NIS 2 : le guide complet de la directive et de la conformité

NIS 2, ou NIS2 (pour Network and Information Security, parfois appelée « SRI 2 » en français, pour sécurité des réseaux et des systèmes d'information) est la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022. Publiée au Journal officiel de l'Union européenne le 27 décembre 2022, elle est entrée en vigueur le 16 janvier 2023.

Elle remplace la première directive NIS (2016/1148), abrogée à compter du 18 octobre 2024. Son objectif : élever un niveau commun de cybersécurité dans l'Union, en imposant aux organisations les plus importantes pour l'économie et la société des mesures de gestion des risques, une notification de leurs incidents et une supervision par une autorité nationale, assortie de sanctions.

Comme toute directive, NIS 2 fixe des objectifs que chaque État membre doit inscrire dans son droit national. Les États avaient jusqu'au 17 octobre 2024 pour le faire. Pour l'histoire du texte et la différence entre directive et règlement, lisez notre article De NIS à NIS 2.

Pour une organisation, NIS 2 se lit comme un parcours : vérifier qu'elle est dans le champ et dans quelle catégorie, se faire connaître de l'autorité, mettre en œuvre les mesures de sécurité, savoir notifier un incident, et rendre des comptes lors des contrôles. La direction porte l'ensemble.

La directive s'applique aux entités publiques ou privées qui exercent dans l'Union une activité listée dans ses annexes et qui ont au moins la taille d'une moyenne entreprise (au moins 50 salariés, ou un chiffre d'affaires annuel et un total de bilan supérieurs à 10 millions d'euros). Certaines entités sont visées quelle que soit leur taille, comme les fournisseurs de services DNS ou les administrations centrales.

• l'annexe I liste 11 secteurs « hautement critiques » : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (entre entreprises), administration publique et espace ;
• l'annexe II liste 7 « autres secteurs critiques » : services postaux et d'expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication (dispositifs médicaux, électronique, machines, véhicules…), fournisseurs numériques et recherche.

Selon son secteur et sa taille, une entité concernée est essentielle ou importante. Les obligations de fond sont les mêmes ; la supervision et le plafond des amendes diffèrent. Le chapitre entités essentielles et importantes détaille les critères. En France, le rapport de la commission spéciale du Sénat estime le périmètre à environ 15 000 entités, dont près de 1 500 collectivités territoriales et organismes rattachés.

Comment savoir si votre organisation est concernée par NIS 2 ?

Trois questions suffisent pour un premier tri : exercez-vous dans l'Union une activité listée aux annexes I ou II ? Atteignez-vous la taille d'une moyenne entreprise, ou relevez-vous d'un cas visé quelle que soit la taille ? Êtes-vous rattaché à un groupe, dont les effectifs et le chiffre d'affaires peuvent compter ? L'ANSSI met à disposition un simulateur « Suis-je concerné ? » qui pose ces questions et indique la catégorie probable. Le résultat reste indicatif tant que la loi de transposition n'est pas adoptée.

Les montants et les mécanismes de sanction sont présentés dans notre article Les sanctions de NIS 2. Pour la sécurité des fournisseurs et prestataires, l'une des dix mesures, voyez Risques tiers : ce qu'exigent NIS 2 et DORA.

La directive impose aux États de prévoir des amendes administratives dont le plafond maximal est au moins égal aux montants suivants (article 34) ; chaque loi nationale peut aller plus loin :

L'amende n'est pas la seule mesure : l'autorité peut aussi adresser des injonctions, imposer un audit, exiger d'informer les clients concernés ou rendre public un manquement. Pour une entité essentielle qui ne se met pas en conformité, la directive va jusqu'à la suspension temporaire d'une certification ou d'une autorisation, et à l'interdiction temporaire d'exercer des fonctions de direction (article 32). Le détail est dans notre article Les sanctions de NIS 2.

En France, NIS 2 doit être transposée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi résilience », qui transpose aussi la directive sur la résilience des entités critiques et le volet « directive » de DORA. Voici les étapes vérifiées au 15 octobre 2026 :

Plusieurs points restent donc non tranchés à cette date : la date d'adoption définitive (une commission mixte paritaire pourra suivre le vote des députés), le contenu des décrets d'application, le périmètre exact des collectivités concernées et le calendrier de mise en conformité. Selon l'ANSSI, NIS 2 entrera en vigueur en France une fois l'ensemble des textes de transposition publiés, et cette date ne coïncidera pas avec l'application de toutes les exigences. Le détail du parcours parlementaire et des points de blocage est dans notre article Loi résilience : où en est la transposition de NIS 2 ?.

La mise en conformité NIS 2 suit un ordre qui évite de refaire le travail. Les premières étapes sont les mêmes pour toutes les organisations concernées :

1. vérifier le champ et la catégorie : entité essentielle ou importante ;
2. se faire connaître de l'ANSSI, d'abord par le pré-enregistrement volontaire ;
3. faire porter le projet par la direction, qui approuve, supervise et se forme : voir la responsabilité des dirigeants ;
4. faire l'état des lieux au regard des dix mesures de l'article 21 ou du ReCyF, puis bâtir un plan d'action priorisé par les risques ;
5. préparer la notification des incidents avant d'en avoir besoin, puis faire vivre le dispositif.

La démarche complète, avec les preuves à présenter en cas de contrôle et l'exemple de notre fil rouge, est détaillée dans le chapitre mise en conformité NIS 2.

Ce guide sert de point d'entrée. Sur des questions précises, nos articles vont plus loin :

1. Contexte De NIS à NIS 2 Pourquoi l'Union a révisé la directive de 2016, ce qu'est une directive et ce que NIS 2 ajoute : secteurs, coopération entre États, sanctions.
2. Périmètre Directive NIS 2 : quels secteurs concernés ? Les trois critères (lieu, taille, secteur), les annexes I et II et un outil pour situer votre organisation.
3. Sanctions Les sanctions de NIS 2 Amendes, publication des manquements, responsabilité des dirigeants : ce que risquent les entités essentielles et importantes.
4. Actualité Loi résilience : où en est la transposition ? Le parcours du projet de loi depuis 2024, les reports, la saisine de la Cour de justice et ce qui suivra le vote.
5. Fournisseurs Risques tiers : ce qu'exigent NIS 2 et DORA La sécurité de la chaîne d'approvisionnement (article 21) comparée aux exigences de DORA et du RGPD sur les prestataires.

1. Démarche Mise en conformité NIS 2 Les sept étapes, de la catégorie d'entité au contrôle, et les preuves à présenter.
2. Chapitre 1 Les obligations de l'article 21 Les dix mesures minimales de gestion des risques, et comment les rendre proportionnées.
3. Chapitre 2 Entités essentielles et importantes Les critères de classement et ce qui change d'un régime à l'autre.
4. Chapitre 3 Notification des incidents Incident important, alerte précoce en 24 h, notification en 72 h, rapport final en un mois.
5. Chapitre 4 Responsabilité des dirigeants Approuver, superviser, se former : ce que l'article 20 attend de la direction.
6. Chapitre 5 ReCyF, le référentiel de l'ANSSI Les 20 objectifs de sécurité et leurs moyens acceptables de conformité.
7. Chapitre 6 S'enregistrer auprès de l'ANSSI Simulateur, pré-enregistrement et informations à transmettre.
8. Chapitre 7 Glossaire NIS 2 Les termes de la directive et de sa transposition, expliqués simplement.

Une démarche NIS 2 relie plusieurs chantiers qui vivent dans le temps : une analyse de risques à jour, une liste d'exigences évaluée preuves à l'appui, des plans d'action, l'évaluation des fournisseurs et des comptes rendus réguliers à la direction. Un tableur suffit pour démarrer ; il devient vite difficile de garder les liens entre risques, mesures et preuves quand le périmètre compte plusieurs sites ou filiales.