La directive NIS 2 est l'un des textes de cybersécurité les plus commentés, et l'un des plus mal compris : « est-ce que ça me concerne ? », « suis-je obligé de faire quelque chose maintenant ? », « une PME est-elle visée ? ». Les réponses dépendent de trois critères : le secteur, la taille et le pays. Cet article distingue ce qui est prévu par la directive européenne, ce qui change entre grandes et petites entreprises, ce qui est réellement obligatoire aujourd'hui en France et pourquoi cette réglementation existe.
Point d'attention sur la date : en France, la loi de transposition n'était pas encore promulguée à la fin d'août 2026 selon les sources consultées. Ce point évolue vite : vérifiez toujours l'état actuel sur le site de l'ANSSI avant de prendre une décision.
NIS 2, c'est quoi ?
NIS 2 est la directive européenne (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d'information (voir le texte sur EUR-Lex). Elle remplace la première directive NIS de 2016. Son objectif est d'élever le niveau de cybersécurité dans toute l'Union, en harmonisant les règles entre pays et en étendant fortement le nombre d'organisations concernées.
Une directive européenne ne s'applique pas directement aux entreprises : chaque État membre doit la transposer dans son droit national. C'est cette loi nationale, et non la directive elle-même, qui crée les obligations pour les organisations.
Pourquoi cette réglementation ?
- Les attaques touchent des secteurs essentiels : santé, énergie, transport, eau, services numériques. Une interruption a des effets sur la population et l'économie.
- La première directive était inégale : peu d'entités visées, règles appliquées de façon très différente selon les pays.
- Les chaînes d'approvisionnement sont interdépendantes : une entité mal protégée peut servir de point d'entrée vers des clients plus critiques.
- La cybersécurité doit devenir une responsabilité de direction, et non un sujet réservé à l'informatique.
Qui est concerné ?
Trois critères s'appliquent ensemble : le secteur, la taille et la catégorie de l'entité.
1. Le secteur : 18 secteurs répartis en deux annexes
| Annexe | Type | Secteurs |
|---|---|---|
| Annexe I | Secteurs hautement critiques | Énergie, transports, banques, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (entre entreprises), administrations publiques, espace |
| Annexe II | Autres secteurs critiques | Services postaux, gestion des déchets, produits chimiques, alimentation, fabrication (dispositifs médicaux, électronique, machines, véhicules, etc.), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux), recherche |
2. La taille : le critère qui sépare grandes et petites entreprises
En principe, la directive vise les entreprises moyennes et grandes. Les micro et petites entreprises sont en général hors champ, sous les seuils européens de classification. En pratique, la limite se situe autour de 50 salariés ou 10 millions d'euros de chiffre d'affaires ou de bilan annuel, avec des règles de calcul qui tiennent compte des entreprises partenaires et liées (appartenance à un groupe, par exemple).
Des exceptions existent : certaines entités sont concernées quelle que soit leur taille, notamment certains fournisseurs de réseaux et services de communications électroniques publics, de services de confiance, ou de services de noms de domaine, et les entités qui sont seules fournisseurs d'un service essentiel dans un État. Chaque pays peut aussi prévoir des critères supplémentaires.
3. La catégorie : entité essentielle ou importante
| Entité essentielle (EE) | Entité importante (EI) | |
|---|---|---|
| Profil type | Grandes entreprises des secteurs de l'annexe I, et certaines entités spécifiques | Moyennes entreprises de l'annexe I, moyennes et grandes de l'annexe II |
| Exigences de sécurité | Mêmes mesures de base | Mêmes mesures de base |
| Supervision | Contrôles préventifs et après incident | Contrôles principalement après un incident ou un signalement |
| Sanction maximale | Jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial | Jusqu'à 7 M€ ou 1,4 % du chiffre d'affaires mondial |
Selon l'ANSSI, environ 15 000 entités seraient concernées en France, contre environ 500 opérateurs dans le régime précédent.
À retenir : ce qui distingue une grande entreprise d'une PME, c'est surtout l'intensité du contrôle et le niveau de sanction. Les exigences de fond sont les mêmes pour les deux catégories.
Grandes entreprises et PME : ce qui change concrètement
| Sujet | Grande entreprise | PME |
|---|---|---|
| Concernée directement ? | Presque toujours si elle est dans un secteur listé | Seulement si elle dépasse les seuils de taille ou relève d'une exception |
| Catégorie probable | Entité essentielle (annexe I) ou importante | Entité importante si elle atteint le seuil des moyennes entreprises |
| Contrôle | Plus étroit (préventif et après incident) | Plus léger (souvent après un incident) |
| Ressources | Équipe sécurité, RSSI, SOC, budget dédié | Souvent limitées : priorité aux mesures de base et à l'externalisation |
| Exposition indirecte | Fournisseurs et clients soumis aux mêmes exigences | Très forte : les clients soumis à NIS 2 imposent des exigences contractuelles à leurs prestataires |
Une PME hors champ peut donc subir NIS 2 indirectement : un donneur d'ordre concerné exigera de ses fournisseurs des garanties, des audits ou des clauses de sécurité, car la directive impose de sécuriser la chaîne d'approvisionnement.
Ce que NIS 2 impose
Les mesures de sécurité (article 21)
Les entités concernées doivent appliquer des mesures « appropriées et proportionnées » couvrant au minimum :
- les politiques d'analyse des risques et de sécurité des systèmes d'information ;
- la gestion des incidents ;
- la continuité d'activité, les sauvegardes et la gestion de crise ;
- la sécurité de la chaîne d'approvisionnement ;
- la sécurité de l'acquisition, du développement et de la maintenance, y compris la gestion des vulnérabilités (voir la base de vulnérabilités CVE) ;
- l'évaluation de l'efficacité des mesures ;
- l'hygiène informatique de base et la formation ;
- la cryptographie ;
- la sécurité des ressources humaines, le contrôle d'accès et la gestion des actifs ;
- l'authentification multifacteur et les communications sécurisées.
Ces mesures sont cohérentes avec des référentiels de durcissement comme les CIS Benchmarks.
La notification des incidents (article 23)
Pour un incident significatif :
| Délai | Étape |
|---|---|
| 24 heures | Alerte précoce après avoir eu connaissance de l'incident |
| 72 heures | Notification de l'incident, avec une première évaluation |
| Un mois | Rapport final |
En France, cette notification s'adressera à l'ANSSI. Pour comprendre les équipes qui gèrent ce type de réponse, voir notre article sur CERT, CSIRT, SOC et SecOps.
La responsabilité de la direction
Les organes de direction doivent approuver les mesures de gestion des risques cyber, en superviser la mise en œuvre et suivre une formation. Ils peuvent être tenus responsables en cas de manquement. Pour les entités essentielles, des mesures plus lourdes sont prévues, comme une suspension temporaire de certifications ou autorisations, ou une interdiction temporaire d'exercer des fonctions de direction.
Ce qui est réellement obligatoire aujourd'hui en France
C'est la question la plus importante, et la réponse est nuancée.
- NIS 2 n'est pas encore une obligation légale directe en France. Le projet de loi de transposition, qui couvre aussi la directive sur la résilience des entités critiques et certaines dispositions de DORA, a été adopté par le Sénat en mars 2025, puis passé en commission spéciale à l'Assemblée nationale en septembre 2025, sans avoir été promulgué à la fin août 2026 selon les sources consultées. La Commission européenne a par ailleurs renvoyé la France devant la Cour de justice de l'Union européenne en juillet 2026 pour défaut de transposition (voir le suivi de la transposition).
- D'autres obligations restent en vigueur : le régime des opérateurs d'importance vitale et des opérateurs de services essentiels, décrit dans notre glossaire OIV, LPM, SIIV, PASSI, PDIS ; l'obligation de sécurité des données personnelles du RGPD, avec notification des violations à la CNIL ; et les exigences sectorielles existantes.
- Les exigences contractuelles se propagent déjà : de nombreux clients soumis à NIS 2 dans d'autres pays de l'Union, ou anticipant la loi française, demandent dès maintenant des garanties à leurs fournisseurs.
- L'ANSSI prépare le cadre : elle propose un simulateur pour vérifier si une entité est concernée, une plateforme d'enregistrement et un référentiel de sécurité, le Référentiel Cyber France (ReCyF), publié en mars 2026 comme document de travail.
À retenir : aujourd'hui, NIS 2 n'oblige pas encore directement une entreprise française, mais la loi est attendue, les délais de mise en conformité seront courts, et la pression contractuelle est déjà là.
Que faire selon votre situation
Grande entreprise dans un secteur listé
- Qualifier son statut (essentielle, importante ou hors champ) avec le simulateur de l'ANSSI.
- Nommer un responsable de la conformité et impliquer la direction, qui devra approuver les mesures.
- Réaliser un écart entre l'existant et les dix mesures, puis un plan d'action avec échéances.
- Mettre en place une procédure de notification en 24 h, 72 h et un mois et l'entraîner.
- Auditer la sécurité des principaux fournisseurs.
PME dans le champ
- Confirmer l'assujettissement, en tenant compte du groupe et des entreprises liées.
- Prioriser les mesures de base : sauvegardes testées, authentification multifacteur, mises à jour, gestion des accès, journalisation, sensibilisation.
- Externaliser ce qui est trop coûteux (détection, réponse à incident) auprès de prestataires compétents.
- Documenter les décisions pour pouvoir les justifier.
PME hors champ
- Ne pas ignorer le sujet : répondre aux questionnaires de sécurité des clients et adopter les mesures de base.
- Voir la démarche comme un avantage commercial : prouver sa maturité facilite l'accès aux grands comptes.
En résumé
NIS 2 vise les entités moyennes et grandes de 18 secteurs, réparties en entités essentielles (contrôle et sanctions plus lourds) et entités importantes. Les exigences de fond sont les mêmes : dix mesures de gestion des risques, notification des incidents en 24 heures, 72 heures et un mois, et responsabilité de la direction. En France, la loi de transposition n'était pas encore promulguée à la fin d'août 2026 : le bon moment pour se préparer, c'est maintenant, sans attendre l'obligation. Pour connaître la situation exacte à la date où vous lisez cet article, référez-vous à l'ANSSI.