NIS2 : êtes-vous concerné ? Obligations, secteurs et sanctions.

NIS2 est la deuxième directive européenne sur la sécurité des réseaux et des systèmes d'information, la Network and Information Security Directive, formellement la directive (UE) 2022/2555. Adoptée le 14 décembre 2022 et entrée en vigueur le 16 janvier 2023, elle remplace la directive NIS1 de 2016 avec un objectif : relever le niveau de cybersécurité de l'ensemble de l'Union face à des menaces devenues systémiques (rançongiciels, attaques sur la chaîne d'approvisionnement, sabotage d'infrastructures).

NIS2 ne se contente pas d'ajuster NIS1, elle change d'échelle. Là où NIS1 ne visait qu'une poignée d'« opérateurs de services essentiels » désignés au cas par cas, NIS2 s'applique automatiquement à toutes les entités moyennes et grandes de secteurs critiques, selon une logique de plafond de taille. Le nombre d'entités concernées est multiplié par 30 en France.

L'autre bascule majeure : la responsabilité est remontée au niveau des dirigeants. La cybersécurité n'est plus un sujet technique délégable au service informatique, c'est une obligation de gouvernance encadrée par la loi.

Trois critères se combinent pour déterminer si NIS2 s'applique à vous : votre secteur d'activité, votre taille, et le type d'entité (essentielle ou importante) qui en découle.

Le secteur. NIS2 distingue les secteurs « hautement critiques » (Annexe I) et « critiques » (Annexe II). Si votre activité relève de l'un des ~18 secteurs listés plus bas, vous êtes potentiellement dans le champ.

La taille (règle du plafond de taille). La directive s'applique en principe aux entreprises d'au moins 50 salariés OU réalisant plus de 10 M€ de chiffre d'affaires annuel et de bilan. En clair : les moyennes et grandes entreprises sont concernées ; les micro et petites entreprises sont en principe exclues, sauf exceptions où l'entité est concernée quelle que soit sa taille (fournisseurs de DNS, registres de noms de domaine de premier niveau, opérateurs de communications électroniques, prestataires de services de confiance qualifiés, certaines administrations, etc.).

Entité essentielle (EE) ou importante (EI) ? Schématiquement, les grandes entreprises des secteurs de l'Annexe I sont des entités essentielles ; les moyennes entreprises de l'Annexe I et les moyennes et grandes entreprises de l'Annexe II sont des entités importantes. La différence n'est pas cosmétique : les EE sont soumises à une supervision proactive (audits, inspections à l'initiative de l'autorité), les EI à une supervision a posteriori (déclenchée en cas d'indice de manquement). Les plafonds de sanction diffèrent également.

Au niveau européen, le calendrier est arrêté depuis longtemps. La directive est entrée en vigueur le 16 janvier 2023. Les États membres avaient jusqu'au 17 octobre 2024 pour la transposer dans leur droit national, les règles devenant applicables à partir du 18 octobre 2024.

En France, la transposition n'est pas encore achevée à l'été 2026. NIS2 est transposée via le projet de loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité (dite « loi Résilience »), qui transpose simultanément trois textes européens : NIS2, la directive REC (résilience des entités critiques) et DORA (secteur financier).

La loi n'est donc pas encore définitivement adoptée ni promulguée, et les décrets d'application ne sont pas publiés. Les seuils précis, la liste définitive des entités et le calendrier d'application des obligations en France seront fixés par ces textes. Point important : NIS2 n'entrera en vigueur en France que lorsque l'ensemble des textes (loi, décrets, arrêtés) auront été promulgués, et la date d'entrée en vigueur sera distincte de la date à laquelle les obligations deviendront réellement opposables aux entités.

Le retard n'est pas une raison d'attendre. L'ANSSI est désignée comme autorité nationale compétente et met déjà à disposition des outils de préparation (portail MonEspaceNIS2, et depuis le 17 mars 2026 le Référentiel Cyber France / ReCyF). Une trajectoire réaliste laisse aux entités environ trois ans pour se conformer pleinement après promulgation, avec un enregistrement attendu dès fin 2026, des premiers contrôles en 2027 et une pleine effectivité des sanctions ensuite. Les chantiers de mise en conformité (inventaire, MFA, gestion des incidents) prennent des mois : les entreprises qui anticipent partiront gagnantes.

Le cœur technique de NIS2 tient dans l'article 21. Il impose aux entités de prendre des mesures « techniques, opérationnelles et organisationnelles appropriées et proportionnées » pour gérer les risques cyber, selon une approche « tous risques ». L'article 21.2 énumère dix catégories de mesures minimales que toute entité, essentielle comme importante, doit couvrir.

Ces mesures ne sont pas une checklist à cocher une fois pour toutes : NIS2 attend une démarche continue, proportionnée à votre exposition, et dont l'efficacité est régulièrement évaluée (c'est l'objet du point f). C'est précisément là qu'un audit de sécurité et des tests d'intrusion réguliers apportent la preuve que vos mesures fonctionnent dans la réalité, et pas seulement sur le papier.

NIS2 impose un calendrier de notification strict en cas d'incident « important », c'est-à-dire un incident causant une perturbation opérationnelle grave, des pertes financières, ou affectant d'autres personnes physiques ou morales par un dommage matériel ou immatériel important. L'article 23 découpe l'obligation en trois temps, auprès du CSIRT ou de l'autorité compétente (en France, l'ANSSI).

Cette cadence est exigeante : 24 heures, c'est court quand une attaque est en cours et que les équipes sont en gestion de crise. D'où l'importance d'avoir préparé à l'avance la procédure de notification, les modèles de déclaration et la chaîne de décision, avant l'incident, pas pendant. Selon la nature de l'incident, une information des destinataires des services (vos clients) peut également être requise.

NIS2 se dote de sanctions à la hauteur de ses ambitions. L'article 34 fixe des plafonds minimaux d'amendes administratives que chaque État doit prévoir, les droits nationaux peuvent aller au-delà.

Mais l'amende n'est pas le seul levier. Les autorités peuvent ordonner des mesures correctives contraignantes, suspendre des certifications, rendre publics les manquements, et, pour les entités essentielles, prononcer l'interdiction temporaire d'exercer des fonctions de direction à l'encontre d'un dirigeant défaillant.

C'est le grand changement de NIS2 : la responsabilité des organes de direction (article 20). Les dirigeants doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre, et peuvent être tenus responsables en cas de manquement. Ils sont en outre tenus de suivre une formation à la cybersécurité et d'en proposer à leurs équipes. La conformité NIS2 devient un sujet de conseil d'administration, pas seulement de DSI.

Réduire NIS2 à une case de conformité serait une erreur stratégique. Les enjeux réels dépassent l'amende.

Enjeu de survie opérationnelle. Les secteurs visés par NIS2 sont ceux dont l'arrêt paralyse la société : énergie, santé, eau, transports, finance. Une attaque réussie, c'est des jours d'interruption, des pertes directes et une remise en route coûteuse. Les mesures NIS2 sont d'abord des mesures qui vous protègent vraiment.

Enjeu de confiance et d'accès au marché. La conformité NIS2 devient un critère dans les appels d'offres et les relations B2B. Vos clients et donneurs d'ordre doivent désormais vérifier la robustesse de leur chaîne d'approvisionnement, c'est une obligation NIS2 pour eux (point d de l'article 21). Être en règle, c'est rester dans la course.

Enjeu d'assurabilité. Les assureurs cyber conditionnent de plus en plus leurs polices, et leurs tarifs, au niveau de maturité. Les mesures exigées par NIS2 recoupent leurs questionnaires : une organisation conforme s'assure mieux et moins cher.

Enjeu de gouvernance. En plaçant la responsabilité au niveau des dirigeants, NIS2 fait de la cybersécurité un actif de gouvernance, au même titre que la conformité financière.