NIS2 : obligations, guide pratique et mise en conformité
La directive NIS2 encadre la façon dont votre organisation protège ses réseaux et systèmes d’information.
Sur cette page, nous répondons à deux questions simples :
- Mon organisation est-elle concernée par NIS2 ?
- Par où commencer pour mettre en place un dispositif de conformité et de résilience cyber réaliste ?
En bref
Une directive européenne de cybersécurité
NIS2 (Network and Information Security) renforce et modernise la première directive IS.
Elle fixe un socle commun de règles pour sécuriser les réseaux et systèmes d’information qui soutiennent des services essentiels dans l’Union européenne.
Plusieurs milliers d’entités concernées dans 18 secteurs
La directive distingue deux catégories : entités essentielles (EE) et entités importantes (EI).
Selon la criticité, la taille et le chiffre d’affaires, elle couvre 18 secteurs hautement ou simplement critiques (énergie, transports, santé, finance, etc.).
Une opportunité pour structurer votre sécurité et votre continuité
Au-delà de la conformité, NIS2 pousse à construire une véritable feuille de route cyber :
gestion des risques, continuité d’activité, sécurité de la chaîne fournisseur, formation des équipes… autant de chantiers qui renforcent la confiance de vos clients, partenaires et autorités.
NIS2, de quoi parle-t-on ?
La directive NIS2 vise à élever le niveau global de cybersécurité des pays membres de l’UE, en harmonisant et en simplifiant les règles applicables aux entités régulées. Elle élargit le périmètre de la première directive NIS et introduit un socle de mesures juridiques, techniques et organisationnelles proportionnées aux risques.
Elle s’applique aux réseaux et systèmes d’information qui soutiennent des services essentiels ou importants : infrastructures critiques, services numériques, santé, secteur bancaire, administrations publiques, etc.
En France, l’ANSSI pilote la transposition de la directive en droit national et met en place les outils d’accompagnement, notamment la plateforme MonEspaceNIS2.
2. Êtes-vous concerné par la directive NIS2 ?
Deux catégories d’entités régulées
NIS2 distingue deux grandes catégories : :c
- Entités essentielles (EE)
Organisations de grande taille dans des secteurs de haute criticité, dépassant certains seuils (en règle générale, au moins 250 salariés ou un certain niveau de chiffre d’affaires et de bilan). - Entités importantes (EI)
Entités de taille intermédiaire, également dans les secteurs visés, qui dépassent des seuils plus bas (en règle générale, à partir de 50 salariés ou de 10 M€ de chiffre d’affaires et de bilan).
La réglementation s’appuie sur ces deux catégories pour prévoir des exigences et des modalités de supervision proportionnées.
Les secteurs concernés
La directive couvre 18 secteurs d’activité, répartis entre secteurs hautement critiques et autres secteurs critiques. Parmi eux :
- administrations publiques et collectivités territoriales ;
- eau potable et eaux usées ;
- énergie ;
- santé ;
- secteur bancaire et infrastructures des marchés financiers ;
- transports ;
- infrastructures numériques et services TIC gérés ;
- fournisseurs numériques et certains services en ligne ;
- industrie manufacturière, production et distribution de denrées alimentaires, gestion des déchets, services postaux, etc.
Chaque État membre précise ce périmètre dans sa réglementation nationale. En France, ces précisions sont apportées progressivement dans le cadre de la transposition.
Une démarche d’auto-identification
Il revient à chaque entité d’évaluer si elle entre dans le périmètre NIS2.
L’ANSSI met à disposition la plateforme MonEspaceNIS2, qui propose notamment un simulateur pour aider les organisations à déterminer si elles sont concernées et, le cas échéant, sous quel statut (EE ou EI).
3. Les grands principes de NIS2
D’après les synthèses publiées par l’ANSSI et MonEspaceNIS2, NIS2 repose sur plusieurs grands principes :
- Renforcer la coopération européenne en cas de crise
La directive donne un cadre formel au réseau européen CyCLONe, qui rassemble l’ANSSI et ses homologues pour la gestion des crises cyber majeures. - Élever le niveau de cybersécurité des organisations critiques
En imposant un socle de mesures de sécurité pour les réseaux et systèmes d’information, adapté au niveau de risque. - Étendre et clarifier le périmètre des entités régulées
Beaucoup plus d’entités et de secteurs entrent dans le champ de la directive par rapport à NIS1. - Renforcer la gestion des risques et la résilience opérationnelle
Les entités doivent structurer leur analyse de risques cyber, leur continuité d’activité et leur gestion de crise. - Mettre en place un cadre de supervision et de sanctions harmonisé
Des autorités nationales (comme l’ANSSI en France) supervisent le respect des exigences et peuvent prononcer des mesures correctrices et des sanctions en cas de manquement.
4. Vos obligations NIS2, concrètement
Les textes et ressources de l’ANSSI décrivent plusieurs blocs d’obligations pour les entités régulées.
4.1. S’identifier et s’enregistrer auprès de l’autorité compétente
Les entités relevant du périmètre NIS2 devront :
- s’enregistrer auprès de l’autorité nationale compétente (en France : l’ANSSI) ;
- transmettre un certain nombre d’informations (identité de l’entité, secteur, activités concernées, points de contact, etc.), qui devront être tenues à jour ;
- utiliser, pour cela, une plateforme en ligne mise à disposition pour faciliter l’enregistrement.
4.2. Mettre en place un dispositif structuré de gestion des risques cyber
Les entités devront mettre en œuvre des mesures juridiques, techniques et organisationnelles pour gérer les risques pesant sur la sécurité de leurs réseaux et systèmes d’information.
Selon MonEspaceNIS2, ces mesures couvrent notamment :
- les politiques d’analyse des risques et de sécurité des systèmes d’information ;
- la gestion des incidents ;
- la continuité d’activité : sauvegardes, reprise d’activité, gestion de crise ;
- la sécurité de la chaîne d’approvisionnement, y compris la relation avec les fournisseurs et prestataires ;
- la sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris la gestion et la divulgation des vulnérabilités ;
- des politiques et procédures pour évaluer l’efficacité des mesures de gestion des risques ;
- les pratiques de base de cyber-hygiène et la formation à la cybersécurité ;
- les politiques de cryptographie et de chiffrement, quand c’est pertinent ;
- la sécurité des ressources humaines, les politiques de contrôle d’accès et la gestion des actifs ;
- l’usage de l’authentification multifacteur ou continue, et de moyens de communication internes sécurisés.
Ces mesures seront déclinées en France en objectifs de sécurité réglementaires, avec un niveau d’exigence distinct pour les entités essentielles et importantes.
4.3. Détecter et déclarer les incidents de sécurité
Les entités devront :
- détecter et qualifier les incidents susceptibles d’avoir un impact significatif sur la fourniture de leurs services ;
- notifier ces incidents à l’autorité nationale désignée ;
- fournir des rapports d’évolution permettant de suivre la gestion de l’incident et les mesures prises.
Cela suppose un minimum de capacité de détection, de journalisation et de coordination interne.
4.4. Préparer la supervision et les preuves de conformité
Conformément à la directive, des actions de supervision seront mises en place pour vérifier le respect des obligations NIS2. En cas de manquement, les entités peuvent être exposées à des sanctions, notamment financières, proportionnées à la gravité des écarts constatés.
En pratique, cela implique de :
- documenter les choix de sécurité et les analyses de risques ;
- conserver les preuves de mise en œuvre des mesures (politiques, procédures, rapports d’audit, plans de tests, exercices de crise, etc.) ;
- être en mesure d’expliquer la trajectoire de mise en conformité et les arbitrages réalisés.
Notre approche Niutime de NIS2
- Point de départ : vos services essentiels et vos systèmes d’information critiques, pas une grille standard posée au-dessus de tout.
- Une trajectoire unique : clarification du périmètre → gestion des risques & continuité d’activité → mise en conformité NIS2 & préparation à la supervision.
- Une articulation assumée avec vos autres chantiers (PCA, gestion de crise, RGPD, DORA, LPM…) pour éviter de multiplier les dispositifs parallèles.
Quels risques en cas de non-conformité NIS2 ?
La directive prévoit que les entités régulées peuvent faire l’objet de sanctions en cas de non-respect de leurs obligations, notamment :
- Mesures de supervision et de remédiation : contrôles, demandes d’informations, injonctions de mise en conformité, suivi renforcé…
- Sanctions financières : NIS2 prévoit la possibilité d’amendes administratives pouvant aller jusqu’à un pourcentage du chiffre d’affaires mondial, avec des plafonds distincts pour les entités essentielles (jusqu’à 2 %) et importantes (jusqu’à 1,4 %), selon les manquements constatés.
- Impacts opérationnels et réputationnels : un incident significatif mal géré, ou un manquement caractérisé, peut entraîner : indisponibilité de services, crise de confiance avec les clients, questionnements des partenaires, voire conséquences réglementaires dans d’autres cadres (finance, assurance, données personnelles, etc.).
L’objectif de NIS2 n’est pas uniquement répressif : il s’agit de pousser les entités critiques à anticiper les risques cyber et à organiser une réponse robuste et coordonnée.
6. Par où commencer votre mise en conformité NIS2 ?
6.1. Clarifier votre position vis-à-vis de NIS2
La première étape consiste à confirmer si votre organisation est bien dans le périmètre NIS2, et sous quel statut :
- identifier vos secteurs d’activité au regard des 18 secteurs NIS2 ; :contentReference[oaicite:21]{index=21}
- vérifier vos seuils de taille et de chiffre d’affaires ;
- qualifier les entités juridiques concernées (si vous avez plusieurs filiales ou unités).
La plateforme MonEspaceNIS2 met à disposition un simulateur pour aider les entités à se positionner et à préparer leur enregistrement auprès de l’ANSSI.
6.2. Construire une feuille de route alignée sur les objectifs NIS2
Plutôt que de lancer des chantiers techniques au hasard, il est utile de :
- Définir une trajectoire pluriannuelle (12–36 mois), compatible avec vos contraintes opérationnelles, budgétaires et réglementaires (NIS2, DORA, RGPD, LPM, etc.).
- Cartographier vos services et systèmes critiques (métiers, SI, prestataires, données).
- Évaluer vos pratiques actuelles au regard des grandes familles de mesures décrites par NIS2 : analyse de risques, gestion des incidents, continuité d’activité, gestion de la chaîne fournisseur, cyber-hygiène et formation, etc. :contentReference[oaicite:23]{index=23}
- Prioriser les actions selon le risque et la faisabilité : quick wins, chantiers structurants, investissements à étaler.
6.3 Se faire accompagner dans de bonnes conditions
De nombreuses offres d’accompagnement NIS2 commencent à apparaître sur le marché. Pour sécuriser votre choix, quelques réflexes simples :
- Vérifier les références et le périmètre d’intervention
Secteurs couverts, types d’entités accompagnées, exemples de livrables (cartographie, analyse de risques, plans de continuité, etc.). - Exiger une démarche adaptée à votre contexte
Une approche sérieuse tient compte de vos processus métiers, de votre organisation SI, de vos contraintes réglementaires (finance, assurance, santé…), de vos prestataires critiques. - Demander une feuille de route documentée
Diagnostic synthétique, objectifs NIS2 prioritaires, plan d’actions sur 12–24 mois et gouvernance de suivi : c’est ce qui permet de piloter la mise en conformité dans la durée.
Chez Niutime, nous travaillons NIS2 comme un programme de résilience : sécurisation des services essentiels, articulation avec votre PCA/gestion de crise, alignement avec RGPD, DORA et vos autres chantiers de conformité.
À retenir pour votre COMEX (NIS2)
- NIS2 est d’abord une directive de résilience cyber sur les services essentiels, pas un simple exercice de conformité.
- Les priorités se concentrent sur la gestion des risques, la continuité d’activité et la chaîne fournisseur IT.
- L’enjeu n’est pas de tout refaire, mais de rendre visibles et pilotables vos mesures existantes au regard de NIS2.
7. Aller plus loin : ressources officielles et pages liées
Ressources officielles
Pour vérifier certains points ou aller dans le détail réglementaire, nous vous recommandons de consulter :
- La page “La directive NIS 2” de l’ANSSI : synthèse du contexte, périmètre et objectifs de la directive.
- La rubrique “M’informer sur la directive NIS 2” sur MonEspaceNIS2 : explications détaillées (EE/EI, secteurs, obligations, sanctions) et ressources complémentaires.
Pages Niutime liées
Pour structurer votre démarche NIS2 et plus largement votre conformité cyber :
- Règlement DORA : obligations, secteurs concerné.
- ISO 27001 : sécuriser vos informations.
- Plan de continuité d’activité (PCA) : pour articuler vos exigences NIS2 avec vos dispositifs de continuité et de gestion de crise.
- Continuité d’activité & gestion de crise
- Conformité réglementaire : vue d’ensemble de vos chantiers (RGPD, NIS2, DORA, ISO 27001, LCB-FT…).
Prêt à aborder votre situation NIS2 ?
Vous avez identifié que votre organisation pourrait être concernée par NIS2, mais vous ne savez pas par où commencer ?
Nous pouvons vous aider à confirmer votre périmètre, à prioriser les exigences et à construire une trajectoire de mise en conformité réaliste, en cohérence avec vos autres chantiers de résilience et de conformité.