NIS2
La directive européenne qui redéfinit vos obligations de cybersécurité
NIS2 étend considérablement le nombre d'entreprises soumises à des obligations de cybersécurité renforcées, sous peine de sanctions financières et de mise en cause personnelle des dirigeants. Secteurs concernés, seuils, obligations, délais, sanctions : voici tout ce qu'il faut savoir, et où en est la France.
Une directive européenne, une transposition française
NIS2 (Network and Information Security Directive 2) est le texte européen qui remplace et élargit largement la première directive NIS de 2016.
Publiée en décembre 2022, elle vise à harmoniser et renforcer le niveau de cybersécurité dans l'Union européenne face à l'intensification des cybermenaces. Sa transposition en droit français passe par la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dite « loi Résilience », qui désigne l'ANSSI comme autorité nationale de régulation.
La France, comme la majorité des États membres, n'a pas respecté l'échéance de transposition du 17 octobre 2024 fixée par la directive : à ce jour, la loi Résilience est toujours en cours d'examen parlementaire et n'est pas promulguée. Anticiper, c'est être prêt le jour où elle le sera — et répondre dès aujourd'hui aux exigences de vos clients.
18 secteurs, environ 15 000 entités en France
NIS2 élargit considérablement le champ d'application de la précédente directive (environ 500 opérateurs de services essentiels sous NIS1). Deux critères déterminent si vous êtes concerné : votre secteur d'activité, et la taille de votre entreprise.
Secteurs
Répartis en deux annexes, de l'énergie à la recherche.
Entités visées en France
Contre environ 500 sous l'ancienne directive NIS1.
Seuil entité essentielle
Salariés ou chiffre d'affaires, en secteur Annexe I.
Seuil entité importante
Salariés ou chiffre d'affaires, en Annexe I ou II.
Secteurs hautement critiques (11)
- Énergie
- Transports
- Secteur bancaire
- Infrastructures des marchés financiers
- Santé
- Eau potable
- Eaux usées
- Infrastructures numériques
- Gestion des services TIC (B2B)
- Administration publique
- Espace
Autres secteurs critiques (7)
- Services postaux et d'expédition
- Gestion des déchets
- Fabrication et distribution de produits chimiques
- Production et distribution alimentaire
- Fabrication (dispositifs médicaux, électronique, machines, véhicules)
- Fournisseurs numériques (marketplaces, moteurs de recherche, réseaux sociaux)
- Organismes de recherche
Vos fournisseurs sont concernés aussi
Même une entreprise hors périmètre peut se retrouver contrainte par NIS2, dès lors qu'elle travaille avec une entité essentielle ou importante.
Parmi les 10 mesures de gestion des risques imposées par NIS2 figure la sécurité de la chaîne d'approvisionnement : chaque entité essentielle ou importante doit évaluer et encadrer la sécurité de ses fournisseurs, sous-traitants et prestataires. En pratique, vos donneurs d'ordre peuvent donc vous imposer contractuellement des garanties de sécurité équivalentes à celles de NIS2, même si vous n'êtes vous-même ni entité essentielle ni entité importante.
C'est déjà le cas : de nombreux appels d'offres et contrats-cadres intègrent désormais des clauses de sécurité inspirées du ReCyF, sans attendre la promulgation de la loi française. Si l'un de vos clients est une entité essentielle ou importante, sa propre conformité dépend en partie de la vôtre.
Entité essentielle ou entité importante ?
Le régime de contrôle et le barème des sanctions diffèrent selon votre catégorie.
Entité essentielle (EE)
- Grande entreprise : 250+ salariés ou CA > 50 M€
- Certains acteurs critiques quelle que soit leur taille (télécom qualifiés, DNS/TLD, prestataires de confiance...)
- L'ANSSI peut auditer sans préavis
- Jusqu'à 10 M€ ou 2 % du CA mondial
Entité importante (EI)
- Moyenne entreprise : 50 à 249 salariés ou CA 10 à 50 M€
- Toute entreprise moyenne ou grande en Annexe II
- Contrôle déclenché après incident ou signalement
- Jusqu'à 7 M€ ou 1,4 % du CA mondial
Dans les deux cas, les organes de direction doivent approuver les mesures de gestion des risques cyber, suivre une formation dédiée, et peuvent voir leur responsabilité personnelle engagée en cas de manquement grave.
10 mesures de gestion des risques cyber
NIS2 impose un socle de mesures techniques et organisationnelles, proportionné à votre taille et à votre exposition au risque.
1. Analyse des risques
Cartographier vos risques et formaliser une politique de sécurité des systèmes d'information.
2. Gestion des incidents
Détecter, qualifier et traiter les incidents de sécurité selon une procédure définie.
3. Continuité d'activité
Sauvegardes, plan de reprise d'activité et gestion de crise en cas d'incident majeur.
4. Sécurité de la chaîne d'approvisionnement
Évaluer et encadrer la sécurité de vos fournisseurs et prestataires.
5. Acquisition, développement et maintenance
Sécurité des systèmes, gestion des vulnérabilités et divulgation responsable.
6. Évaluation de l'efficacité
Mesurer régulièrement l'efficacité de vos dispositifs de gestion des risques.
7. Hygiène informatique et formation
Sensibiliser et former vos équipes aux bonnes pratiques de cybersécurité.
8. Cryptographie et chiffrement
Politiques d'usage de la cryptographie pour protéger vos données sensibles.
9. Ressources humaines et contrôle d'accès
Gestion des accès, des actifs informatiques et des habilitations.
10. Authentification et communications sécurisées
Authentification multifacteur, communications vocales, vidéo et texte protégées.
Trois délais à respecter en cas d'incident
Un incident important doit être signalé à l'ANSSI selon un calendrier strict.
Alerte précoce
Sous 24h après avoir eu connaissance d'un incident important, une notification succincte à l'ANSSI.
Notification d'incident
Sous 72h, une évaluation initiale incluant gravité, impact et indicateurs de compromission.
Rapport final
Sous 1 mois, un rapport détaillé incluant description, cause probable et mesures correctives.
Où en est la France ?
La loi Résilience, qui transpose NIS2, est en cours d'examen parlementaire : aucune sanction nationale n'est pour l'instant applicable. Mais le contenu des obligations est déjà fixé, et vos donneurs d'ordre ne l'attendent pas pour l'exiger.
Le 17 mars 2025, l'ANSSI a publié le ReCyF (Référentiel Cyber France), qui détaille les mesures de sécurité attendues pour répondre à NIS2. Un comparateur, disponible sur MonEspaceNIS2, permet de filtrer ces exigences par thématique ou par catégorie d'entité (essentielle/importante), et de les confronter à l'ISO 27001 ou à l'annexe du règlement d'exécution 2024/2690. Depuis le 8 janvier 2026, le réseau de CSIRT régionaux de l'ANSSI couvre l'ensemble du territoire pour accompagner les collectivités et les PME qui ne disposent pas de ressources cybersécurité internes.
Ce qu'on nous demande le plus
Mon entreprise n'est pas dans un secteur listé, suis-je concerné ?+
Pas directement par la directive NIS2 (ni entité essentielle, ni entité importante). Mais si vous êtes fournisseur, sous-traitant ou prestataire d'une entité concernée, elle peut vous imposer contractuellement des garanties de sécurité équivalentes au titre de la sécurité de sa chaîne d'approvisionnement.
Que risque mon entreprise en cas de non-conformité ?+
Des sanctions financières (jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 M€ ou 1,4 % pour une entité importante), mais aussi un risque de mise en cause personnelle des dirigeants et une perte de confiance de vos clients et partenaires.
La loi française est-elle déjà applicable ?+
À ce jour, la loi de transposition n'est pas encore promulguée : aucune sanction nationale n'est donc applicable dans l'immédiat. Mais le contenu des obligations est déjà connu via le ReCyF, et vos donneurs d'ordre les exigent déjà dans leurs contrats.
Par où commencer pour se mettre en conformité ?+
Un audit de cybersécurité permet d'évaluer votre écart avec les exigences du ReCyF, d'identifier vos priorités et de structurer un plan d'action réaliste, avant que la loi n'entre en vigueur.