La cybersécurité a quitté le périmètre de la seule direction informatique. Avec la directive NIS2, l'Union européenne impose à des dizaines de milliers d'organisations un niveau d'exigence inédit en matière de gestion des risques cyber, de notification d'incident et de responsabilité des dirigeants.
En France, la transposition avance par étapes et l'ANSSI publie déjà ses premiers outils d'accompagnement. Pour un dirigeant de PME, un DRH ou un consultant, le sujet n'est plus seulement technique : il devient organisationnel, contractuel et managérial. Voici un point clair sur NIS2 en 2026, son périmètre réel, ses obligations et la manière de s'y préparer sans paralyser l'activité.
NIS2 en France, obligations et entreprises concernées
Temps de lecture : ~9 min
- Qu'est-ce que la directive NIS2 et en quoi diffère-t-elle de NIS1
- Quelles entreprises et quels secteurs sont concernés par NIS2 en France
- Quelles sont les obligations NIS2 concrètes
- Quel est le rôle de l'ANSSI et du ReCyF
- Où en est la transposition de NIS2 en droit français
- Quelles sanctions en cas de non-conformité à NIS2
- Comment se mettre en conformité, étape par étape
- NIS2, prestataires informatiques et fournisseurs
- La dimension managériale, le maillon souvent oublié
- Aller plus loin avec NIS2 en 2026
- Questions fréquentes sur NIS2
Qu'est-ce que la directive NIS2 et en quoi diffère-t-elle de NIS1
Objectifs de la directive NIS2
NIS2 est le nom courant de la directive (UE) 2022/2555, adoptée le 14 décembre 2022 et entrée en vigueur le 16 janvier 2023. Elle remplace la première directive NIS de 2016, dont le périmètre se limitait à un nombre restreint d'opérateurs de services essentiels et de fournisseurs de services numériques. Son objectif est d'élever et d'harmoniser le niveau de résilience des systèmes d'information dans l'ensemble des États membres, en traitant la sécurité numérique comme une condition de continuité des services vitaux pour l'économie et la société.
Les différences majeures avec NIS1
Trois différences majeures séparent NIS2 de la directive européenne cybersécurité qui la précédait. D'abord un élargissement considérable du périmètre sectoriel et du nombre d'entités assujetties. Ensuite une distinction nouvelle entre entités essentielles et entités importantes, qui conditionne l'intensité de la supervision et le plafond des sanctions. Enfin une responsabilisation explicite des organes de direction, qui doivent approuver les mesures de gestion des risques, se former et superviser leur application. Autrement dit, le sujet remonte du service informatique vers le comité de direction.
Quelles entreprises et quels secteurs sont concernés par NIS2 en France
Critères d'assujettissement à NIS2
Le texte européen vise principalement les entités moyennes et grandes actives dans des secteurs jugés critiques. Certaines organisations peuvent toutefois être assujetties indépendamment de leur taille lorsqu'elles fournissent un service particulièrement critique ou jouent un rôle systémique, par exemple un prestataire unique sur un territoire. La logique n'est donc pas uniquement un seuil d'effectif, elle combine secteur, taille et rôle dans la chaîne d'approvisionnement numérique.
Secteurs concernés par NIS2
Les secteurs identifiés par la directive couvrent un spectre très large de l'activité économique :
- Énergie, transports, banque et infrastructures des marchés financiers
- Santé, eau potable et eaux usées
- Infrastructures numériques, gestion des services informatiques et fournisseurs numériques
- Administration publique, espace, services postaux et de courrier
- Gestion des déchets, fabrication de produits critiques, recherche
La question des PME revient systématiquement. NIS2 ne cible pas l'ensemble des petites structures, mais une PME peut entrer dans le champ si elle relève d'un secteur listé et dépasse les seuils applicables, ou si elle fournit un service critique. Même non assujettie directement, elle sera souvent concernée indirectement, car ses clients soumis à la directive devront exiger d'elle des garanties contractuelles de sécurité. C'est aujourd'hui le principal vecteur de diffusion de NIS2 dans le tissu économique français.
Bon à savoir
Une entreprise non assujettie peut recevoir un questionnaire de sécurité de la part d'un donneur d'ordre soumis à NIS2. Mieux vaut préparer ses réponses en amont, car ce document devient un critère de sélection commerciale.
Quelles sont les obligations NIS2 concrètes
Mesures de sécurité attendues
La directive demande des mesures techniques, opérationnelles et organisationnelles proportionnées aux risques encourus. Le socle attendu est connu et documenté. Il comprend l'analyse de risques et la politique de sécurité des systèmes d'information, la gestion et le traitement des incidents, la continuité d'activité et la reprise après sinistre, la sécurité de la chaîne d'approvisionnement, la sécurité dans l'acquisition et la maintenance des systèmes, l'évaluation de l'efficacité des mesures, les pratiques d'hygiène informatique et la formation, la cryptographie, la sécurité des ressources humaines, le contrôle des accès et la gestion des actifs, ainsi que l'authentification renforcée et les communications sécurisées.
Notification des incidents significatifs
Deuxième bloc d'obligations, la notification d'incident significatif. La directive prévoit un processus échelonné avec une alerte rapide, une notification plus complète puis un rapport final selon la nature de l'événement. Cela suppose d'avoir défini à l'avance ce qui constitue un incident significatif, qui décide, qui rédige et qui signe. Un plan de réponse aux incidents non testé reste un document théorique le jour où la production s'arrête.
Gouvernance et responsabilités des dirigeants
Troisième bloc, la gouvernance. Les dirigeants doivent approuver les mesures de gestion des risques cyber, en superviser la mise en œuvre et suivre une formation adaptée. S'y ajoutent l'enregistrement auprès de l'ANSSI pour les entités qui estiment entrer dans le périmètre national, et le maintien d'une analyse régulière de conformité. Cette dernière exigence impose de conserver des preuves de conformité, politiques, procédures, comptes rendus d'audit, rapports d'incident, tests de restauration et indicateurs de supervision de sécurité.
Quel est le rôle de l'ANSSI et du ReCyF
En France, l'ANSSI, Agence nationale de la sécurité des systèmes d'information, est l'autorité de référence pour NIS2. Elle anime l'accompagnement des organisations via la plateforme MesServicesCyber, qui centralise les informations sur l'assujettissement, les obligations et les modalités d'enregistrement. L'agence a également publié le Référentiel Cyber France, le ReCyF, qui traduit les objectifs de sécurité de la directive en mesures opérationnelles. Ce référentiel propose des objectifs, des mesures techniques et organisationnelles, des recommandations de gouvernance, des exigences sur la gestion des incidents et les fournisseurs, ainsi que des éléments de preuve mobilisables lors d'un contrôle.
Point important, l'ANSSI diffuse le ReCyF comme document de travail dans l'attente de l'achèvement des travaux législatifs et réglementaires français. Il constitue donc une base de préparation solide, pas encore un texte opposable figé. Au niveau européen, l'ENISA, agence de l'Union européenne pour la cybersécurité, complète ce dispositif par ses guides et ses états des lieux sectoriels.
Où en est la transposition de NIS2 en droit français
Le calendrier réglementaire explique l'inconfort que ressentent beaucoup de dirigeants. La directive est en vigueur depuis trois ans, la date limite de transposition nationale est dépassée, et le cadre français se stabilise progressivement. La Commission européenne a adressé à la France un avis motivé le 7 mai 2025 pour transposition incomplète, ce qui accélère les travaux en cours.
| Date | Étape |
|---|---|
| 14 décembre 2022 | Adoption de la directive (UE) 2022/2555 |
| 16 janvier 2023 | Entrée en vigueur de NIS2 |
| 17 octobre 2024 | Date limite de transposition par les États membres |
| 7 mai 2025 | Avis motivé de la Commission européenne à la France pour transposition incomplète |
| 2026 | Mise à disposition du ReCyF par l'ANSSI et pré-enregistrement des entreprises |
Quelles sanctions en cas de non-conformité à NIS2
La directive dote les autorités de pouvoirs de supervision et de sanctions financières calculées en valeur absolue ou en pourcentage du chiffre d'affaires mondial, le montant le plus élevé étant retenu. Les plafonds diffèrent selon la catégorie d'entité.
| Catégorie | Plafond de sanction | Niveau de supervision |
|---|---|---|
| Entités essentielles | 10 millions d'euros ou 2 % du chiffre d'affaires mondial | Contrôle a priori et a posteriori |
| Entités importantes | 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial | Contrôle principalement a posteriori |
Les sanctions doivent rester proportionnées aux manquements constatés. Au delà du risque financier, la vraie exposition est réputationnelle et commerciale, car un manquement documenté fragilise la relation avec les clients, les assureurs et les partenaires bancaires.
Comment se mettre en conformité, étape par étape
Étapes clés de la mise en conformité NIS2
La démarche se structure en six temps, dans un ordre qui évite les investissements mal ciblés.
- Déterminer son assujettissement en croisant secteur, taille, services fournis, rôle dans une chaîne d'approvisionnement critique et liens avec d'autres entités.
- Réaliser la cartographie du système d'information : applications, infrastructures, données, utilisateurs, fournisseurs, flux, systèmes exposés à Internet et dépendances critiques.
- Conduire une analyse de risques documentée et actualisée, qui identifie menaces, vulnérabilités, impacts et mesures existantes.
- Mesurer les écarts par un audit de maturité cyber comparant les pratiques réelles aux exigences de la directive et du ReCyF.
- Établir un plan d'action priorisé sur les risques critiques, les systèmes essentiels, la notification, la sauvegarde et la reprise, la gestion des accès, la sécurité des fournisseurs et la sensibilisation des collaborateurs.
- Préparer les preuves, car la conformité se démontre autant qu'elle se décrète.
Beaucoup d'organisations découvrent dès la deuxième étape des services numériques non référencés, souvent souscrits métier par métier.
Important
Méfiez-vous des offres promettant une conformité garantie. Le niveau d'exigence dépend du périmètre réel de l'entité, de ses risques propres et de la transposition nationale applicable, qui se stabilise encore en 2026.
NIS2, prestataires informatiques et fournisseurs
Les entreprises de services sont au cœur du dispositif. Un prestataire informatique qui héberge, administre, supervise ou infogère les systèmes de ses clients peut relever directement de NIS2 au titre de la gestion des services informatiques. Et même lorsqu'il n'est pas assujetti, il se voit imposer des exigences de sécurité contractuelles par ses clients. La directive demande en effet aux entités concernées de maîtriser les risques liés à leurs fournisseurs et sous-traitants, avec des clauses de sécurité, des mécanismes de suivi et une obligation de coopération en cas d'incident.
Pour un cabinet de conseil ou un éditeur, cette exigence devient un argument différenciant. Démontrer la robustesse de sa propre chaîne d'approvisionnement numérique, documenter l'hébergement des données de ses clients et clarifier la propriété de ces données sont désormais des conditions d'entrée dans les appels d'offres. C'est une logique que nous appliquons à notre propre plateforme, conçue pour être partagée avec différents cabinets de conseil tout en préservant strictement la propriété des données de leurs clients.
La dimension managériale, le maillon souvent oublié
Une directive ne sécurise rien par elle-même. Les mesures techniques échouent quand la culture interne ne suit pas, quand l'information descend mal et quand les collaborateurs travaillent sous une charge cognitive excessive. Nos observations issues de plus de 4 500 diagnostics le montrent, la perception de la qualité du transfert d'information décroît fortement selon le niveau hiérarchique, des dirigeants aux managers puis aux collaborateurs. Appliqué à la cybersécurité, cet écart signifie qu'une procédure validée en comité de direction peut rester inconnue sur le terrain.
Les interruptions intempestives jouent le même rôle d'amplificateur de risque. Un collaborateur sollicité en permanence par les notifications traite ses messages en mode réflexe, ce qui est précisément le terrain favorable à l'hameçonnage. C'est pourquoi un audit NIS2 gagne à être complété par un diagnostic managérial et digital, qui évalue ensemble la maturité numérique, les pratiques de management et le climat de travail. Évaluer séparément le management et le digital revient à traiter un symptôme sans comprendre la cause.
Aller plus loin avec NIS2 en 2026
NIS2 n'est pas une contrainte administrative de plus, c'est un cadre structurant qui oblige les organisations à savoir ce qu'elles font tourner, avec qui et selon quelles règles. En 2026, le bon réflexe consiste à vérifier son assujettissement, à cartographier son système d'information, à mesurer ses écarts avec le ReCyF et à embarquer réellement les dirigeants et les managers. Les entreprises qui avanceront vite transformeront cette obligation en avantage commercial, parce que la preuve de sérieux devient un critère de choix pour leurs clients.
FAQ NIS2 : questions fréquentes
Une filiale française d'un groupe étranger est-elle soumise à NIS2 ?
L'assujettissement s'apprécie au niveau de l'entité qui fournit le service sur le territoire de l'État membre. Une filiale implantée en France relevant d'un secteur listé et des seuils applicables doit se rapprocher de l'ANSSI, même si la maison mère est située hors de l'Union européenne.
Faut-il nommer un responsable de la sécurité des systèmes d'information pour être conforme ?
La directive n'impose pas un intitulé de poste précis, mais elle exige une gouvernance identifiée et une supervision par les organes de direction. Dans une PME, cette mission peut être portée par un référent interne appuyé par un prestataire, à condition que les rôles et les délégations soient formalisés.
Les certifications existantes comme ISO 27001 suffisent-elles ?
Un système de management de la sécurité de l'information déjà en place constitue une base très utile et facilite la production des preuves. Il ne dispense toutefois ni de l'enregistrement auprès de l'autorité nationale, ni du respect des obligations de notification propres à NIS2.
Que se passe-t-il si mon entreprise subit un incident avant d'être conforme ?
L'obligation de notification s'applique dès lors que l'entité est assujettie, indépendamment de son état d'avancement. Disposer d'un plan de réponse aux incidents, même minimal, et d'un canal de remontée clair réduit fortement le risque de manquement constaté.
Comment convaincre un comité de direction d'investir sur le sujet ?
Les données objectives fonctionnent mieux que les discours alarmistes. Un audit de maturité cyber chiffré, associé à un diagnostic des pratiques managériales et digitales, permet de présenter des priorités argumentées et un plan d'action lisible plutôt qu'une liste de dépenses techniques.