Directive NIS 2 : ce qui change pour les dirigeants

La directive NIS 2, adoptée par l’Union européenne le 14 décembre 2022, impose aux organisations de dix-huit secteurs une gestion formalisée des risques numériques, une notification rapide des incidents graves et l’implication directe de leurs dirigeants. En France, la loi de transposition n’est pas encore promulguée, mais le contenu des obligations est connu.

D’un régime d’opérateurs à une obligation de gouvernance

La première directive NIS, adoptée en 2016, visait un cercle restreint d’opérateurs de services essentiels, désignés un à un par chaque État. La directive NIS 2, référencée (UE) 2022/2555, change d’échelle. Elle abroge ce premier texte et fixe des règles communes à toute organisation qui remplit des critères de secteur et de taille, sans attendre de désignation.

Le déplacement est aussi culturel. La sécurité des systèmes d’information cesse d’être un dossier confié au seul service informatique. Elle devient une obligation de gouvernance qui remonte jusqu’aux instances dirigeantes, parce qu’un incident grave touche désormais la production, la relation client et la trésorerie d’une entreprise, pas uniquement ses serveurs.

Le calendrier européen était serré. Publiée au Journal officiel de l’Union européenne le 27 décembre 2022, la directive donnait aux États membres jusqu’au 17 octobre 2024 pour la transposer. La France n’a pas tenu cette échéance, un point détaillé plus bas.

Les obligations de cybersécurité qui pèsent déjà sur les entreprises, du volet sécurité du règlement général sur la protection des données au régime propre au secteur financier, sont présentées dans notre article consacré aux obligations légales de cybersécurité des entreprises. Les développements qui suivent s’en tiennent à NIS 2 et à ce qu’elle attend des dirigeants.

Entités essentielles, entités importantes : qui entre dans le champ

Le périmètre repose sur un double filtre. Une organisation est concernée lorsqu’elle exerce une activité listée en annexe de la directive et qu’elle dépasse un seuil de taille. Deux catégories en découlent, les entités essentielles et les entités importantes, soumises aux mêmes obligations de fond mais à une supervision d’intensité différente.

Dix-huit secteurs répartis en deux annexes

L’ANSSI, qui prépare la mise en œuvre du dispositif en France, recense dix-huit secteurs : onze secteurs dits hautement critiques et sept autres secteurs critiques. La première famille regroupe notamment l’énergie, les transports, le secteur bancaire, la santé, l’eau potable, les infrastructures numériques et les administrations publiques.

La seconde famille réunit des activités que les dirigeants n’associent pas spontanément à la cybersécurité réglementaire :

• les services postaux et d’expédition ;
• la gestion des déchets ;
• la fabrication, la production et la distribution de produits chimiques ;
• la production, la transformation et la distribution de denrées alimentaires ;
• certaines industries manufacturières, des dispositifs médicaux aux véhicules ;
• les fournisseurs numériques, comme les places de marché en ligne ;
• la recherche.

Le seuil de taille et ses exceptions

Dans ces secteurs, la dimension de l’organisation départage les catégories. D’après l’ANSSI, relèvent des entités essentielles les organisations d’au moins 250 personnes, ou dont le chiffre d’affaires annuel dépasse 50 millions d’euros et le bilan annuel 43 millions d’euros, lorsqu’elles opèrent dans un secteur hautement critique. Les entités importantes regroupent les organisations moyennes de ces mêmes secteurs, à partir de 50 personnes ou de 10 millions d’euros de chiffre d’affaires et de bilan, ainsi que les moyennes et grandes structures des sept autres secteurs.

Le critère de taille connaît des exceptions. Certaines activités entrent dans le champ quelle que soit la dimension de l’organisation, comme les registres de noms de domaine de premier niveau, les fournisseurs de services de noms de domaine ou les prestataires de services de confiance qualifiés. La directive vise aussi l’organisation qui serait le seul fournisseur d’un service essentiel dans le pays.

Les petites structures hors du champ ne sont pas épargnées pour autant. La directive demande aux entités assujetties de sécuriser leur chaîne d’approvisionnement : leurs fournisseurs informatiques, leurs prestataires et leurs sous-traitants verront remonter des exigences par la voie contractuelle. L’ANSSI met à disposition un simulateur en ligne, « Suis-je concerné ? », qui fournit une première orientation.

Une mise en conformité qui se conduit comme un projet

Savoir que l’organisation entre dans le champ ne dit rien de l’écart à combler. La mise en conformité commence par un inventaire : systèmes d’information, données sensibles, prestataires critiques, procédures existantes, décisions déjà formalisées. Cette cartographie révèle souvent que des mesures sérieuses existent déjà, sans que personne soit en mesure de les démontrer.

Vient ensuite la comparaison entre cet existant et les exigences de la directive, puis la priorisation des chantiers. Faute de ressources internes pour mener ce travail d’audit, la plupart des organisations sans équipe dédiée font appel à un accompagnement certification nis2 pour cadrer la démarche : diagnostic d’assujettissement, mesure des écarts, puis feuille de route hiérarchisée que la direction valide et suit dans le temps.

Le vocabulaire mérite une précision juridique. La directive autorise les États à imposer, pour certains produits ou services numériques, le recours à des schémas européens de certification. Elle ne crée pas, en revanche, de certificat unique attestant qu’une organisation est conforme : la conformité se prouve par une documentation tenue à jour, des décisions tracées et, le cas échéant, lors des contrôles de l’autorité. Des référentiels reconnus, comme la norme ISO 27001, aident à structurer cette preuve.

Pour guider ce travail, l’ANSSI a mis à disposition le 17 mars 2026 le Référentiel Cyber France, dit ReCyF, diffusé à ce stade comme document de travail. Il décline les objectifs de sécurité attendus et les mesures recommandées pour les atteindre. L’appliquer par anticipation donne une base de discussion solide avec l’autorité le jour où les textes français seront publiés.

Les organes de direction en première ligne

C’est la rupture la plus nette avec le régime précédent. La directive prévoit que les organes de direction approuvent les mesures de gestion des risques en matière de cybersécurité, supervisent leur mise en œuvre et peuvent être tenus responsables des manquements de l’entité. L’ANSSI résume la logique en une phrase : le dirigeant exécutif de l’entité est responsable de la sécurité numérique.

Approuver, superviser, répondre

Approuver ne se réduit pas à signer une politique préparée par le service informatique. Le texte suppose une décision éclairée, donc une compréhension des risques retenus, des moyens alloués et des risques résiduels acceptés. Un procès-verbal de conseil qui mentionne l’adoption d’un plan sans en discuter les arbitrages offre une protection juridique faible.

La supervision implique un suivi régulier : indicateurs, points d’avancement, compte rendu des incidents. Pour les entités essentielles, la directive prévoit en dernier recours la possibilité d’interdire temporairement à une personne exerçant des responsabilités de direction d’exercer ces fonctions, lorsque les autres mesures d’exécution sont restées sans effet. La responsabilité civile des dirigeants, et la manière de s’assurer contre elle, relève d’un examen distinct, développé dans notre dossier sur l’assurance professionnelle du dirigeant.

Se former, et former les équipes

Les membres des organes de direction sont tenus de suivre une formation, afin d’acquérir les connaissances suffisantes pour apprécier les risques et les pratiques de gestion en matière de cybersécurité. La directive encourage les entités à proposer régulièrement une formation similaire à leurs salariés. Dans les faits, cette formation conditionne la qualité de toutes les décisions qui suivent.

Les mesures de gestion des risques attendues

La directive retient une approche « tous risques » : la menace informatique, mais aussi les événements physiques capables d’interrompre un système, comme un incendie, une panne électrique ou un vol de matériel. Les mesures doivent être proportionnées à l’exposition de l’entité, à sa taille et au coût de leur mise en œuvre. La gestion des risques ne se confond donc pas avec l’achat d’outils.

Le texte énumère une série de mesures minimales. Côté organisation, elles couvrent :

• les politiques d’analyse des risques et de sécurité des systèmes d’information ;
• la gestion des incidents ;
• la continuité des activités, avec la gestion des sauvegardes, la reprise et la gestion de crise ;
• la sécurité de la chaîne d’approvisionnement et des relations avec les fournisseurs ;
• l’évaluation régulière de l’efficacité des mesures prises.

Côté technique et humain, la directive ajoute :

• la sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris le traitement des vulnérabilités ;
• les pratiques de base en matière de cyberhygiène et la formation ;
• le recours à la cryptographie et, le cas échéant, au chiffrement ;
• la sécurité des ressources humaines, le contrôle des accès et la gestion des actifs ;
• l’authentification multifacteur et des communications sécurisées.

La directive fixe des objectifs, pas une liste d’équipements. Deux organisations de même secteur peuvent atteindre le même objectif par des moyens très différents, pourvu que le choix soit justifié, documenté et révisé.

Notifier un incident important : trois paliers

La notification des incidents constitue l’obligation la plus concrète en cas de crise. Un incident est dit important lorsqu’il a causé ou peut causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité, ou lorsqu’il affecte d’autres personnes en causant des dommages considérables.

La directive organise trois échéances successives vis-à-vis de l’autorité nationale :

1. une alerte précoce dans les 24 heures suivant la prise de connaissance de l’incident, qui indique notamment si une origine malveillante est suspectée ;
2. une notification d’incident dans les 72 heures, qui actualise l’alerte et livre une première évaluation de la gravité et de l’impact ;
3. un rapport final au plus tard un mois après la notification, avec la description détaillée, la cause probable et les mesures d’atténuation appliquées.

Ce circuit s’ajoute à celui du règlement général sur la protection des données, qui impose de notifier à la CNIL une violation de données personnelles dans les 72 heures. Une même attaque peut déclencher les deux procédures. Le jour où l’incident survient, personne n’a le temps de découvrir ces règles : la procédure, les contacts et le circuit de décision se préparent à froid, puis se testent lors d’un exercice.

Le régime de sanctions prévu par la directive

La supervision diffère selon la catégorie. Les entités essentielles font l’objet d’un contrôle qui peut intervenir à tout moment, y compris par des audits et des inspections sur place. Les entités importantes relèvent d’un contrôle déclenché a posteriori, lorsque l’autorité dispose d’éléments laissant penser qu’un manquement a eu lieu.

Pour les amendes administratives, la directive fixe des plafonds que les États doivent au minimum retenir :

• pour les entités essentielles, 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu ;
• pour les entités importantes, 7 millions d’euros ou 1,4 % de ce même chiffre d’affaires, selon la même règle.

Ces montants sont des maximums, pas des tarifs. La directive demande aux autorités de tenir compte de la gravité du manquement, de sa durée, des mesures prises pour atténuer le dommage et de la coopération de l’entité. Le niveau réel des sanctions en France dépendra de la loi de transposition et de la pratique de l’autorité.

Transposition française : l’état du texte en septembre 2026

La transposition française passe par un projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, déposé au Sénat le 15 octobre 2024. Le texte transpose en un seul véhicule trois directives européennes : la directive sur la résilience des entités critiques, NIS 2 et la directive qui accompagne le règlement DORA pour le secteur financier.

Son parcours reste inachevé au moment où cet article est écrit. Le Sénat l’a adopté les 11 et 12 mars 2025, puis la commission spéciale de l’Assemblée nationale l’a adopté le 10 septembre 2025. L’examen en séance publique, un temps annoncé pour juillet 2026, n’a pas eu lieu à cette date. Aucune loi n’est donc promulguée, et les décrets et arrêtés d’application restent à publier.

L’ANSSI pose la règle de départ : NIS 2 entrera en vigueur en France dès lors que l’ensemble des textes de transposition, loi, décrets et arrêtés, auront été promulgués. Les seuils précis, les modalités d’enregistrement auprès de l’agence et le montant des sanctions applicables en droit français dépendront de ces textes. Toute date d’application annoncée aujourd’hui reste donc une hypothèse.

Attendre la promulgation pour démarrer serait pourtant un mauvais calcul. Le contenu de la directive est figé depuis 2022, le ReCyF donne déjà la grille de lecture de l’autorité, et les grands donneurs d’ordre intègrent ces exigences dans leurs appels d’offres. Les organisations qui déploient des systèmes d’intelligence artificielle ajouteront à ce socle les obligations propres au règlement européen sur l’IA, qui obéit à une logique distincte.

Trois décisions à inscrire à l’ordre du jour

La directive laisse peu de place à l’improvisation, mais elle laisse du temps à ceux qui s’organisent. Trois décisions relèvent directement de la direction et peuvent être prises sans attendre les décrets.

La première consiste à statuer sur l’assujettissement probable de l’organisation, secteur par secteur et filiale par filiale, en conservant la trace du raisonnement. La deuxième consiste à désigner une personne chargée de piloter la démarche et de rendre compte à l’organe de direction. La troisième consiste à inscrire au calendrier une formation des dirigeants et un premier exercice de gestion d’incident.

Le reste suivra le texte français. Les entreprises qui ont déjà réalisé un audit de conformité au RGPD disposent d’une partie de la méthode : registre, analyse de risques, documentation, preuve.

Prochaine étape : réunir la direction et le responsable informatique autour du simulateur de l’ANSSI, consigner la conclusion dans un procès-verbal, puis fixer la date du diagnostic d’écart avant la fin du trimestre.