Qu'est-ce que la directive NIS2 ?
La directive européenne NIS2 (Network and Information Security 2) remplace NIS1 et étend considérablement le périmètre des entreprises soumises à des obligations de cybersécurité. En France, elle doit être transposée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (dit « loi Résilience »). Une fois en vigueur, elle concernera environ 15 000 entités en France selon l'ANSSI, contre quelques centaines sous NIS1.
L'objectif est clair, harmoniser le niveau de cybersécurité à l'échelle européenne et rendre les entreprises essentielles résilientes face aux cyberattaques. Le régulateur français est l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information).
L'Union européenne avait fixé l'échéance de transposition au 17 octobre 2024 ; la France ne l'a pas respectée. Le projet de loi Résilience a été adopté par le Sénat en mars 2025 et par la commission spéciale de l'Assemblée nationale en septembre 2025, mais il n'a pas encore été voté définitivement ni promulgué. Les décrets d'application (périmètre exact, modalités d'enregistrement, critères d'incident) restent à publier. L'ANSSI invite toutefois les futures entités à se préparer dès maintenant, notamment via le test d'éligibilité de MonEspaceNIS2. Vérifiez l'état du texte sur Légifrance avant toute décision.
Votre entreprise est-elle concernée ?
NIS2 distingue deux catégories d'entités selon leur taille et leur secteur d'activité
| Catégorie | Taille | Secteurs concernés |
|---|---|---|
| Entités Essentielles (EE) | Grandes entreprises : 250 salariés ou plus, ou plus de 50 M€ de CA et 43 M€ de bilan | Secteurs hautement critiques : énergie, transport, santé, eau, infrastructures numériques, banque et finance, administration |
| Entités Importantes (EI) | Entreprises moyennes : 50 salariés ou plus, ou plus de 10 M€ de CA et de bilan | Autres secteurs critiques (services postaux, déchets, chimie, alimentaire, fabrication, fournisseurs numériques), ainsi que les entreprises moyennes des secteurs hautement critiques |
Même si votre entreprise ne rentre pas dans ces catégories, vos donneurs d'ordre ou clients qui sont EE/EI peuvent vous imposer contractuellement des mesures équivalentes via la gestion de la chaîne d'approvisionnement (supply chain security).
Les 10 mesures obligatoires NIS2
L'article 21 de la directive impose un socle de 10 mesures de sécurité que toutes les entités concernées doivent mettre en œuvre
- Politique de sécurité des systèmes d'information (PSSI), documents formalisés approuvés par la direction
- Gestion des risques cyber, analyse de risques annuelle selon une méthode reconnue (EBIOS RM recommandée en France)
- Gestion des incidents, procédures de détection, de notification et de réponse aux incidents
- Continuité d'activité, PCA et PRA testés au moins annuellement
- Sécurité de la chaîne d'approvisionnement, évaluation des prestataires et fournisseurs critiques
- Sécurité du développement et des acquisitions, DevSecOps, tests de sécurité, durcissement
- Gestion des vulnérabilités, patch management, veille CVE, scan régulier
- Évaluation de l'efficacité des mesures, audits internes, tests d'intrusion, métriques
- Formation et sensibilisation, programme pour tous les collaborateurs, incluant la direction
- Chiffrement et cryptographie, chiffrement des données sensibles en transit et au repos
Délais et sanctions
Aucune date de mise en conformité n'est fixée en France tant que la loi n'est pas promulguée : les délais d'enregistrement auprès de l'ANSSI et de mise en œuvre seront précisés par décret. Le texte en discussion prévoit une application progressive. Les sanctions prévues par la directive sont significatives (le montant le plus élevé des deux s'applique)
| Catégorie | Amende maximale |
|---|---|
| Entités Essentielles | 10 millions € ou 2% du chiffre d'affaires mondial |
| Entités Importantes | 7 millions € ou 1,4% du chiffre d'affaires mondial |
Une fois la loi en vigueur, en cas d'incident important, vous aurez 24h pour adresser une alerte précoce à l'ANSSI, 72h pour un rapport d'incident intermédiaire, et 1 mois pour un rapport final détaillé. Le non-respect de ces délais sera sanctionnable indépendamment de l'incident lui-même. Mieux vaut donc disposer dès maintenant d'une capacité de détection capable de les tenir.
Plan d'action concret sur 12 mois
Voici les étapes pragmatiques pour une mise en conformité NIS2 structurée
- Mois 1–2 Audit de périmètre, pour identifier si vous êtes EE ou EI, cartographier vos systèmes d'information critiques et évaluer l'écart avec les exigences NIS2
- Mois 2–4 Analyse de risques EBIOS RM, pour identifier vos biens supports, sources de risque, événements redoutés et scénarios d'attaque
- Mois 3–5 Rédaction de la PSSI et des politiques associées (gestion des accès, chiffrement, patch management, IR)
- Mois 4–7 Mise en œuvre technique, avec MFA sur tous les accès, segmentation réseau, EDR déployé, SIEM configuré et backup testé
- Mois 6–8 Test d'intrusion et audit de configuration pour vérifier l'efficacité des mesures
- Mois 7–9 Formation et sensibilisation, avec un programme pour tous les niveaux et une simulation de phishing
- Mois 9–12 Enregistrement ANSSI (dès que les modalités seront publiées), mise en place du processus de notification des incidents, audit interne final
Questions fréquentes sur NIS2
Qui est concerné par NIS2 en France ?
NIS2 concerne les entités essentielles (EE) et importantes (EI) opérant dans des secteurs critiques (énergie, santé, numérique, transport, etc.), en fonction de leur taille et de leur secteur d'activité.
Quels sont les délais de mise en conformité NIS2 ?
En octobre 2026, la loi française de transposition n'est pas encore promulguée : les délais officiels seront fixés par décret. Comme une mise en conformité structurée prend environ 12 mois, il est recommandé de la démarrer sans attendre.
Que risque une entreprise non conforme à NIS2 ?
Les sanctions prévues incluent des amendes administratives significatives, proportionnelles au chiffre d'affaires, en plus d'un risque opérationnel accru en cas d'incident non anticipé.
Pour aller plus loin : comment choisir un prestataire pour votre mise en conformité NIS2, et notre guide pour rédiger une PSSI, première mesure exigée par l'article 21. La détection et la notification d'incidents en 24h supposent une supervision continue, comme notre service MDR 24/7.
Besoin d'un accompagnement NIS2 ?
ONYX-CYBER réalise votre audit de conformité NIS2, l'analyse de risques EBIOS RM et vous accompagne jusqu'à l'enregistrement ANSSI.
Demander un audit NIS2 gratuit