La directive NIS 2 (directive (UE) 2022/2555) ne se contente pas d'élargir le nombre d'organisations concernées par la cybersécurité réglementée : elle impose des obligations concrètes, assorties de sanctions parmi les plus lourdes du droit européen, jusqu'à 10 millions d'euros, et engage personnellement les dirigeants. Pour un dirigeant, un DSI ou un DPO, deux questions priment : que dois-je mettre en place, et que est-ce que je risque si je ne le fais pas ? Ce guide répond aux deux, des dix mesures de l'article 21 aux sanctions de l'article 34, en passant par la formation des organes de direction et la notification des incidents.
NIS 2 est un texte de cybersécurité, pas une réglementation de protection des données personnelles. Pour une vue d'ensemble (définition, secteurs concernés, calendrier de transposition), consultez le guide pilier Directive NIS 2 : le guide complet.
Les obligations NIS 2 : les dix mesures de l'article 21
Le coeur des obligations NIS 2 tient dans l'article 21 de la directive. Il impose aux entités concernées d'adopter des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité de leurs réseaux et systèmes d'information. La directive énumère dix catégories de mesures, qui constituent le socle minimal de toute démarche de mise en conformité.
- Politiques d'analyse des risques et de sécurité des systèmes d'information.
- Gestion des incidents : détection, traitement et signalement.
- Continuité des activités : sauvegardes, reprise après sinistre (PRA) et gestion de crise.
- Sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs et prestataires directs.
- Sécurité de l'acquisition, du développement et de la maintenance des réseaux et systèmes, dont la gestion des vulnérabilités.
- Politiques et procédures d'évaluation de l'efficacité des mesures de gestion des risques.
- Pratiques de base en matière de cyberhygiène et formation à la cybersécurité.
- Politiques relatives à l'utilisation de la cryptographie et du chiffrement.
- Sécurité des ressources humaines, contrôle d'accès et gestion des actifs.
- Authentification multifacteurs (MFA) et solutions de communication sécurisée.
Ces obligations de fond sont identiques pour les entités essentielles et les entités importantes : seule la supervision diffère (proactive pour les premières, a posteriori pour les secondes). Le règlement d'exécution (UE) 2024/2690 précise les mesures techniques minimales pour certaines catégories d'entités, comme les fournisseurs de services DNS, les datacenters ou les fournisseurs cloud.
La distinction entre ces deux catégories, les seuils de taille et les 18 secteurs visés sont détaillés dans notre guide sur les entités essentielles et importantes concernées par NIS 2.
La formation des dirigeants et des équipes (article 20)
C'est l'une des grandes nouveautés de NIS 2 par rapport au cadre précédent : l'article 20 impose aux organes de direction d'approuver les mesures de gestion des risques, d'en superviser la mise en oeuvre, et surtout de suivre une formation à la cybersécurité. La directive invite aussi les entités à proposer une formation similaire à leurs employés, de manière régulière.
Cette obligation de formation change la nature du sujet : la cybersécurité n'est plus une affaire purement technique reléguée au service informatique, mais une responsabilité de gouvernance qui remonte au comité de direction. Les dirigeants ne peuvent plus déléguer entièrement le risque cyber : ils doivent en comprendre les enjeux pour pouvoir l'arbitrer.
Sur ce volet humain, acculturer les dirigeants comme les équipes aux réflexes de cybersécurité est un préalable utile, quelle que soit votre échéance NIS 2. La mise en conformité NIS 2 elle-même relève du RSSI et de la direction générale, et sort du périmètre de conformité couvert par Leto, centré sur le RGPD et l'AI Act. En revanche, sur la sensibilisation, Leto propose un module dédié aux enjeux de protection des données et de cybersécurité : voir l'offre de sensibilisation.
La notification des incidents (article 23)
NIS 2 impose un calendrier de signalement strict en cas d'incident significatif, c'est-à-dire un incident qui cause ou est susceptible de causer une perturbation grave des services ou des pertes financières importantes. La procédure se déroule en trois temps auprès de l'autorité nationale compétente, l'ANSSI en France.
- Sous 24 heures : une alerte précoce, indiquant si l'incident est suspecté de résulter d'un acte malveillant ou peut avoir un impact transfrontalier.
- Sous 72 heures : une notification d'incident avec une évaluation initiale de la gravité, de l'impact et des indicateurs de compromission.
- Sous 1 mois : un rapport final détaillant la cause profonde, les mesures d'atténuation appliquées et l'impact réel.
Ce calendrier rappelle celui du RGPD, sans se confondre avec lui. En cas de violation de données personnelles, le RGPD impose une notification à la CNIL sous 72 heures. Un même incident, par exemple un rançongiciel chiffrant une base de données clients, peut donc déclencher les deux régimes en parallèle, avec un point de vigilance : l'alerte NIS 2 sous 24 heures est plus courte que le délai RGPD. La bonne pratique consiste à bâtir une procédure unique de gestion d'incident qui embarque les deux circuits dès la détection. Pour structurer la sécurité en amont, voir notre guide sur la politique de sécurité informatique.
Les sanctions NIS 2 : jusqu'à 10 millions d'euros
L'article 34 de la directive fixe des sanctions administratives nettement supérieures à celles du cadre précédent, et différenciées selon la catégorie d'entité.
- Entités essentielles : amende administrative maximale de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé s'appliquant.
- Entités importantes : amende maximale de 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total.
Au-delà des amendes, l'autorité dispose de pouvoirs de supervision étendus : injonctions de se mettre en conformité, instructions contraignantes, obligation d'informer les clients d'une menace, et publication des manquements (le name and shame). Pour les entités essentielles, l'autorité peut aller jusqu'à suspendre temporairement une certification ou une autorisation, voire interdire temporairement à un dirigeant d'exercer ses fonctions de direction.
La responsabilité personnelle des dirigeants
C'est le point le plus marquant pour la gouvernance. NIS 2 (article 20 combiné à l'article 32) engage la responsabilité personnelle des organes de direction en cas de manquement grave aux obligations de gestion des risques. La conformité cyber devient ainsi un sujet de comité de direction, pas seulement un sujet technique. Pour un DPO ou un RSSI, c'est un levier : le sponsoring de la direction, souvent difficile à obtenir, devient une obligation légale.
Comparaison éclair avec le RGPD
Les deux régimes partagent une logique de sanction dissuasive, mais diffèrent sur trois points. Le RGPD plafonne ses amendes à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, des seuils plus élevés que ceux de NIS 2. Le RGPD vise l'organisation en tant que responsable de traitement, sans nommer les dirigeants dans le texte, là où NIS 2 engage leur responsabilité personnelle. Enfin, l'autorité diffère : la CNIL pour le RGPD, l'ANSSI pour NIS 2. Pour comprendre l'articulation des deux textes, voir le guide pilier sur la directive NIS 2 et notre guide de référence sur le RGPD.
Par où commencer ?
Face à ce socle d'obligations, une organisation concernée gagne à procéder par étapes plutôt qu'à tout traiter de front. Quelques jalons structurent la démarche.
- Vérifier son assujettissement (secteur et seuils de taille) et s'identifier auprès de l'ANSSI sur le portail dédié.
- Cartographier les actifs critiques : réseaux, systèmes, données et prestataires.
- Évaluer les mesures existantes au regard des dix catégories de l'article 21 et identifier les écarts.
- Construire un plan d'action priorisé, en commençant par les mesures à fort impact et faible coût (MFA, sauvegardes, procédure d'incident).
- Inscrire la gouvernance du risque cyber et la formation des dirigeants à l'agenda du comité de direction.
- Former et sensibiliser les équipes aux réflexes de cyberhygiène.
Les ressources officielles de l'ANSSI, autorité nationale compétente, sont la source à privilégier pour qualifier votre situation et suivre la transposition : cyber.gouv.fr/nis2.
Le calendrier d'entrée en application et l'état d'avancement du texte français sont suivis dans notre guide sur la transposition de NIS 2 en France et le calendrier de la loi de résilience.
Questions fréquemment posées
Quelles sont les principales obligations de NIS 2 ?
NIS 2 impose, à travers l'article 21, dix catégories de mesures de gestion des risques : analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, gestion des vulnérabilités, évaluation de l'efficacité des mesures, cyberhygiène et formation, cryptographie, sécurité des ressources humaines et contrôle d'accès, et authentification multifacteurs. S'y ajoutent l'obligation de notification des incidents (article 23) et la formation des dirigeants (article 20).
Quelles sont les sanctions prévues par NIS 2 ?
Les entités essentielles risquent une amende administrative allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé s'appliquant. Les entités importantes risquent jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial. S'y ajoutent des mesures de supervision (injonctions, publication des manquements) et, pour les entités essentielles, la suspension temporaire d'une autorisation ou des fonctions de direction.
Les dirigeants sont-ils personnellement responsables sous NIS 2 ?
Oui. NIS 2 engage la responsabilité personnelle des organes de direction : ils doivent approuver les mesures de gestion des risques, en superviser la mise en oeuvre et suivre une formation à la cybersécurité. En cas de manquement grave, leur responsabilité peut être recherchée, et l'autorité peut interdire temporairement à un dirigeant d'exercer ses fonctions de direction dans les cas les plus sérieux.
Quels sont les délais de notification d'un incident NIS 2 ?
La procédure se fait en trois temps auprès de l'ANSSI : une alerte précoce sous 24 heures, une notification avec évaluation initiale sous 72 heures, et un rapport final détaillé sous 1 mois. Ces délais concernent les incidents significatifs, c'est-à-dire ceux qui causent ou peuvent causer une perturbation grave des services ou des pertes financières importantes.
La formation à la cybersécurité est-elle obligatoire sous NIS 2 ?
Oui. L'article 20 impose aux organes de direction de suivre une formation à la cybersécurité afin de pouvoir comprendre et arbitrer les risques. La directive invite également les entités à proposer une formation régulière à leurs employés. C'est l'une des nouveautés de NIS 2, qui fait de la sensibilisation un sujet de gouvernance et non plus seulement une question technique.
NIS 2 et RGPD : les sanctions se cumulent-elles ?
Les deux régimes sont distincts et peuvent s'appliquer simultanément à un même incident. Une violation de données personnelles relève du RGPD (sanction jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, autorité CNIL), tandis qu'un incident affectant un service critique relève de NIS 2 (jusqu'à 10 millions d'euros, autorité ANSSI). Un même rançongiciel touchant des données clients peut donc déclencher les deux régimes en parallèle, avec des autorités et des délais différents.
