La directive NIS 2 est entrée dans le droit européen en décembre 2022. Pourtant, des milliers d’organisations françaises n’ont toujours pas mesuré ce qu’elle implique pour elles. Entre la transposition nationale en cours et les sanctions qui peuvent atteindre 2 % du chiffre d’affaires mondial, le temps de la découverte progressive est terminé. Voici comment identifier votre situation, comprendre vos obligations et structurer une démarche de conformité NIS 2 efficace.
Ce qu’il faut retenir sur la directive Nis 2
- La directive NIS 2 concerne entre 10 000 et 15 000 organisations françaises, contre 1 500 sous NIS1, soit un périmètre multiplié par 10.
- Deux catégories d’entités : les entités essentielles (EE) et les entités importantes (EI), avec des seuils de taille et des sanctions différenciés.
- Trois obligations principales : s’enregistrer auprès de l’ANSSI, mettre en place une gestion des risques cyber, déclarer les incidents de sécurité.
- Les sanctions vont jusqu’à 2 % du chiffre d’affaires mondial pour les entités essentielles, 1,4 % pour les entités importantes.
- L’ANSSI propose des outils gratuits (MonEspaceNIS 2, ReCyF) pour amorcer la démarche sans attendre.
Ce que la directive NIS 2 change vraiment
La directive NIS 2 n’est pas une simple mise à jour de son prédécesseur. Elle représente une rupture de méthode et d’échelle dans la réglementation cyber européenne.
Les évolutions majeures entre NIS et NIS 2
NIS1 ciblait environ 1 500 organisations en France, principalement de grands opérateurs dans des secteurs jugés stratégiques. NIS 2 multiplie ce périmètre par dix. Trois changements structurent cette transformation.
Le premier tient à l’élargissement massif du champ d’application : les PME de secteurs critiques entrent désormais dans le périmètre, là où seuls les grands groupes étaient concernés. Le deuxième est la responsabilité personnelle des dirigeants, qui deviennent directement imputables du respect des obligations de sécurisation des systèmes d’information. Le troisième concerne le durcissement des sanctions financières, désormais proportionnées au chiffre d’affaires mondial et non plus à des montants forfaitaires.
Les 18 secteurs d’activités concernés
NIS 2 couvre 18 secteurs répartis en deux groupes. Les secteurs hautement critiques comprennent l’énergie, les transports, la santé, le secteur bancaire, les infrastructures des marchés financiers, les infrastructures numériques, la gestion des services TIC interentreprises, les administrations publiques, l’espace, les eaux potables et les eaux non potables. Les autres secteurs critiques incluent les services postaux, la gestion des déchets, la chimie, l’alimentation, les industries manufacturières, la recherche et les fournisseurs numériques.
Certaines catégories sont concernées quelle que soit leur taille : opérateurs DNS, fournisseurs de services de confiance, registres de noms de domaine de premier niveau et administrations publiques. Pour les autres, des seuils de taille s’appliquent.
Les délais de conformité à retenir
La directive a été adoptée en décembre 2022 au Journal Officiel de l’Union européenne. En France, le projet de loi Résilience a été présenté au Conseil des ministres en octobre 2024. La transposition nationale est en cours, avec une application progressive attendue jusqu’en 2028. L’ANSSI prévoit la mise à disposition du Référentiel Cyber France (ReCyF) dans le cadre de la transposition de la directive, document qui liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS 2.
Attendre la publication définitive des textes pour commencer n’est pas une stratégie viable. Les entités qui s’engagent maintenant dans une démarche cohérente avec NIS 2 disposent d’un avantage opérationnel réel au moment des contrôles.
Qui est réellement concerné par NIS 2 en France ?
La question revient systématiquement dans les organisations : sommes-nous dans le périmètre ? La réponse dépend de deux paramètres combinés : le secteur d’activité et la taille de l’entité.
Entités essentielles (EE) et entités importantes (EI) : les différences
Les entités essentielles sont les organisations de grande taille dans les secteurs hautement critiques. Elles sont soumises aux exigences les plus strictes et aux sanctions les plus élevées. Les entités importantes couvrent les organisations de taille intermédiaire dans les secteurs critiques ou hautement critiques : elles appliquent les mêmes obligations de fond, mais bénéficient d’une supervision différenciée et de sanctions plafonnées à 1,4 % du chiffre d’affaires mondial.
La gouvernance diffère aussi : pour les entités essentielles, la désignation d’au moins une personne conseillant le dirigeant et servant de point de contact ANSSI est explicitement requise par le référentiel.
Comment vérifier si votre organisation est assujettie ?
L’ANSSI propose le simulateur MonEspaceNIS 2, accessible en ligne via sa plateforme dédiée, pour effectuer un premier diagnostic. Ce simulateur est indicatif : une analyse juridique complémentaire reste recommandée avant toute décision. L’outil permet néanmoins d’identifier rapidement si votre secteur et votre taille vous placent dans le périmètre NIS 2.
Les critères de taille et de criticité applicables
Pour les entités essentielles, les seuils sont : au moins 250 personnes, ou un chiffre d’affaires annuel supérieur à 50 millions d’euros ET un bilan annuel supérieur à 43 millions d’euros. Pour les entités importantes, les seuils descendent à 50 personnes minimum, ou un chiffre d’affaires annuel et un bilan annuel tous deux supérieurs à 10 millions d’euros.
Ces seuils ne s’appliquent pas à toutes les catégories. Les opérateurs DNS, les fournisseurs de services de confiance et certaines administrations publiques relèvent de NIS 2 indépendamment de leur taille.
Les 5 obligations majeures de conformité NIS 2
La directive structure ses exigences autour de cinq axes. Chacun correspond à des mesures concrètes que les entités assujetties doivent déployer.
L’enregistrement auprès de l’ANSSI
Toute entité, qu’il s’agisse d’une entreprise privée ou d’un organisme public), ayant évalué qu’elle entre dans le périmètre NIS 2 doit s’enregistrer auprès de l’Agence nationale de la sécurité des systèmes d’information. L’ANSSI propose un service de pré-enregistrement en ligne. Cet enregistrement est la première obligation formelle et conditionne la relation avec l’autorité de supervision.
La gestion des risques cyber et les objectifs de sécurité
NIS 2 impose la mise en place de mesures juridiques, techniques et organisationnelles pour gérer les risques menaçant la sécurité des réseaux et systèmes d’information. Le ReCyF, publié par l’ANSSI, détaille les objectifs de sécurité attendus. Le premier objectif porte sur le recensement exhaustif des systèmes d’information : lister les activités et services, identifier les responsables et les SI associés, valider et réexaminer cette liste annuellement. Le deuxième objectif concerne la gouvernance : le dirigeant exécutif est responsable de la sécurité numérique et du suivi de conformité.
Le ReCyF n’est pas obligatoire par défaut, mais son application permet aux entités de s’en prévaloir en cas de contrôle de l’ANSSI, ce qui constitue un avantage légal tangible.
Dans les faits, ces objectifs supposent un travail continu de recensement et d’évaluation. Recenser les activités, les services et les responsables associés, coter les risques qui pèsent sur eux, suivre leur criticité résiduelle dans le temps et réexaminer l’ensemble chaque année : c’est précisément ce type de démarche qu’une plateforme de pilotage QSE comme Qontinua permet de structurer, en conservant l’historique de chaque cotation pour démontrer la maîtrise en cas de contrôle.
La déclaration des incidents de sécurité
Les entités assujetties ont l’obligation de signaler à l’ANSSI les incidents de sécurité ayant un impact important sur leurs services, et de fournir des rapports sur l’évolution de la situation. Les délais de déclaration sont précis et encadrés par la directive. Un incident non déclaré dans les délais expose l’entité à des sanctions, indépendamment des mesures de remédiation déployées.
La gouvernance et le facteur humain en cybersécurité
NIS 2 place la responsabilité au niveau du conseil d’administration, pas seulement de la direction informatique. La sensibilisation des utilisateurs aux risques cyber, la formation aux bonnes pratiques et la gestion des fournisseurs font partie des obligations. Une organisation dont les équipes ne savent pas identifier un courriel malveillant ou signaler un incident ne peut pas se prétendre conforme, quels que soient ses investissements techniques.
Méthodologie : 5 étapes pour atteindre la conformité NIS 2
La mise en conformité NIS 2 n’est pas un projet informatique. C’est un projet d’organisation, qui mobilise la direction, les équipes métier et les prestataires. Voici comment le structurer.
Étape 1, Réaliser un diagnostic de votre état actuel
Avant toute action corrective, cartographiez l’existant. Inventoriez les actifs informatiques, les logiciels et les infrastructures réseau. Identifiez les vulnérabilités et les menaces auxquelles vos systèmes d’information sont exposés. L’ANSSI propose un diagnostic cyber gratuit, réalisé en 1h30 avec un Aidant cyber bénévole, qui restitue 6 recommandations prioritaires immédiatement après la session.
Étape 2, Identifier les écarts par rapport aux exigences
Comparez vos pratiques actuelles aux objectifs de sécurité du ReCyF. Pour chaque écart identifié, évaluez l’impact sur la protection de l’organisation et classez les actions correctives par ordre de criticité. Cette priorisation est indispensable : les ressources sont limitées, et tout ne peut pas être traité simultanément.
Étape 3, Élaborer un plan d’action priorisé
Définissez des échéances claires, allouez les ressources humaines, financières et techniques nécessaires, et documentez les décisions. Ce plan d’action devient votre référence pour les contrôles de l’ANSSI. Il doit être validé par la direction : NIS 2 engage la responsabilité personnelle des dirigeants, pas seulement celle des équipes techniques.
Étape 4, Mettre en œuvre les mesures de sécurité
Déployez les solutions techniques requises et adaptez les processus internes pour intégrer les nouvelles exigences de sécurité. Incluez les fournisseurs dans la démarche : NIS 2 impose d’évaluer et de contrôler les risques liés à la chaîne d’approvisionnement. Un fournisseur non conforme peut devenir un vecteur d’attaque pour votre organisation.
Étape 5, Assurer le suivi et l’évaluation continue
La conformité NIS 2 n’est pas un état figé. Définissez des indicateurs de performance, organisez des revues régulières et ajustez le plan d’action en fonction des évolutions des menaces et des exigences réglementaires. L’ANSSI permet d’envisager un suivi ultérieur après le diagnostic initial pour mesurer les progrès réalisés. Aujourd’hui, chaque entreprise peut assurer sa conformité avec la solution Qontinua, cette dimension de pilotage continu est intégrée dès la phase de démarrage : tableaux de bord de conformité, alertes sur les écarts, et documentation prête pour les audits de sécurité.
Les sanctions et risques en cas de non-conformité
Les conséquences d’une non-conformité NIS 2 dépassent les amendes. Elles touchent la réputation, la continuité d’activité et la relation avec les partenaires.
Amendes jusqu’à 2 % du chiffre d’affaires mondial pour les entités essentielles
Pour les entités essentielles, NIS 2 prévoit des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ces sanctions sont proportionnées aux manquements constatés lors des contrôles de supervision.
Amendes jusqu’à 1,4 % du CA pour les entités importantes
Les entités importantes s’exposent à des amendes plafonnées à 1,4 % du chiffre d’affaires annuel mondial. Le plafond est inférieur à celui des entités essentielles, mais reste significatif pour une PME opérant dans un secteur critique.
Les autres conséquences opérationnelles et réputationnelles
Au-delà des amendes, une cyberattaque non gérée selon les obligations NIS 2 expose l’organisation à une perte ou un vol de données clients, financières ou RH, à une interruption des activités pouvant paralyser les services, et à une atteinte durable à la confiance des partenaires et clients. Ces conséquences opérationnelles peuvent dépasser les coûts directs des sanctions financières.
Les défis pratiques et comment les surmonter ?
Quatre obstacles reviennent systématiquement dans les organisations qui engagent leur mise en conformité NIS 2.
Mobiliser les ressources internes et externes nécessaires
La complexité de la réglementation et le manque de ressources internes spécialisées sont les deux freins les plus fréquents. L’ANSSI a anticipé cette difficulté en déployant un réseau d’Aidants cyber : des tiers de confiance issus d’organismes publics ou d’associations à but non lucratif, formés par l’ANSSI, qui accompagnent gratuitement les TPE, PME, collectivités et associations disposant d’au moins 2 salariés. Le diagnostic est confidentiel, aucune donnée sensible n’est collectée, et aucun accès système n’est requis.
Intégrer la conformité NIS 2 à votre stratégie de cybersécurité
NIS 2 ne doit pas être traité comme un projet parallèle à la stratégie de sécurité existante. Les organisations qui réussissent leur mise en conformité sont celles qui alignent NIS 2 avec leurs démarches déjà en cours : ISO 27001, audits de sécurité internes, plans de continuité d’activité. L’outil de comparaison de référentiels proposé par l’ANSSI sur MesServicesCyber permet justement de mettre en correspondance le ReCyF avec d’autres normes ou réglementations existantes.
Selon l’ENISA, l’Agence de l’Union européenne pour la cybersécurité, les incidents majeurs ont progressé de 38 % en 2023. Cette trajectoire rend l’intégration de NIS 2 dans la stratégie de sécurité globale d’autant plus pertinente : la directive répond à une réalité de terrain, pas seulement à une obligation administrative.
Cet alignement a une traduction très concrète : plutôt que de gérer NIS 2 en silo, on gagne à piloter risques, plans d’action, audits et documents dans le même environnement que ses autres référentiels (ISO 9001, 14001, 45001 ou 27001). Une plateforme QSE transverse comme Qontinua permet précisément de faire converger ces démarches, d’éviter les doubles saisies et de donner à la direction une vue consolidée de la conformité.
Impliquer le management et les collaborateurs dans la démarche
Une étude Zscaler de 2024 indique que seulement 41 % des dirigeants français comprennent réellement les exigences NIS 2. Ce chiffre illustre l’ampleur du travail de sensibilisation à mener en interne, en particulier au sein de chaque entreprise dont les équipes sont en première ligne face aux cybermenaces. La conformité NIS 2 ne peut pas reposer uniquement sur les équipes informatiques : elle nécessite une communication régulière sur l’avancement du projet, des formations adaptées à chaque niveau de l’organisation, et une validation formelle des décisions par la direction. Les codes malveillants, les tentatives de phishing et les accès non autorisés aux systèmes d’information restent des vecteurs d’attaque dont la prévention dépend autant des comportements humains que des solutions techniques déployées.
La mise en conformité NIS 2 est un processus, pas un événement. Les organisations qui l’abordent comme une amélioration continue de leur posture cyber, plutôt que comme une case à cocher, sont celles qui en tirent le meilleur retour, en matière de résilience opérationnelle et de crédibilité vis-à-vis de leurs partenaires.
👉 Vous voulez partager votre expertise avec notre audience ou valoriser vos initiatives ? Écrivez-nous à partenaire@frenchweb.fr
