Conformité NIS2 : SecuriTrust vous accompagne.

Qu’est-ce que la directive NIS2 ?

La directive (UE) 2022/2555, dite NIS2 (Network and Information Security), a été adoptée le 14 décembre 2022. Elle remplace la directive NIS de 2016 et poursuit un objectif simple : porter le niveau de cybersécurité de l’ensemble des secteurs essentiels de l’économie européenne à un niveau commun élevé.

Par rapport à NIS1, trois changements structurent le texte :

• un périmètre beaucoup plus large : 18 secteurs au lieu de 7, et un critère de taille qui fait entrer automatiquement les moyennes et grandes entreprises de ces secteurs ;
• des obligations harmonisées : un socle de mesures de gestion des risques et un régime de notification des incidents identiques dans toute l’Union ;
• une responsabilité des dirigeants : les organes de direction approuvent les mesures, en supervisent la mise en œuvre et peuvent être tenus pour responsables des manquements. Sans RSSI en interne, un RSSI externalisé peut préparer ces décisions et piloter les mesures.

Une directive ne s’applique pas directement : chaque État membre doit la transposer dans son droit national. Les États devaient le faire avant le 17 octobre 2024.

Où en est la transposition de NIS2 en France ?

En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Il a été adopté par le Sénat en première lecture le 12 mars 2025, puis examiné par une commission spéciale de l’Assemblée nationale, qui a établi son texte le 10 septembre 2025.

Au 26 octobre 2026, la loi n’est pas encore définitivement adoptée : son examen en séance publique, prévu début octobre 2026, a été retiré de l’ordre du jour. Les obligations NIS2 ne sont donc pas encore opposables en droit français, et plusieurs modalités (seuils précis, délais de mise en conformité) seront fixées par des décrets d’application.

Ce retard ne doit pas être lu comme un sursis :

• l’ANSSI a publié le ReCyF, son référentiel de cybersécurité destiné aux entités régulées, qui donne une idée précise des mesures attendues ;
• vos clients soumis à NIS2 dans d’autres États membres, ou qui anticipent la loi française, vous demandent déjà des garanties contractuelles ;
• les mesures exigées prennent des mois à déployer (analyse de risques, sauvegardes, gestion des accès, plan de crise) : les commencer après la promulgation, c’est démarrer en retard.

Votre organisation est-elle concernée par NIS2 ?

Trois questions permettent de faire un premier tri.

1. Votre activité relève-t-elle d’un des 18 secteurs ?

La directive distingue les secteurs hautement critiques (annexe I : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC entre entreprises, administration publique, espace) et les autres secteurs critiques (annexe II : services postaux, gestion des déchets, produits chimiques, alimentation, fabrication — dont dispositifs médicaux, électronique, machines, automobile —, fournisseurs numériques et recherche).

2. Quelle est votre taille ?

En règle générale, sont concernées les entreprises d’au moins 50 salariés ou dont le chiffre d’affaires annuel et le total de bilan dépassent 10 millions d’euros. Certaines entités le sont quelle que soit leur taille : fournisseurs de services DNS, registres de noms de domaine, prestataires de services de confiance qualifiés, entités désignées comme critiques par l’État, administrations.

3. Êtes-vous « essentielle » ou « importante » ?

Les obligations de fond sont les mêmes pour les deux catégories ; ce qui change, c’est l’intensité du contrôle et le plafond des sanctions. Enfin, une entreprise hors périmètre reste concernée par effet de chaîne si elle fournit une entité régulée : celle-ci doit sécuriser sa chaîne d’approvisionnement et répercutera ses exigences dans vos contrats.

Les 10 mesures de gestion des risques exigées

L’article 21 de la directive impose des mesures « appropriées et proportionnées », fondées sur une approche tous risques. Elles couvrent au minimum :

1. Politiques d’analyse des risques et de sécurité des systèmes d’information, approuvées par la direction.
2. Gestion des incidents : détection, qualification, traitement.
3. Continuité des activités : sauvegardes, plan de reprise, gestion de crise.
4. Sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs et prestataires.
5. Sécurité de l’acquisition, du développement et de la maintenance des systèmes, avec la gestion et la divulgation des vulnérabilités.
6. Évaluation de l’efficacité des mesures (audits, tests d’intrusion, indicateurs).
7. Cyberhygiène et formation des collaborateurs.
8. Cryptographie et chiffrement, selon une politique définie.
9. Sécurité des ressources humaines, contrôle d’accès et gestion des actifs.
10. Authentification multifacteur et communications sécurisées, y compris en situation d’urgence.

À ces mesures s’ajoute la gouvernance (article 20) : la direction approuve les mesures, en supervise l’application et suit une formation à la cybersécurité.

Notifier les incidents importants

Un incident est « important » lorsqu’il cause ou peut causer une perturbation grave des services ou des pertes financières, ou affecter d’autres personnes de manière considérable. Il se déclare en trois temps auprès de l’autorité (l’ANSSI en France) :

• alerte précoce sous 24 heures après en avoir pris connaissance ;
• notification d’incident sous 72 heures, avec une première évaluation de la gravité et de l’impact ;
• rapport final dans un délai d’un mois.

Tenir ces délais suppose une organisation prête à l’avance : qui qualifie l’incident, qui décide de notifier, qui rédige, avec quelles informations.

Les erreurs fréquentes que nous constatons

• Attendre la loi pour commencer, alors que l’essentiel des mesures relève de l’hygiène de base et de projets longs.
• Confier NIS2 à la seule DSI : le texte engage la direction générale, les achats (fournisseurs), les RH (formation, départs) et le juridique (notification).
• Produire des politiques sans preuves : un contrôle portera sur l’application réelle — sauvegardes testées, comptes à privilèges maîtrisés, MFA effective.
• Oublier la chaîne d’approvisionnement : infogérants, éditeurs SaaS et prestataires de maintenance sont souvent le premier vecteur d’attaque.
• Négliger le plan de crise : sans exercice, les délais de 24 et 72 heures sont rarement tenus.

Par où commencer : une démarche en 5 étapes

1. Qualifier votre statut : secteur, taille, catégorie (EE ou EI), entités du groupe concernées.
2. Cartographier les activités, systèmes, données et prestataires critiques.
3. Mesurer les écarts avec les mesures attendues (article 21 et ReCyF de l’ANSSI), par exemple au moyen d’un audit d’écart et d’un test d’intrusion ciblé sur l’Active Directory et l’exposition Internet.
4. Prioriser un plan d’action réaliste : quick wins (MFA, sauvegardes hors ligne, comptes à privilèges), puis chantiers structurants (gouvernance, gestion des fournisseurs, continuité).
5. Piloter dans la durée : indicateurs, revue de direction, exercices de crise, audits réguliers. C’est le rôle d’un RSSI, interne ou externalisé.

Si vous visez déjà la certification ISO 27001, une grande partie du travail est commune : le système de management de la sécurité de l’information (SMSI) fournit le cadre de gouvernance et de preuve que NIS2 attend.

Questions fréquentes

Pour aller plus loin

Articles du blog

• NIS2 : êtes-vous entité essentielle ou importante ? La méthode pas à pas
• NIS2 en France : obligations, sanctions et mesures concrètes pour 2026