NIS2 : tout savoir sur la directive européenne de cybersécurité
Introduction
La directive NIS2 (Network and Information Security 2) est le texte réglementaire européen le plus ambitieux en matière de cybersécurité. Adoptée en décembre 2022 et transposable dans les droits nationaux avant le 17 octobre 2024, elle remplace la directive NIS1 de 2016 et élargit considérablement le périmètre des organisations concernées.
En France, c'est l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) qui pilote la transposition et l'application de cette directive. Avec NIS2, l'Union européenne franchit un cap décisif : la cybersécurité n'est plus une option, c'est une obligation légale.
Pourquoi NIS2 ? Les limites de NIS1
La première directive NIS (2016) a posé les bases de la cybersécurité européenne, mais présentait des lacunes importantes :
- Périmètre trop restreint : seuls les Opérateurs de Services Essentiels (OSE) et les fournisseurs de services numériques étaient concernés
- Transposition hétérogène : chaque État membre a interprété différemment les exigences
- Sanctions insuffisantes : pas de mécanisme coercitif harmonisé
- Chaîne d'approvisionnement ignorée : les sous-traitants et fournisseurs n'étaient pas couverts
Le contexte de menaces en 2024-2026
L'explosion des cyberattaques a accéléré la refonte :
- +38% d'attaques par ransomware en Europe en 2025
- Coût moyen d'une violation de données : 4,45 M€ (IBM 2025)
- Attaques sur les infrastructures critiques : hôpitaux, énergie, transports
- Menaces géopolitiques : cyberguerre, espionnage étatique
- Supply chain attacks : SolarWinds, Log4Shell, MOVEit
Qu'est-ce que NIS2 change concrètement ?
1. Un périmètre considérablement élargi
NIS2 passe d'environ 15 000 entités sous NIS1 à plus de 150 000 entités dans l'UE. En France, on estime entre 10 000 et 15 000 organisations concernées.
#### Entités essentielles (EE)
Les secteurs à haute criticité :
- Énergie : électricité, gaz, pétrole, hydrogène, chauffage urbain
- Transports : aérien, ferroviaire, maritime, routier
- Banque et finance : établissements de crédit, infrastructures de marché
- Santé : hôpitaux, laboratoires, fabricants de dispositifs médicaux
- Eau : potable et usées
- Infrastructure numérique : DNS, TLD, datacenters, CDN, fournisseurs cloud
- Administration publique : gouvernement central et régional
- Espace : opérateurs d'infrastructures spatiales
Les secteurs critiques supplémentaires :
- Services postaux et d'expédition
- Gestion des déchets
- Industrie chimique
- Agroalimentaire : production, transformation, distribution
- Industrie manufacturière : dispositifs médicaux, électronique, automobile
- Fournisseurs numériques : places de marché, moteurs de recherche, réseaux sociaux
- Recherche : organismes de recherche
2. Des critères de taille clairs
| Critère | Entité importante | Entité essentielle |
|---|---|---|
| Effectif | ≥ 50 salariés | ≥ 250 salariés |
| Chiffre d'affaires | ≥ 10 M€ | ≥ 50 M€ |
| Bilan annuel | ≥ 10 M€ | ≥ 43 M€ |
Les obligations de NIS2
Obligation 1 : Gouvernance et responsabilité de la direction
C'est la nouveauté majeure : les organes de direction sont personnellement responsables de la cybersécurité.- Les dirigeants doivent approuver les mesures de gestion des risques
- Ils doivent suivre une formation en cybersécurité
- En cas de manquement, ils peuvent être personnellement sanctionnés
- La cybersécurité doit être un sujet du conseil d'administration
Obligation 2 : Mesures de gestion des risques
NIS2 impose 10 mesures minimales de sécurité :
- Politiques d'analyse des risques et de sécurité des systèmes d'information
- Gestion des incidents : détection, réponse, notification
- Continuité d'activité : sauvegardes, PRA/PCA, gestion de crise
- Sécurité de la chaîne d'approvisionnement : audit des fournisseurs
- Sécurité dans l'acquisition, le développement et la maintenance des SI
- Évaluation de l'efficacité des mesures de gestion des risques
- Pratiques de cyberhygiène et formation
- Cryptographie et chiffrement
- Sécurité des ressources humaines et contrôle d'accès
- Authentification multifacteur (MFA) et communications sécurisées
Obligation 3 : Notification des incidents
NIS2 impose un processus de notification en 3 étapes :
| Étape | Délai | Contenu |
|---|---|---|
| Alerte précoce | 24 heures | Suspicion d'incident significatif |
| Notification d'incident | 72 heures | Évaluation initiale, gravité, impact |
| Rapport final | 1 mois | Analyse complète, mesures correctives |
- Cause ou peut causer une perturbation grave du service
- Cause une perte financière importante
- Affecte d'autres personnes physiques ou morales
Obligation 4 : Sécurité de la chaîne d'approvisionnement
C'est un changement majeur : les entités doivent auditer leurs fournisseurs et sous-traitants :
- Évaluation des risques liés aux fournisseurs directs
- Clauses contractuelles de cybersécurité obligatoires
- Surveillance continue de la posture de sécurité des tiers
- Plans de réponse en cas de compromission d'un fournisseur
Le régime de sanctions
Pour les entités essentielles
- Amende maximale : 10 millions d'euros ou 2% du chiffre d'affaires mondial
- Suspension temporaire d'activité possible
- Interdiction temporaire d'exercer pour les dirigeants
Pour les entités importantes
- Amende maximale : 7 millions d'euros ou 1,4% du chiffre d'affaires mondial
- Mesures correctives obligatoires
Pouvoirs de contrôle renforcés
L'ANSSI (en France) disposera de pouvoirs étendus :
- Audits de sécurité réguliers ou ciblés
- Inspections sur site annoncées ou non
- Demandes d'information sur les mesures de sécurité
- Injonctions de mise en conformité avec délai
- Astreintes en cas de non-respect
Calendrier de mise en conformité
| Date | Étape |
|---|---|
| Janvier 2023 | Entrée en vigueur de la directive |
| Octobre 2024 | Date limite de transposition nationale |
| Avril 2025 | Les États membres établissent la liste des entités |
| Octobre 2025 | Premiers audits et contrôles possibles |
| 2026-2027 | Montée en puissance des sanctions |
En France : la transposition
Le projet de loi de transposition française prévoit :
- L'ANSSI comme autorité nationale compétente
- Un portail d'enregistrement pour les entités concernées
- Des référentiels techniques adaptés au contexte français
- Une période de grâce pour les nouvelles entités soumises
Comment se mettre en conformité NIS2
Étape 1 : Déterminer si vous êtes concerné
Vérifiez si votre organisation :
- Opère dans un secteur couvert par NIS2
- Dépasse les seuils de taille (50 salariés ou 10 M€ de CA)
- Fournit des services dans l'Union européenne
Étape 2 : Réaliser un audit de maturité
Évaluez votre posture actuelle par rapport aux 10 mesures de NIS2 :
- Analyse des écarts (gap analysis) entre l'existant et les exigences
- Cartographie des risques sur les systèmes critiques
- Évaluation de la chaîne d'approvisionnement
Étape 3 : Construire le plan de remédiation
Priorisez les actions selon l'impact et l'effort :
- Quick wins : MFA, sauvegardes, sensibilisation
- Moyen terme : SIEM, SOC, politiques de sécurité formalisées
- Long terme : certification ISO 27001, audit de la supply chain
Étape 4 : Mettre en place la gouvernance
- Nommer un RSSI (Responsable de la Sécurité des SI) si ce n'est pas fait
- Créer un comité de pilotage cybersécurité incluant la direction
- Documenter les politiques et procédures de sécurité
- Planifier les formations obligatoires pour les dirigeants
Étape 5 : Déployer les mesures techniques
- Détection : SIEM, EDR, NDR pour identifier les incidents
- Réponse : plan d'incident, playbooks, exercices de crise
- Continuité : PCA/PRA testés régulièrement
- Chiffrement : données au repos et en transit
- Accès : Zero Trust, MFA, gestion des identités (IAM)
Étape 6 : Tester et améliorer
- Tests d'intrusion réguliers (pentest)
- Exercices de crise cyber au moins annuels
- Audits internes et revue de direction
- Veille sur les menaces et les évolutions réglementaires
NIS2 et les autres réglementations
| Réglementation | Domaine | Synergie avec NIS2 |
|---|---|---|
| RGPD | Données personnelles | Notification 72h similaire, mesures techniques |
| AI Act | Intelligence artificielle | Cybersécurité des systèmes IA à haut risque |
| DORA | Finance | Exigences spécifiques secteur financier |
| CRA | Produits connectés | Sécurité by design des produits IoT |
| ISO 27001 | SMSI | Cadre compatible, facilite la conformité NIS2 |
La convergence réglementaire européenne
NIS2 s'inscrit dans un écosystème réglementaire cohérent :
- NIS2 + RGPD : protection des données ET des systèmes
- NIS2 + AI Act : sécurité des systèmes d'IA critiques
- NIS2 + CRA : sécurité du hardware au software
- NIS2 + DORA : résilience opérationnelle du secteur financier
Conseils pratiques pour les PME
Les PME sont souvent les plus impactées par NIS2, car elles disposent de moins de ressources :
Budget cybersécurité
- Prévoir 5 à 10% du budget IT pour la cybersécurité
- Envisager la mutualisation via des MSSP (Managed Security Service Provider)
- Profiter des aides publiques : subventions ANSSI, dispositifs régionaux
Approche pragmatique
- Commencer par les fondamentaux : MFA, sauvegardes 3-2-1, mise à jour
- Utiliser des frameworks reconnus : ISO 27001, NIST CSF, Guide ANSSI
- S'appuyer sur des prestataires certifiés PASSI pour les audits
Outils recommandés
- SIEM managé : Splunk Cloud, Microsoft Sentinel, Elastic SIEM
- EDR : CrowdStrike, SentinelOne, Microsoft Defender for Endpoint
- Gestion des vulnérabilités : Qualys, Tenable, OpenVAS
- MFA : Duo, Okta, Microsoft Authenticator
Conclusion
La directive NIS2 représente un changement de paradigme pour la cybersécurité en Europe. En élargissant massivement le périmètre des organisations concernées et en renforçant les obligations, l'UE envoie un message clair : la cybersécurité est une responsabilité collective.
Pour les entreprises, la mise en conformité NIS2 n'est pas qu'une contrainte réglementaire — c'est une opportunité de renforcer leur résilience face à des cybermenaces toujours plus sophistiquées.
Les organisations qui anticipent et investissent dès maintenant dans leur posture de cybersécurité seront mieux armées pour faire face aux contrôles de l'ANSSI et, surtout, aux cyberattaques.
Besoin d'accompagnement pour votre mise en conformité NIS2 ? Utilisez notre assistant IT intelligent pour évaluer votre exposition, ou consultez nos formations en cybersécurité et GRC pour monter en compétences.