comité de direction. NIS2 impose aux organes de direction d’approuver les mesures de gestion des risques, d’en superviser la mise en œuvre, et de suivre une formation en cybersécurité. En cas de manquement, leur responsabilité peut être engagée. La directive prévoit également la possibilité, pour l’autorité compétente, d’interdire temporairement l’exercice de fonctions dirigeantes en cas de manquement répété au sein d’une entité essentielle.

Cette disposition change la nature de l’arbitrage budgétaire. Le RSSI ne demande plus un financement pour réduire un risque technique : il documente un risque personnel pour les mandataires sociaux.

Sanctions

Au-delà des amendes, l’autorité dispose de pouvoirs d’injonction, d’ordre de mise en conformité, de publicité des manquements, et de suspension temporaire de certification ou d’autorisation.

Feuille de route de mise en conformité

1. Déterminer son statut. Secteur, taille, rôle dans une chaîne critique. Documenter la conclusion, y compris si elle est négative : c’est une pièce du dossier.

2. Réaliser un diagnostic d’écart. Confronter l’existant aux objectifs du ReCyF, avec un niveau de granularité qui permette de chiffrer les chantiers.

3. Formaliser la gouvernance. Désigner un responsable, inscrire le sujet à l’ordre du jour du comité de direction, définir les indicateurs de suivi.

4. Traiter les écarts prioritaires. Dans l’ordre de fréquence constaté : authentification multifacteur incomplète, sauvegardes non testées, absence de procédure de notification, gestion des vulnérabilités non pilotée, comptes à privilèges non encadrés.

5. Instrumenter la détection. EDR sur l’ensemble du parc, journalisation centralisée, capacité de qualification en continu.

6. Sécuriser la chaîne d’approvisionnement. Cartographie des fournisseurs critiques, clauses contractuelles, plan d’évaluation.

7. Maintenir la conformité. Revue annuelle, tests réguliers, exercices de crise impliquant la direction, mise à jour de la documentation.

Le calendrier utile : la fenêtre de préparation qui reste ouverte pendant l’attente de la promulgation et des décrets est du temps gagné, pas du temps de répit. Les organisations qui attendent une date certaine pour démarrer se retrouveront à conduire en quelques mois un programme qui en demande douze à vingt-quatre.

NIS2, DORA et RGPD : trois régimes qui se cumulent

Une même organisation peut relever simultanément des trois textes, avec trois autorités, trois périmètres et trois calendriers de notification. Les confondre conduit à manquer un délai.

DORA, pour le secteur financier

Le règlement DORA, Digital Operational Resilience Act, encadre la résilience opérationnelle numérique des entités financières : banques, assureurs, sociétés de gestion, établissements de paiement, ainsi que leurs prestataires informatiques critiques. Il porte sur cinq piliers : la gestion du risque lié aux technologies, la notification des incidents majeurs, les tests de résilience, la gestion du risque lié aux prestataires tiers, et le partage d’informations sur les cybermenaces.

Deux points le distinguent de NIS2. Il s’agit d’un règlement, donc d’application directe sans transposition nationale. Et il place la maîtrise du risque fournisseur au premier plan, avec des exigences contractuelles précises et un registre des prestations à tenir.

L’articulation avec NIS2 : une entité financière relevant de DORA applique ce régime pour ce qu’il couvre, DORA primant sur NIS2 en tant que texte sectoriel spécifique. En France, les deux transpositions ont été portées par le même véhicule législatif, la loi Résilience, ce qui explique la longueur de son parcours parlementaire.

RGPD, un régime distinct qui se superpose

Le RGPD ne traite pas la sécurité en tant que telle mais la protection des données personnelles, dont la sécurité constitue l’une des exigences, au titre de l’article 32. Il conserve son propre régulateur, la CNIL, son propre seuil de déclenchement, la violation de données à caractère personnel, et son propre délai de 72 heures au titre de l’article 33.

La conséquence opérationnelle est le cumul. Un rançongiciel avec exfiltration dans une banque déclenche trois compteurs simultanés à partir d’un seul événement : l’alerte précoce sous 24 heures au titre de NIS2 ou de DORA selon le régime applicable, la notification à la CNIL sous 72 heures, et le dépôt de plainte sous 72 heures pour ouvrir l’indemnisation assurantielle. Ces trois échéances doivent figurer nommément dans le plan de crise, avec le destinataire et le porteur de l’action pour chacune.

ISO 27001 et Zero Trust comme accélérateurs

Une organisation certifiée ISO 27001 dispose déjà d’une part substantielle du dispositif : analyse de risque, politique de sécurité, gestion des incidents, continuité. La certification n’est exigée par aucun de ces textes et ne vaut pas conformité, mais elle réduit fortement l’effort. Les écarts résiduels portent le plus souvent sur la gouvernance au niveau direction, les délais de notification et la chaîne d’approvisionnement. Voir notre section gouvernance cyber et rôle du RSSI.

Le modèle Zero Trust répond directement à plusieurs exigences sur le contrôle d’accès et la limitation des mouvements latéraux, et la gestion des vulnérabilités figure explicitement parmi les mesures attendues.

Explorer le cluster Cybersécurité

Cette page fait partie de notre couverture de la cybersécurité en entreprise : menaces, architectures de défense, conformité et gestion de crise.

iTPro+ : recevez chaque semaine l’analyse des menaces et les décisions d’architecture qui comptent pour les équipes IT.