NIS 2 : suis-je concerné, et par quoi commencer ?

La directive NIS 2 encadre la cybersécurité de plusieurs milliers d’entités en France, réparties sur 18 secteurs d’activité. Elle est entrée en application au niveau européen en octobre 2024, mais la loi française qui la transpose n’est toujours pas promulguée : le texte, adopté par le Sénat le 12 mars 2025, est encore en cours d’examen à l’Assemblée nationale.

Cet écart crée une situation inconfortable. L’obligation existe au niveau européen, le régulateur français a déjà publié son référentiel technique et ouvert son service d’enregistrement, mais le cadre juridique national n’est pas figé. La bonne question n’est donc pas « quand devrai-je m’y mettre », c’est « suis-je concerné, et par quoi commencer sans attendre le texte définitif ».

Ce qu’est NIS 2, en une minute

La directive NIS 2 remplace la première directive NIS de 2016 et élargit considérablement son périmètre. Là où le texte précédent visait quelques centaines d’opérateurs jugés critiques, celui-ci couvre 18 secteurs et descend jusqu’aux entreprises de taille moyenne. Énergie, transports, santé, eau, infrastructures numériques, administrations publiques, mais aussi services postaux, gestion des déchets, fabrication de dispositifs médicaux, agroalimentaire ou fournisseurs de services numériques.

Le texte impose deux familles d’obligations. Des mesures de gestion des risques d’abord : analyse de risque, gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, contrôle d’accès, chiffrement, formation. Un régime de notification d’incident ensuite, avec une alerte précoce puis un rapport circonstancié auprès de l’autorité nationale. Et un point qui change la nature du sujet : la responsabilité des organes de direction est explicitement engagée.

Les 18 secteurs, concrètement

La directive répartit les secteurs en deux annexes, et cette répartition détermine par défaut votre classement en entité essentielle ou importante. L’annexe I regroupe onze secteurs dits hautement critiques : énergie, transports, banque, infrastructures de marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services informatiques entre entreprises, administration publique et espace.

L’annexe II ajoute sept autres secteurs critiques : services postaux et d’expédition, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution de denrées alimentaires, fabrication au sens large (dispositifs médicaux, produits informatiques et électroniques, machines, véhicules), fournisseurs numériques et organismes de recherche.

C’est cette seconde annexe qui surprend le plus. Une entreprise de mécanique de 120 personnes, un fabricant de dispositifs médicaux ou un éditeur de logiciel vendu à des entreprises se croient rarement concernés par une réglementation de cybersécurité. Ils le sont.

Suis-je concerné ?

Deux critères se combinent : le secteur et la taille. Un secteur listé par la directive, et une entreprise qui dépasse les seuils de la taille moyenne au sens européen, c’est-à-dire 50 salariés ou 10 millions d’euros de chiffre d’affaires. En dessous, l’entité sort du champ, sauf cas particuliers où le rôle joué la rend critique quelle que soit sa taille.

La distinction suivante détermine l’intensité du contrôle. Les entités essentielles relèvent d’une supervision proactive : l’autorité peut contrôler sans motif préalable. Les entités importantes relèvent d’une supervision réactive, déclenchée par un indice de manquement. Les obligations de sécurité sont largement les mêmes, c’est la surveillance qui diffère.

L’ANSSI a mis en ligne un simulateur d’éligibilité qui répond à la question en quelques minutes, à partir du secteur, de l’effectif et du chiffre d’affaires. Le même espace permet de se préenregistrer auprès de l’agence et de demander un diagnostic gratuit. C’est le premier geste à faire, et il ne coûte rien.

Où en est la loi française

Le dossier législatif du Sénat permet de suivre l’avancée du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Le gouvernement a engagé la procédure accélérée le 15 octobre 2024. Le Sénat a adopté le texte en première lecture le 12 mars 2025, et il a été transmis à l’Assemblée nationale le lendemain, où il suit son parcours en commission.

Ce texte unique transpose trois directives européennes à la fois : NIS 2, la directive sur la résilience des entités critiques et une partie du règlement DORA pour le secteur financier. Cette architecture explique en partie le délai, et elle a une conséquence pratique : certaines entreprises se découvriront concernées par plusieurs volets du même texte.

Tant que la loi n’est pas promulguée, les seuils précis, la liste nominative des entités et le calendrier de sanction restent susceptibles d’évoluer. En revanche, le socle de la directive, lui, ne bougera plus.

Le référentiel technique existe déjà

C’est l’élément que beaucoup d’entreprises ignorent, et il change la donne pour qui veut avancer. L’ANSSI a publié le 17 mars 2026 le Référentiel Cyber France, qui traduit les objectifs de sécurité de NIS 2 en exigences concrètes, avec un principe de proportionnalité : le niveau d’effort attendu s’adapte à la maturité de l’entité et aux moyens dont elle dispose.

Une précision importante et souvent omise : ce référentiel est diffusé comme un document de travail. L’ANSSI indique qu’aucune version définitive ne sera publiée tant que les travaux législatifs et réglementaires de transposition ne seront pas achevés et que le texte n’aura pas été soumis à consultation. Il faut donc le lire comme la meilleure indication disponible de ce qui sera exigé, pas comme une norme opposable.

Ce que le référentiel demande recoupe largement ce qu’une organisation sérieuse devrait déjà faire : inventaire du système d’information et analyse de risque pour toutes les entités concernées, plan de continuité et de reprise pour les entités essentielles, exercices et tests réguliers pour vérifier la capacité à traiter un incident et une crise cyber.

La notification d’incident, en trois temps

C’est l’obligation la plus opérationnelle du texte, et celle qui met une organisation en difficulté si elle n’a pas été préparée. La directive impose un signalement en trois étapes auprès du CSIRT ou de l’autorité nationale, chaque délai courant à partir du moment où l’entité a connaissance de l’incident.

• 24 heures : une alerte précoce, qui indique simplement qu’un incident significatif est survenu et si l’on soupçonne un acte malveillant ou un impact transfrontalier.
• 72 heures : une notification d’incident complète, avec une première évaluation de la gravité, de l’impact et des indicateurs de compromission.
• Un mois : un rapport final décrivant l’incident, sa cause, les mesures prises et l’impact transfrontalier. Si l’incident est toujours en cours à cette échéance, un rapport d’avancement le remplace.

Le point à retenir n’est pas la liste des délais, c’est ce qu’ils impliquent. Vingt-quatre heures, ce n’est pas le temps d’une enquête technique : c’est le temps d’une décision. Il faut donc avoir désigné à l’avance qui qualifie un incident comme significatif, qui a le pouvoir de déclencher la notification, et par quel canal, y compris un vendredi soir. Une organisation qui découvre cette question pendant une crise perdra les vingt-quatre heures à chercher la bonne personne.

Les sanctions

Le régime est calqué sur celui du RGPD dans sa mécanique. D’après la foire aux questions de la Commission européenne, les États membres doivent prévoir, pour les entités essentielles, une amende maximale d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les entités importantes, le plafond est d’au moins 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial.

Deux nuances méritent d’être connues. L’autorité doit tenir compte des circonstances de chaque cas : nature, gravité et durée du manquement, dommages causés, caractère intentionnel ou négligent. Et l’amende n’est pas le seul levier : la directive prévoit aussi des injonctions, des audits imposés, et la possibilité de suspendre temporairement une certification ou d’interdire à un dirigeant d’exercer ses fonctions de direction.

Par quoi commencer, sans attendre la loi

Quatre actions ont du sens dès maintenant, parce qu’elles seront demandées quelle que soit la version finale du texte, et parce qu’elles prennent du temps.

• Vérifier son éligibilité et se préenregistrer. Le simulateur de l’ANSSI donne la réponse, et le préenregistrement vous place dans la boucle d’information de l’agence plutôt que de découvrir vos obligations par la presse.
• Faire l’inventaire du système d’information. C’est la première exigence du référentiel, et c’est celle qui prend le plus de temps dans une organisation qui a grandi par accumulation. Impossible de protéger ce qu’on ne sait pas qu’on possède.
• Cartographier la chaîne d’approvisionnement numérique. NIS 2 rend l’entité responsable de la sécurité de ses fournisseurs critiques. Cela signifie savoir qui héberge quoi, qui a accès à quoi, et ce que prévoient les contrats en cas d’incident chez le prestataire.
• Écrire la procédure de notification d’incident. Qui détecte, qui qualifie, qui décide de notifier, dans quels délais. Le réflexe existe déjà côté données personnelles, avec les 72 heures de la notification de violation à la CNIL : autant construire une procédure unique qui couvre les deux régimes.

Le point aveugle : le contrôle d’accès

Une remarque de terrain, qui vaut pour la plupart des organisations que nous accompagnons. Les projets de mise en conformité se concentrent souvent sur le périmètre réseau, l’antivirus et la sauvegarde, qui sont visibles et rassurants. Le sujet qui produit le plus d’incidents réels est ailleurs : c’est le contrôle d’accès applicatif.

Le contrôle d’accès défaillant occupe la première place du Top 10 de l’OWASP depuis 2021. Concrètement : un identifiant modifiable dans une URL qui ouvre le dossier d’un autre client, un export réservé aux administrateurs mais joignable en direct, une API qui renvoie plus de champs que l’écran n’en affiche, un compte de prestataire resté actif après la fin de la mission. Ces défauts ne se voient pas depuis un audit d’infrastructure, et ce sont eux qui transforment une intrusion mineure en fuite de données.

C’est aussi un point où l’inventaire demandé par NIS 2 rend service au-delà de la conformité : lister ses applications, c’est découvrir celles que plus personne ne maintient. Nous détaillons cette démarche dans nos articles sur le shadow IT et sur la dette technique.

Ce que nous en retenons

NIS 2 n’est pas un projet informatique de plus, c’est un changement de statut : la cybersécurité devient une obligation de moyens documentée, avec une responsabilité qui remonte à la direction. Pour une ETI, l’essentiel du travail des prochains mois n’est pas technique, il est organisationnel : savoir ce qu’on possède, savoir de qui on dépend, et savoir qui fait quoi en cas d’incident.

Le calendrier français n’est pas encore figé, mais il ne se resserrera pas. Les entreprises qui utilisent ce délai pour faire l’inventaire et cartographier leurs fournisseurs auront un chantier étalé. Les autres découvriront la liste des exigences en même temps que la date limite. Si vous voulez cadrer ce sujet avant qu’il ne devienne urgent, parlons-en.