La directive NIS2 marque un tournant pour la cybersécurité en Europe. Elle impose un cadre commun à un grand nombre d’organisations, avec des exigences renforcées en matière de protection des réseaux, de gestion des incidents et de résilience numérique. Pour les entreprises, le sujet n’est plus théorique, il touche directement la gouvernance, les opérations et la relation avec les fournisseurs.
En bref :
NIS2 impose une montée en maturité de la cybersécurité pour les entreprises, priorisez la gouvernance, la détection et la gestion des fournisseurs pour réduire risques et coûts.
- Cartographiez vos systèmes, données et fournisseurs et vérifiez si vous entrez dans le périmètre (ex. 50 salariés ou 10 millions d’euros de CA/bilan).
- Formalisez la gouvernance portée par la direction (responsable identifié, reporting et audits réguliers).
- Mettez en place une détection continue et un processus de notification : alerte initiale sous 24 heures, rapport détaillé sous 72 heures.
- Renforcez la sécurité de la chaîne d’approvisionnement avec des critères d’exigence et des audits périodiques pour vos fournisseurs.
- Élaborez et testez vos plans de continuité et de reprise, et enregistrez-vous auprès de l’ANSSI si votre activité est concernée.
Qu’est-ce que la directive NIS2 ? Présentation et contexte
La directive NIS2 est un texte européen conçu pour renforcer la sécurité des réseaux et des systèmes d’information des entités qui opèrent dans des secteurs jugés sensibles. Son objectif est clair, il s’agit de mieux protéger les infrastructures essentielles, de limiter l’impact des incidents majeurs et d’élever le niveau de maturité cyber dans l’ensemble de l’Union européenne.
Cette évolution prolonge la première directive NIS, avec un champ d’application beaucoup plus large et des exigences plus précises. NIS2 couvre les organisations établies dans l’Union européenne, mais aussi certaines entreprises hors UE qui fournissent des services au marché européen. Son entrée en application se déploie principalement à partir de 2025 et 2026, ce qui laisse peu de temps aux entreprises concernées pour se mettre à niveau.
Un cadre commun pour la cybersécurité européenne
Avec NIS2, l’Union européenne cherche à harmoniser les règles de sécurité informatique pour éviter les différences trop marquées d’un pays à l’autre. Cette logique facilite la coordination entre autorités nationales, améliore la remontée d’information sur les incidents et donne aux acteurs concernés une ligne de conduite plus lisible.
Le texte ne se limite pas à des principes généraux. Il fixe des attentes concrètes sur la gouvernance, les contrôles techniques, la surveillance des systèmes et la notification des incidents. En pratique, cela pousse les entreprises à traiter la cybersécurité comme un sujet de pilotage, et non comme une simple question technique confiée aux équipes informatiques.
Une extension nette par rapport à NIS1
La directive NIS2 étend son périmètre à 18 secteurs d’activité, répartis entre secteurs hautement critiques et secteurs critiques. Cette évolution élargit fortement le nombre d’acteurs concernés, notamment dans l’énergie, la santé, les transports, la banque ou encore les infrastructures numériques.
Cette montée en puissance traduit une réalité simple, les risques cyber ne visent plus seulement quelques grandes infrastructures. Ils touchent désormais des chaînes de valeur entières, avec des effets en cascade sur les clients, les sous-traitants et les services essentiels au fonctionnement économique.
Quels critères déterminent si votre entreprise est concernée par la directive NIS2 ?
La question de l’éligibilité revient souvent, car le périmètre de NIS2 combine plusieurs critères. Votre entreprise peut être concernée selon sa taille, son secteur, son rôle dans l’écosystème ou encore sa localisation. Il faut donc analyser la situation dans son ensemble, et pas seulement regarder le chiffre d’affaires.
Dans beaucoup de cas, l’appartenance à un secteur ciblé suffit à déclencher les obligations. Dans d’autres, la directive vise aussi des entités qui jouent un rôle structurant dans l’économie numérique ou dans la continuité d’activité d’acteurs majeurs.
Taille et seuils financiers
En règle générale, une entreprise entre dans le champ de NIS2 si elle emploie au moins 50 personnes et si son chiffre d’affaires annuel ou son total de bilan atteint 10 millions d’euros ou plus. Ce double seuil sert de repère pour distinguer les structures les plus exposées.
Les micro et petites entreprises sont souvent exclues, sauf lorsqu’elles opèrent dans des domaines particulièrement sensibles. Cela signifie qu’une structure de taille modeste peut tout de même être concernée si son activité répond à un besoin stratégique ou critique pour le marché.
Le tableau ci-dessous résume les principaux cas de figure liés à la taille de l’entreprise.
| Profil de l’entreprise | Effectif | Chiffre d’affaires ou bilan | Impact sur NIS2 |
|---|---|---|---|
| Entreprise standard | 50 salariés ou plus | 10 M€ ou plus | Généralement concernée si le secteur entre dans le périmètre |
| Micro ou petite entreprise | Moins de 50 salariés | Moins de 10 M€ | Souvent exclue, sauf cas particuliers |
| Entité hautement critique | Variable | Variable | Peut être concernée même avec une petite taille |
Les secteurs d’activité concernés
La directive distingue deux catégories, les secteurs hautement critiques et les secteurs critiques. Parmi les secteurs hautement critiques, on retrouve notamment les administrations publiques, l’espace et les transports. Du côté des secteurs critiques, la liste inclut l’énergie, le secteur bancaire, la santé, l’eau potable, les eaux usées et les infrastructures numériques.
Les entreprises de l’énergie, de la banque, des transports ou de la santé sont donc particulièrement exposées. NIS2 vise aussi des secteurs comme l’électricité, le gaz, le pétrole, l’hydrogène, le transport aérien, ferroviaire, maritime ou routier, ainsi que les infrastructures qui soutiennent l’économie numérique au quotidien.
Voici quelques exemples de secteurs directement ciblés par la directive.
- Énergie, avec les réseaux et services liés à l’électricité, au gaz, au pétrole et à l’hydrogène
- Banque et infrastructure des marchés financiers
- Santé, y compris les structures de soins et les services associés
- Transports, quels que soient les modes de déplacement
- Administration centrale et services publics stratégiques
- Infrastructures numériques, qui soutiennent de nombreux services essentiels
Cas particuliers, entités concerned indépendamment de la taille
Certains acteurs sont soumis à NIS2 sans tenir compte de leur taille. C’est notamment le cas des fournisseurs de services DNS, des registres de noms de domaine de premier niveau, des prestataires de services de confiance qualifiés et des fournisseurs de réseaux de communications électroniques publics.
Les entités de l’administration publique au niveau du gouvernement central sont aussi visées. À cela s’ajoutent les entreprises hors UE qui proposent des services essentiels ou importants au marché européen, ainsi que les structures désignées par une autorité nationale en raison de leur rôle critique ou de leur dépendance systémique dans une chaîne de valeur.
Obligations principales de la directive NIS2 pour les entreprises concernées
Être concerné par NIS2 ne signifie pas seulement déclarer son activité. La directive impose un ensemble de mesures qui touchent à la gouvernance, à la détection des incidents, à la sécurité technique et à la continuité de service. L’objectif est d’installer une démarche de sécurité structurée et suivie dans le temps.
Pour beaucoup d’entreprises, cela suppose de revoir l’organisation interne, de formaliser des responsabilités et de renforcer les contrôles déjà en place. La conformité repose autant sur les procédures que sur les outils.
Gouvernance et pilotage cybersécurité
NIS2 exige une gouvernance de la cybersécurité portée par la direction générale. Cela signifie que la sécurité des systèmes d’information n’est plus un sujet périphérique, mais un point de supervision assumé au plus haut niveau de l’entreprise.
La direction doit notamment suivre les politiques de sécurité, valider les orientations et s’assurer que les risques sont évalués régulièrement. Des audits de sécurité du système d’information viennent compléter cette logique de pilotage, afin d’identifier les faiblesses avant qu’elles ne soient exploitées.
Gestion et déclaration des incidents
La directive impose de notifier toute faille de sécurité significative aux autorités compétentes dans un délai de 24 heures. Un rapport d’incident plus complet doit ensuite être transmis sous 72 heures, puis un rapport final dans le mois suivant la détection.
Cette exigence suppose une capacité de détection solide, avec une surveillance continue des actifs numériques et des mécanismes de remontée d’alerte efficaces. Plus l’entreprise détecte vite un incident, plus elle limite l’impact opérationnel, financier et réputationnel.
Sécurité technique et gestion des accès
NIS2 demande aussi d’identifier et de corriger rapidement les vulnérabilités, notamment via des scans de sécurité réguliers. La logique est simple, un système non corrigé finit souvent par devenir un point d’entrée exploitable par un attaquant.
La directive renforce également les attentes sur la chaîne d’approvisionnement. Les fournisseurs doivent être sélectionnés avec des exigences de cybersécurité, puis audités de manière cohérente. À cela s’ajoutent le chiffrement de bout en bout, l’authentification renforcée et une gestion stricte des droits d’accès pour protéger les données et les environnements sensibles.
Continuité et reprise des activités
La continuité d’activité fait partie des points attendus par NIS2. Les entreprises concernées doivent élaborer des plans de continuité d’activité, ainsi que des plans de reprise après incident, puis les tester régulièrement.
Ces documents ne doivent pas rester théoriques. Ils doivent permettre à l’entreprise de continuer à fonctionner, même en cas d’attaque, de panne grave ou de compromission d’un composant critique. C’est souvent là que se mesure la maturité réelle d’une organisation face au risque cyber.
Démarches de conformité et recommandations opérationnelles
Pour avancer vers la conformité, il faut commencer par un état des lieux précis. L’idée est de comparer les pratiques existantes avec les exigences de la directive, afin d’identifier les écarts prioritaires. Cette phase évite de disperser les efforts et permet de cibler les chantiers à plus fort impact.
Ensuite, il convient de construire un plan d’action progressif. Les mesures les plus sensibles doivent être mises en œuvre en premier, notamment celles qui concernent la gouvernance, la détection d’incident et la remédiation des vulnérabilités. Une démarche trop lente expose l’entreprise à des failles de conformité au moment des contrôles.
Les étapes suivantes reviennent souvent dans les plans de mise en conformité.
- Cartographier les systèmes, les données et les fournisseurs exposés
- Mesurer les écarts entre l’existant et les attentes de NIS2
- Prioriser les actions selon le niveau de risque
- Formaliser la gouvernance avec un pilotage clair par la direction
- Tester les procédures de gestion d’incident et de reprise
Les entreprises concernées doivent aussi s’enregistrer sur la plateforme prévue par l’ANSSI. Cette étape administrative fait partie du dispositif global de suivi et de contrôle. En parallèle, il faut maintenir la capacité à signaler un incident significatif dans le délai de 24 heures, car cette exigence conditionne la réactivité attendue par la directive.
Dans la durée, la conformité repose sur une discipline interne régulière. Il ne suffit pas de lancer un projet ponctuel, il faut installer des routines de contrôle, de revue et d’amélioration continue.
Publics spécifiques et cas d’application concrets
NIS2 ne concerne pas seulement les grands groupes historiques. Elle vise aussi des acteurs dont le rôle est devenu structurant dans l’économie numérique et dans les services du quotidien. Certains sont directement inclus dans le périmètre, d’autres peuvent y entrer en raison de leur dépendance systémique.
Cette logique élargie permet d’éviter les angles morts. Une organisation peut être très présente dans une chaîne d’activité sans être visible du grand public, tout en restant indispensable au fonctionnement d’un service essentiel ou important.
Entités critiques, fournisseurs DNS et infrastructures numériques
Les entités considérées comme critiques au sens de la directive européenne sur la résilience des entités critiques sont également concernées. Les prestataires de services de confiance qualifiés, les fournisseurs DNS, les registres TLD et les opérateurs d’infrastructures numériques entrent dans le champ sans considération de taille ou de chiffre d’affaires.
Ce choix s’explique par leur rôle de socle. Quand un maillon de cette nature est touché, les effets peuvent se propager rapidement à un grand nombre d’utilisateurs, d’entreprises et d’administrations.
Entreprises hors UE et dépendances systémiques
Les entreprises non européennes proposant des services dans l’Union européenne ne sont pas hors radar. Si leurs activités entrent dans le champ de NIS2, elles sont soumises aux obligations, même si leur siège est situé ailleurs.
De la même manière, une organisation peut être intégrée au périmètre si elle est désignée par une autorité nationale ou si elle joue une fonction difficilement remplaçable. L’absence d’alternative immédiate constitue alors un indice fort de dépendance et justifie un niveau de surveillance renforcé.
Risques en cas de non-conformité et points de vigilance
Le non-respect de NIS2 peut coûter cher. Les sanctions financières prévues sont élevées, avec jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour les entités essentielles. Pour les entités importantes, les amendes peuvent atteindre 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial annuel.
Au-delà de l’amende, la responsabilité personnelle des dirigeants peut être engagée en cas de manquement grave ou répété. Le sujet dépasse donc le cadre technique et touche aussi la gouvernance, la prise de décision et la capacité à démontrer que les mesures attendues ont bien été mises en place.
Plusieurs points de vigilance reviennent régulièrement dans les démarches de conformité.
- Responsabilité de la direction dans le pilotage de la cybersécurité
- Réactivité dans la notification des incidents significatifs
- Surveillance des fournisseurs et de la chaîne d’approvisionnement
- Gestion des vulnérabilités et correction rapide des failles
- Test régulier des plans de continuité et de reprise
La directive NIS2 s’inscrit enfin dans une tendance de fond, celle d’une réglementation de plus en plus structurée autour des risques cyber en Europe. Avec plusieurs milliers d’entités et 18 secteurs d’activité concernés, le mouvement est large et durable. Pour une entreprise, attendre le dernier moment reviendrait souvent à subir la mise en conformité au lieu de la piloter.
En résumé, NIS2 impose une montée en maturité rapide, avec une gouvernance claire, des contrôles techniques renforcés et une capacité solide de réaction en cas d’incident. Pour les entreprises concernées, l’enjeu est autant réglementaire qu’opérationnel.
