NIS 2 : le guide complet

NIS 2 (pour Network and Information Security, parfois appelée « SRI 2 » en français, pour sécurité des réseaux et des systèmes d'information) est la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022. Publiée au Journal officiel de l'Union européenne le 27 décembre 2022, elle est entrée en vigueur le 16 janvier 2023.

Elle remplace la première directive NIS (2016/1148), abrogée à compter du 18 octobre 2024. Son objectif : élever un niveau commun de cybersécurité dans l'Union, en imposant aux organisations les plus importantes pour l'économie et la société des mesures de gestion des risques, une notification de leurs incidents et une supervision par une autorité nationale, assortie de sanctions.

Comme toute directive, NIS 2 fixe des objectifs que chaque État membre doit inscrire dans son droit national. Les États avaient jusqu'au 17 octobre 2024 pour le faire. Pour l'histoire du texte et la différence entre directive et règlement, lisez notre article De NIS à NIS 2.

Pour une organisation, NIS 2 se lit comme un parcours : vérifier qu'elle est dans le champ et dans quelle catégorie, se faire connaître de l'autorité, mettre en œuvre les mesures de sécurité, savoir notifier un incident, et rendre des comptes lors des contrôles. La direction porte l'ensemble.

La directive s'applique aux entités publiques ou privées qui exercent dans l'Union une activité listée dans ses annexes et qui ont au moins la taille d'une moyenne entreprise (au moins 50 salariés, ou un chiffre d'affaires annuel et un total de bilan supérieurs à 10 millions d'euros). Certaines entités sont visées quelle que soit leur taille, comme les fournisseurs de services DNS ou les administrations centrales.

• l'annexe I liste 11 secteurs « hautement critiques » : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (entre entreprises), administration publique et espace ;
• l'annexe II liste 7 « autres secteurs critiques » : services postaux et d'expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication (dispositifs médicaux, électronique, machines, véhicules…), fournisseurs numériques et recherche.

Selon son secteur et sa taille, une entité concernée est essentielle ou importante. Les obligations de fond sont les mêmes ; la supervision et le plafond des amendes diffèrent. Le chapitre entités essentielles et importantes détaille les critères. En France, le rapport de la commission spéciale du Sénat estime le périmètre à environ 15 000 entités, dont près de 1 500 collectivités territoriales et organismes rattachés.

Les montants et les mécanismes de sanction sont présentés dans notre article Les sanctions de NIS 2. Pour la sécurité des fournisseurs et prestataires, l'une des dix mesures, voyez Risques tiers : ce qu'exigent NIS 2 et DORA.

En France, NIS 2 doit être transposée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi résilience », qui transpose aussi la directive sur la résilience des entités critiques et le volet « directive » de DORA. Voici les étapes vérifiées au 9 octobre 2026 :

Plusieurs points restent donc non tranchés à cette date : la date d'adoption définitive (une commission mixte paritaire pourra suivre le vote des députés), le contenu des décrets d'application, le périmètre exact des collectivités concernées et le calendrier de mise en conformité. Selon l'ANSSI, NIS 2 entrera en vigueur en France une fois l'ensemble des textes de transposition publiés, et cette date ne coïncidera pas avec l'application de toutes les exigences. Le détail du parcours parlementaire et des points de blocage est dans notre article Loi résilience : où en est la transposition de NIS 2 ?.

Ce guide sert de point d'entrée. Sur des questions précises, nos articles vont plus loin :

1. Contexte De NIS à NIS 2 Pourquoi l'Union a révisé la directive de 2016, ce qu'est une directive et ce que NIS 2 ajoute : secteurs, coopération entre États, sanctions.
2. Périmètre Directive NIS 2 : quels secteurs concernés ? Les trois critères (lieu, taille, secteur), les annexes I et II et un outil pour situer votre organisation.
3. Sanctions Les sanctions de NIS 2 Amendes, publication des manquements, responsabilité des dirigeants : ce que risquent les entités essentielles et importantes.
4. Actualité Loi résilience : où en est la transposition ? Le parcours du projet de loi depuis 2024, les reports, la saisine de la Cour de justice et ce qui suivra le vote.
5. Fournisseurs Risques tiers : ce qu'exigent NIS 2 et DORA La sécurité de la chaîne d'approvisionnement (article 21) comparée aux exigences de DORA et du RGPD sur les prestataires.

1. Chapitre 1 Les obligations de l'article 21 Les dix mesures minimales de gestion des risques, et comment les rendre proportionnées.
2. Chapitre 2 Entités essentielles et importantes Les critères de classement et ce qui change d'un régime à l'autre.
3. Chapitre 3 Notification des incidents Incident important, alerte précoce en 24 h, notification en 72 h, rapport final en un mois.
4. Chapitre 4 Responsabilité des dirigeants Approuver, superviser, se former : ce que l'article 20 attend de la direction.
5. Chapitre 5 ReCyF, le référentiel de l'ANSSI Les 20 objectifs de sécurité et leurs moyens acceptables de conformité.
6. Chapitre 6 S'enregistrer auprès de l'ANSSI Simulateur, pré-enregistrement et informations à transmettre.
7. Chapitre 7 Glossaire NIS 2 Les termes de la directive et de sa transposition, expliqués simplement.

Une démarche NIS 2 relie plusieurs chantiers qui vivent dans le temps : une analyse de risques à jour, une liste d'exigences évaluée preuves à l'appui, des plans d'action, l'évaluation des fournisseurs et des comptes rendus réguliers à la direction. Un tableur suffit pour démarrer ; il devient vite difficile de garder les liens entre risques, mesures et preuves quand le périmètre compte plusieurs sites ou filiales.