Directive NIS 2 : définition, obligations, sanctions et conformité

La directive NIS 2, ou directive (UE) 2022/2555 du 14 décembre 2022, est le cadre européen de cybersécurité qui s'applique aux entités des secteurs jugés critiques pour l'économie et la société. En novembre 2026, elle pose quatre questions très concrètes à un DPO, un RSSI ou un dirigeant : mon organisation entre-t-elle dans le champ, que devra-t-elle mettre en place, que risque-t-elle si elle ne le fait pas, et par où commencer sans attendre la loi française ? Ce guide répond aux quatre. Il donne la définition et l'architecture du texte, un arbre de qualification court, le détail des obligations des articles 20, 21 et 23, les sanctions de l'article 34, un calendrier daté, puis une méthode de mise en conformité en six étapes.

NIS2 en 2026 : ce qu'il faut retenir

• Ce que c'est : une directive européenne de cybersécurité, en vigueur depuis le 16 janvier 2023, qui remplace NIS 1 (2016/1148), abrogée avec effet au 18 octobre 2024 (articles 44 et 45).
• Qui est visé : les entités publiques et privées de 18 secteurs, en principe à partir de la taille moyenne, classées en entités essentielles ou importantes selon leur secteur et leur taille (articles 2 et 3).
• Ce qu'elle exige : une gouvernance portée par la direction (article 20), dix catégories de mesures de gestion des risques (article 21) et la notification des incidents importants en 24 heures, 72 heures et un mois (article 23).
• Ce que l'on risque : des amendes dont le plafond atteint au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle (article 34), et des mesures qui peuvent viser les dirigeants eux-mêmes (article 32).
• Où en est la France : la loi de transposition n'est pas votée, et l'ANSSI envisage une conformité complète des entités à fin 2028. Le détail daté figure plus bas.

Autrement dit, la date d'application reste ouverte, mais ce qu'il faudra démontrer est connu : les mesures de l'article 21 et le Référentiel Cyber France (ReCyF), dont l'ANSSI a publié une version de travail en mars 2026. C'est ce décalage qui justifie de commencer maintenant.

Comment la directive NIS 2 est construite

NIS 2 n'est pas seulement une liste d'obligations pour les entreprises. Ses 46 articles organisent d'abord la cybersécurité des États membres eux-mêmes, et c'est ce cadre qui explique qui contrôle qui. Le texte se lit en quatre blocs.

• Les cadres nationaux (chapitre II, articles 7 à 13) : chaque État adopte une stratégie nationale de cybersécurité, désigne une ou plusieurs autorités compétentes et un point de contact unique, organise la gestion des crises cyber et désigne des CSIRT, les équipes de réponse aux incidents. L'un d'eux coordonne la divulgation des vulnérabilités, et l'ENISA tient une base de données européenne des vulnérabilités (article 12).
• La coopération européenne (chapitre III, articles 14 à 19) : le groupe de coopération réunit les États et la Commission, le réseau des CSIRT partage l'information opérationnelle, et le réseau EU-CyCLONe prépare la gestion des crises cyber de grande ampleur. Des évaluations par les pairs comparent les dispositifs nationaux.
• Les obligations des entités (chapitres IV à VI, articles 20 à 30) : gouvernance, mesures de gestion des risques, notification des incidents, règles de compétence et d'enregistrement, partage volontaire d'informations sur les menaces.
• La supervision et les sanctions (chapitre VII, articles 31 à 37) : pouvoirs de contrôle des autorités, régime différencié entre entités essentielles et importantes, amendes administratives.

Pour une entreprise française, la conséquence pratique est simple : l'ANSSI sera à la fois l'autorité de contrôle et le destinataire des notifications d'incident, et ses référentiels traduiront les exigences de la directive en mesures vérifiables.

Ce que la directive change par rapport à NIS 1

NIS 1 reposait sur une désignation : l'État choisissait ses opérateurs de services essentiels, quelques centaines en France. NIS 2 renverse la logique : une entité est concernée parce qu'elle remplit des critères écrits, secteur et taille, et non parce qu'une autorité l'a désignée. Le périmètre passe à plusieurs milliers d'entités en France, de l'ordre de 15 000 selon les estimations relayées pendant l'examen du projet de loi. S'y ajoutent deux catégories d'entités, une responsabilité explicite de la direction (article 20) et des plafonds d'amende harmonisés (article 34).

Suis-je concerné ? L'arbre de qualification en quatre questions

La qualification se fait entité par entité, dans cet ordre. Les seuils de taille se calculent selon la recommandation 2003/361/CE, qui tient compte des entreprises liées et partenaires.

1. Votre activité figure-t-elle à l'annexe I ou à l'annexe II ? L'annexe I (secteurs hautement critiques) compte onze secteurs, de l'énergie à l'espace, dont la santé, la banque et l'infrastructure numérique, qui inclut les fournisseurs de réseaux et de services de communications électroniques publics. L'annexe II (autres secteurs critiques) en compte sept, dont la fabrication, l'alimentaire, la gestion des déchets et les fournisseurs numériques. Si la réponse est non, NIS 2 ne vous vise pas directement.
2. Faites-vous partie des cas « quelle que soit la taille » ? Prestataires de services de confiance, registres de noms de domaine de premier niveau, fournisseurs DNS, fournisseurs de communications électroniques publics (article 2, paragraphe 2). Un État peut aussi désigner une entité plus petite si elle est seule à fournir un service essentiel.
3. Dépassez-vous le seuil de la moyenne entreprise ? Au moins 50 salariés, ou un chiffre d'affaires et un total de bilan supérieurs à 10 millions d'euros chacun (article 2, paragraphe 1). En dessous, vous êtes hors champ, sauf cas de la question 2.
4. Êtes-vous une grande entreprise d'un secteur de l'annexe I ? Au moins 250 salariés, ou plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de bilan : vous êtes une entité essentielle (article 3, paragraphe 1, point a). Sinon, et hors cas particuliers de l'article 3, vous êtes une entité importante (article 3, paragraphe 2).

Appartenir à l'annexe I ne fait donc pas automatiquement de vous une entité essentielle. Un hôpital privé de 120 salariés relève de l'annexe I, mais reste une entité importante tant qu'il ne dépasse pas les plafonds de la moyenne entreprise. Le simulateur de l'ANSSI sur MesServicesCyber indique si l'entité est concernée et dans quelle catégorie, et ouvre le pré-enregistrement. Les secteurs en détail, les cas particuliers et l'effet ricochet sur les sous-traitants sont traités dans notre guide NIS 2 : qui est concerné ?.

Les obligations de NIS 2 : articles 20, 21 et 23

Les obligations de fond sont les mêmes pour les entités essentielles et importantes : seule la supervision diffère, comme on le verra plus bas. Elles tiennent en trois articles.

La gouvernance et la formation des dirigeants (article 20)

C'est l'une des grandes nouveautés de NIS 2. L'article 20 impose aux organes de direction d'approuver les mesures de gestion des risques, d'en superviser la mise en oeuvre, et prévoit qu'ils peuvent être tenus responsables de leur violation. Leurs membres sont tenus de suivre une formation à la cybersécurité, et la directive encourage les entités à proposer une formation similaire à leur personnel, de manière régulière.

Cette obligation change la nature du sujet : la cybersécurité n'est plus une affaire technique reléguée au service informatique, mais une responsabilité de gouvernance qui remonte au comité de direction. Les dirigeants ne peuvent plus déléguer entièrement le risque cyber, ils doivent en comprendre les enjeux pour pouvoir l'arbitrer. Pour un DPO ou un RSSI, c'est aussi un levier : le sponsoring de la direction, souvent difficile à obtenir, devient une obligation légale.

Les dix mesures de gestion des risques (article 21)

L'article 21, paragraphe 1, impose des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui pèsent sur la sécurité des réseaux et des systèmes d'information. Le paragraphe 2 fixe un socle minimal, fondé sur une approche « tous risques », qui comprend au moins :

1. les politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information ;
2. la gestion des incidents ;
3. la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises ;
4. la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs et prestataires de services directs ;
5. la sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information, y compris le traitement et la divulgation des vulnérabilités ;
6. des politiques et procédures pour évaluer l'efficacité des mesures de gestion des risques ;
7. les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ;
8. des politiques et procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement ;
9. la sécurité des ressources humaines, des politiques de contrôle d'accès et la gestion des actifs ;
10. l'utilisation de solutions d'authentification à plusieurs facteurs ou d'authentification continue, de communications sécurisées et de systèmes sécurisés de communication d'urgence, selon les besoins.

La proportionnalité n'est pas une clause de style : la directive demande de tenir compte de l'exposition aux risques, de la taille de l'entité, de la probabilité et de la gravité des incidents. Pour la chaîne d'approvisionnement, le paragraphe 3 ajoute de tenir compte des vulnérabilités propres à chaque fournisseur et prestataire direct, et de la qualité de leurs pratiques de cybersécurité. Enfin, le règlement d'exécution (UE) 2024/2690 précise déjà les exigences techniques pour certains fournisseurs numériques, comme les fournisseurs DNS, de cloud, de centres de données ou de services gérés.

La notification des incidents importants (article 23)

Un incident est important s'il a causé ou peut causer une perturbation opérationnelle grave des services ou des pertes financières pour l'entité, ou s'il a affecté ou peut affecter d'autres personnes en causant des dommages considérables. L'entité adresse alors au CSIRT ou à l'autorité compétente, l'ANSSI en France :

• une alerte précoce dans les 24 heures après avoir eu connaissance de l'incident, qui indique s'il est suspecté de résulter d'un acte illicite ou malveillant, ou s'il peut avoir un impact transfrontière ;
• une notification d'incident dans les 72 heures, avec une évaluation initiale de sa gravité, de son impact et, si possible, des indicateurs de compromission ;
• un rapport intermédiaire à la demande de l'autorité ;
• un rapport final au plus tard un mois après la notification d'incident, qui décrit l'incident en détail, le type de menace ou sa cause profonde, les mesures d'atténuation appliquées et l'éventuel impact transfrontière, ou un rapport d'avancement si l'incident est toujours en cours.

Ce calendrier rappelle celui du RGPD sans se confondre avec lui. Un même rançongiciel qui chiffre une base de données clients peut déclencher les deux régimes en parallèle, et l'alerte NIS 2 sous 24 heures arrive avant l'échéance de 72 heures de la notification à la CNIL. La bonne pratique consiste à bâtir une procédure unique de gestion d'incident qui embarque les deux circuits dès la détection (étape 5 de la méthode plus bas). Pour structurer la sécurité en amont, voir aussi notre guide sur la politique de sécurité informatique.

Supervision et sanctions : ce qui distingue les deux catégories

La différence entre entités essentielles et importantes ne porte pas sur les obligations, mais sur le contrôle et le plafond des amendes.

• Entités essentielles : supervision ex ante et ex post (article 32), avec inspections, audits de sécurité réguliers et ciblés, et demandes d'informations. Amende maximale d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu (article 34, paragraphe 4).
• Entités importantes : supervision ex post, déclenchée par des éléments indiquant un manquement (article 33). Amende maximale d'au moins 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial (article 34, paragraphe 5).

Le mot « au moins » compte : la directive fixe un plancher pour le plafond, et chaque État peut aller au-delà. Les montants exacts applicables en France seront ceux de la loi de transposition.

Au-delà des amendes : les mesures d'exécution

L'autorité dispose aussi de mesures d'exécution, pour les deux catégories : avertissements, instructions contraignantes, injonction de mettre fin à un comportement ou de se mettre en conformité, obligation d'informer les destinataires des services d'une cybermenace importante, et publication de certains aspects des manquements. Pour les seules entités essentielles, si ces mesures restent sans effet, l'autorité peut suspendre temporairement une certification ou une autorisation, et demander l'interdiction temporaire, pour un dirigeant, d'exercer des fonctions de direction (article 32, paragraphe 5).

La responsabilité personnelle des dirigeants

C'est le point le plus marquant pour la gouvernance. L'article 20 prévoit que les organes de direction peuvent être tenus responsables de la violation des mesures de gestion des risques, et l'article 32, paragraphe 6, demande aux États de pouvoir tenir pour responsables, dans une entité essentielle, les personnes physiques qui la représentent ou la dirigent. Le RGPD, lui, vise l'organisation en tant que responsable du traitement, sans désigner les dirigeants dans le texte.

Le calendrier de NIS 2, daté

Le calendrier européen

• 14 décembre 2022 : adoption de la directive (UE) 2022/2555 par le Parlement européen et le Conseil.
• 27 décembre 2022 : publication au Journal officiel de l'Union européenne (JO L 333).
• 16 janvier 2023 : entrée en vigueur de la directive.
• 17 octobre 2024 : date limite de transposition par les États membres. Le même jour, la Commission adopte le règlement d'exécution (UE) 2024/2690, qui précise les mesures techniques pour certains fournisseurs numériques (DNS, cloud, centres de données, services gérés, places de marché, moteurs de recherche, réseaux sociaux).
• 18 octobre 2024 : application des dispositions nationales et abrogation de NIS 1.
• 17 janvier 2025 : date à laquelle certains fournisseurs numériques devaient avoir transmis leurs informations aux autorités, pour le registre tenu par l'ENISA (article 27).
• 17 avril 2025 : date à laquelle chaque État membre devait avoir établi la liste de ses entités essentielles et importantes (article 3, paragraphe 3).
• 17 octobre 2027 : premier réexamen de la directive par la Commission, qui évaluera notamment la pertinence des secteurs et des seuils de taille (article 40).

Le calendrier français

• 15 octobre 2024 : dépôt du projet de loi au Sénat, avec engagement de la procédure accélérée. Le texte transpose aussi la directive sur la résilience des entités critiques (REC) et le volet de DORA qui relève du droit national.
• 12 mars 2025 : adoption par le Sénat.
• 10 septembre 2025 : dépôt du texte de la commission spéciale de l'Assemblée nationale.
• Juillet 2026 : la Commission européenne saisit la CJUE contre la France, l'Espagne, l'Irlande et les Pays-Bas pour défaut de transposition, en demandant une somme forfaitaire et des astreintes.
• 1er octobre 2026 : devant la commission spéciale, le directeur général de l'ANSSI indique que l'agence envisage d'exiger une conformité complète des entités d'ici fin 2028, avec des « galops d'essai » en amont. C'est une intention exprimée en audition, pas une règle écrite.
• 6 octobre 2026 : la conférence des présidents retire le projet de loi de l'ordre du jour des 7 et 9 octobre. Aucune nouvelle date n'a été arrêtée depuis.

Le détail de la procédure parlementaire, des spécificités françaises et des décrets attendus est tenu à jour dans notre guide sur la transposition de NIS 2 en France.

NIS 2, le RGPD et DORA : trois textes à articuler

NIS 2 protège la sécurité des réseaux et des systèmes d'information ; le RGPD protège les données personnelles. Les deux se recoupent dès qu'un incident touche des données personnelles : la même cyberattaque peut appeler une alerte à l'ANSSI sous 24 heures et une notification à la CNIL sous 72 heures au titre de l'article 33 du RGPD. Les mesures de l'article 21 recoupent largement l'obligation de sécurité de l'article 32 du RGPD, ce qui permet de construire un seul socle de mesures. Les sanctions, elles, relèvent de deux régimes distincts : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour le RGPD, prononcées par la CNIL, et les plafonds de l'article 34 pour NIS 2, appliqués par l'ANSSI.

Le rôle du DPO, la double notification et les synergies concrètes sont détaillés dans NIS 2 et RGPD : ce qui change pour le DPO. Pour les acteurs financiers, DORA s'applique en priorité au titre de la lex specialis : notre guide DORA, NIS 2 et RGPD aide à savoir quel texte s'applique selon le profil de l'organisation.

Mise en conformité NIS 2 : la méthode en six étapes

La directive fixe ce qu'une entité essentielle ou importante doit faire : elle ne dit pas par où commencer. Or c'est la question que se pose le DPO, le RSSI ou le directeur administratif et financier d'une ETI qui découvre que son organisation entre dans le champ : quel ordre, quels livrables, qui fait quoi. La loi française n'est pas votée, mais le report n'est pas une pause, pour deux raisons :

• Le contenu attendu est publié. L'ANSSI a mis à disposition en mars 2026 le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS 2. Il a encore le statut de document de travail, mais c'est la grille sur laquelle les contrôles s'appuieront.
• L'échéance se resserre. L'horizon de fin 2028 évoqué par l'ANSSI, s'il se confirme, raccourcit la fenêtre à chaque nouveau report du texte.

La méthode ci-dessous procède par étapes plutôt que de tout traiter de front, et chaque étape produit un livrable utile le jour où les obligations deviendront exigibles.

Étape 1 : qualifier l'entité et le périmètre

Appliquer l'arbre de qualification ci-dessus, société par société. Le livrable n'est pas un « oui » ou un « non » : c'est une note de qualification datée, qui cite le secteur, l'annexe, les seuils retenus, la catégorie (entité essentielle ou importante), le résultat du simulateur de l'ANSSI et le raisonnement pour les filiales. Elle fixe aussi le périmètre : quels réseaux, systèmes, données et prestataires supportent les activités régulées. Un groupe dont une seule filiale entre dans le champ n'a pas le même chantier qu'une entité dont tout le système d'information est concerné. C'est la première pièce que demandera un auditeur, un client ou un assureur.

Étape 2 : installer la gouvernance

L'article 20 fait de la direction le premier acteur de la conformité. Avant tout diagnostic technique, il faut donc lui donner une forme concrète :

• désigner un sponsor au comité de direction, qui porte le sujet et arbitre le budget ;
• nommer un pilote opérationnel (souvent le RSSI, parfois le DPO ou la direction des risques dans une ETI sans RSSI à temps plein) ;
• fixer un rituel de revue (trimestriel en régime de croisière) et la forme de l'approbation formelle des mesures ;
• planifier la formation des membres de la direction, et en garder la trace.

Étape 3 : mesurer l'écart aux dix mesures de l'article 21

L'analyse d'écart est le coeur de la démarche : chacune des dix catégories de mesures s'évalue une par une. Trois choix de méthode font la différence entre un diagnostic utile et un tableur oublié :

• Choisir une grille unique. En France, le ReCyF est la référence naturelle, puisqu'il décline les objectifs de NIS 2 en mesures. Pour les fournisseurs visés par le règlement d'exécution (UE) 2024/2690, ses exigences techniques s'appliquent déjà. Une organisation certifiée ISO 27001 part de sa déclaration d'applicabilité et ne traite que le delta, et ce qui existe au titre de l'article 32 du RGPD se réutilise.
• Noter la maturité, pas la présence. « Il existe une politique de sauvegarde » ne dit rien. Une échelle à quatre niveaux (inexistant, informel, formalisé, appliqué et contrôlé) oblige à distinguer le document de la pratique.
• Exiger une preuve par mesure. Un écart n'est fermé que si la preuve existe : procédure signée, export de configuration, compte rendu de test de restauration. C'est cette preuve que demandera un contrôle.

L'analyse de risques, première mesure de la liste, sert de fil conducteur : c'est elle qui justifie la proportionnalité exigée par l'article 21, paragraphe 1.

Étape 4 : bâtir un plan d'action priorisé

L'analyse d'écart produit une liste ; le plan d'action en fait un programme. Chaque écart devient une action avec un responsable, une échéance, un coût estimé et la preuve attendue à la clôture. La priorisation croise l'exposition au risque, le coût et les dépendances entre actions. Dans la plupart des ETI, quelques chantiers à fort impact et faible coût reviennent en tête de liste :

• l'authentification multifacteur sur les accès distants et les comptes à privilèges ;
• des sauvegardes déconnectées, avec un test de restauration réellement joué ;
• une procédure de gestion d'incident écrite, avec une astreinte et des contacts à jour ;
• l'inventaire des fournisseurs critiques et une évaluation de leur sécurité, comme le demande l'article 21, paragraphe 3.

Le plan se présente ensuite à la direction pour approbation, avec des échéances compatibles avec l'horizon de fin 2028, ce qui boucle avec l'étape 2 : c'est ce document daté et approuvé qui matérialise la responsabilité des dirigeants.

Étape 5 : préparer la notification des incidents

Les délais de l'article 23 (24 heures, 72 heures, un mois) ne se tiennent pas sans préparation : des critères écrits à l'avance pour décider qu'un incident est important, un registre des incidents, une chaîne de décision qui sait qui notifie, et des modèles prêts. L'ANSSI a écarté l'idée d'un guichet unique de notification entre RGPD, NIS 2 et DORA : la procédure interne doit donc embarquer le circuit ANSSI et le circuit CNIL dès la détection, en s'appuyant sur la procédure de violation de données déjà en place. Notre guide sur la réaction à une violation de données rappelle le volet RGPD.

Étape 6 : prouver et maintenir la conformité

NIS 2 n'est pas un projet avec une date de fin. L'article 21, paragraphe 2, point f, exige des procédures pour évaluer l'efficacité des mesures : la conformité se démontre dans la durée. Quatre habitudes la rendent tenable :

• un dossier de preuves vivant, rangé par mesure, mis à jour à chaque clôture d'action ;
• une revue périodique de l'analyse d'écart, au moins annuelle, et après chaque incident majeur ou changement de périmètre ;
• des exercices : test de restauration, exercice de crise, simulation de notification ;
• la formation continue des équipes aux réflexes de cyberhygiène, qui figure elle-même parmi les mesures de l'article 21.

Ce dossier sert aussi au-delà du régulateur. Les entités soumises à NIS 2 vont exiger des garanties de leurs fournisseurs, et une organisation capable de produire ses preuves répond plus vite aux questionnaires de sécurité de ses clients.

Se faire accompagner sur NIS 2 : qui fait quoi

« Accompagnement NIS 2 » recouvre des métiers différents, qu'il vaut mieux ne pas confondre :

• Le conseil et l'audit. Un cabinet peut conduire l'analyse d'écart, l'analyse de risques ou un audit technique. L'ANSSI qualifie des prestataires selon des référentiels publics, par exemple les PACS pour l'accompagnement et le conseil en sécurité et les PASSI pour l'audit : c'est un critère de choix objectif.
• La remédiation technique. Déployer l'authentification multifacteur, durcir les configurations ou refaire les sauvegardes relève de la DSI et de ses intégrateurs.
• Le pilotage de la conformité. Tenir le plan d'action, collecter les preuves, suivre les fournisseurs et les incidents, rendre compte à la direction : c'est un travail quotidien, qui revient en interne une fois la mission de conseil terminée.

C'est sur ce troisième volet que le choix d'un outil compte. Un tableur suffit pour un diagnostic ponctuel ; il tient mal quand il faut assigner des actions à dix personnes, garder l'historique des preuves et présenter l'avancement au comité de direction chaque trimestre.

Outiller la démarche avec Leto

L'outil NIS 2 de Leto suit les étapes de cette méthode : qualification de l'entité, diagnostic des dix mesures de l'article 21, feuille de route assignée et suivie, évaluation des fournisseurs par questionnaires, analyse de risques selon la méthode EBIOS Risk Manager, registre des incidents avec les échéances de 24 heures, 72 heures et un mois. Pour les équipes qui utilisent déjà Leto pour le RGPD, les fournisseurs, les incidents et les formations sont suivis au même endroit, et les incidents qui appellent aussi une notification à la CNIL sont repérés. Leto ne remplace ni le RSSI ni un prestataire de sécurité : il structure la démarche et conserve les preuves.

Prêt à mesurer votre écart ? Découvrir le logiciel de conformité NIS 2 de Leto.

Questions fréquemment posées

Qu'est-ce que la directive NIS2 en bref ?

NIS2, ou NIS 2, désigne la directive (UE) 2022/2555 du 14 décembre 2022. Elle impose des mesures de gestion des risques de cybersécurité, une notification des incidents importants et une responsabilité de la direction aux entités publiques et privées de 18 secteurs critiques, à partir de la taille moyenne pour la plupart d'entre elles.

NIS 2 remplace-t-elle NIS 1 ?

Oui. La directive (UE) 2016/1148, dite NIS 1, est abrogée avec effet au 18 octobre 2024 par l'article 44 de NIS 2. En France, tant que la loi de transposition n'est pas promulguée, le dispositif national issu de NIS 1 reste celui qui s'applique aux opérateurs déjà désignés.

Quand NIS 2 s'applique-t-elle en France ?

La directive est entrée en vigueur le 16 janvier 2023 et devait être transposée au plus tard le 17 octobre 2024. En France, ses obligations ne s'appliquent qu'une fois la loi de résilience promulguée et ses décrets publiés. Le texte, adopté par le Sénat le 12 mars 2025, a été retiré de l'ordre du jour de l'Assemblée nationale le 6 octobre 2026 sans nouvelle date. L'ANSSI envisage d'exiger une conformité complète d'ici fin 2028.

Une entité de l'annexe I est-elle forcément une entité essentielle ?

Non. Une entité de l'annexe I n'est essentielle que si elle dépasse les plafonds de la moyenne entreprise (au moins 250 salariés, ou plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de bilan), sauf cas particuliers prévus à l'article 3 : prestataires de services de confiance qualifiés, registres de premier niveau, fournisseurs DNS, fournisseurs de communications électroniques publics de taille moyenne, administrations centrales. Les autres entités dans le champ sont importantes.

Quelles sont les principales obligations de NIS 2 ?

Trois articles les portent. L'article 20 impose à la direction d'approuver et de superviser les mesures de cybersécurité et de suivre une formation. L'article 21 fixe dix catégories de mesures de gestion des risques, de l'analyse des risques à l'authentification multifacteur, en passant par la continuité d'activité, la chaîne d'approvisionnement et la gestion des vulnérabilités. L'article 23 organise la notification des incidents importants. Ces obligations sont les mêmes pour les entités essentielles et importantes.

Quels sont les délais de notification d'un incident sous NIS 2 ?

Pour un incident important : alerte précoce sous 24 heures, notification d'incident sous 72 heures, puis rapport final au plus tard un mois après cette notification (article 23). Si l'incident concerne des données personnelles, une notification à la CNIL peut aussi être due sous 72 heures au titre de l'article 33 du RGPD.

Quelles sont les sanctions prévues par NIS 2 ?

L'article 34 impose aux États un plafond d'amende d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, et d'au moins 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu. S'y ajoutent des mesures d'exécution (instructions contraignantes, injonctions, publication des manquements) et, pour les entités essentielles, la suspension temporaire d'une autorisation ou l'interdiction temporaire d'exercer des fonctions de direction.

Les dirigeants sont-ils personnellement responsables sous NIS 2 ?

Oui. L'article 20 prévoit que les organes de direction, qui approuvent et supervisent les mesures de gestion des risques, peuvent être tenus responsables de leur violation, et leurs membres doivent suivre une formation à la cybersécurité. Dans une entité essentielle, l'article 32 permet aussi de tenir pour responsables les personnes qui la dirigent et, en dernier recours, de demander l'interdiction temporaire d'exercer des fonctions de direction.

Comment se mettre en conformité NIS 2 sans attendre la loi française ?

Les mesures de l'article 21 sont connues depuis 2022 et le ReCyF de l'ANSSI en donne la déclinaison française : rien n'oblige à attendre le vote. La démarche suit six étapes : qualifier l'entité et son périmètre, installer la gouvernance de l'article 20, mesurer l'écart aux dix mesures de l'article 21, bâtir un plan d'action priorisé et approuvé par la direction, préparer la notification des incidents, puis maintenir un dossier de preuves. L'analyse d'écart prend en général quelques semaines, le plan d'action plusieurs trimestres.

Qu'est-ce que le ReCyF ?

Le Référentiel Cyber France est le référentiel publié par l'ANSSI en mars 2026. Il liste les mesures recommandées pour atteindre les objectifs de sécurité de NIS 2 et sert de grille naturelle pour l'analyse d'écart. Il a encore le statut de document de travail.