Mise en conformité NIS 2 : les étapes, de la catégorie d'entité au contrôle

La directive NIS 2 fixe des obligations, pas une méthode de mise en œuvre. L'ordre ci-dessous suit la logique du texte : on vérifie d'abord ce qui s'applique, on se fait connaître de l'autorité, on installe la gouvernance qui portera le projet, on mesure l'écart, puis on met en œuvre les mesures et la gestion des incidents avant de faire vivre le dispositif.

1. Étape 1 Champ et catégorie Vérifier que l'organisation est visée, comme entité essentielle ou importante.
2. Étape 2 Enregistrement Se faire connaître de l'ANSSI, d'abord par le pré-enregistrement volontaire.
3. Étape 3 Gouvernance Faire porter le projet par la direction, qui approuve, supervise et se forme.
4. Étape 4 État des lieux Comparer l'existant aux dix mesures de l'article 21 ou aux objectifs du ReCyF.
5. Étape 5 Mesures de l'article 21 Mettre en œuvre un plan d'action priorisé par les risques.
6. Étape 6 Notification des incidents Être prêt à alerter en 24 heures, notifier en 72 heures, rendre un rapport en un mois.
7. Étape 7 Faire vivre et contrôles Revoir, corriger les écarts, tenir un dossier de preuves.

Trois critères décident : le lieu (exercer dans l'Union), le secteur (une activité listée à l'annexe I ou II de la directive) et la taille (en principe au moins une moyenne entreprise, soit 50 salariés, ou plus de 10 millions d'euros de chiffre d'affaires et de bilan). Certaines entités sont visées quelle que soit leur taille. L'article 3 répartit ensuite les entités concernées entre essentielles et importantes.

Les obligations de fond sont les mêmes pour les deux catégories, mais pas la supervision ni le plafond des amendes. En France, la version de travail du ReCyF réserve aussi cinq objectifs de sécurité aux entités essentielles : la catégorie fixe donc l'ampleur du chantier. Le simulateur « Suis-je concerné ? » de l'ANSSI donne une première réponse, indicative tant que la loi n'est pas publiée. Les critères sont détaillés dans le chapitre entités essentielles et importantes.

Dans un groupe, l'analyse se fait entité par entité : une filiale peut être essentielle, une autre importante, une troisième hors champ.

La directive oblige chaque entité à transmettre à l'autorité son nom, ses coordonnées (dont ses plages d'adresses IP), son secteur et les pays de l'Union où elle exerce (article 3), et certains fournisseurs numériques des informations supplémentaires (article 27). En France, cet enregistrement se fera auprès de l'ANSSI, mais il ne deviendra obligatoire qu'avec la loi de transposition et son décret d'application.

En attendant, l'ANSSI a ouvert le 24 novembre 2025 un pré-enregistrement volontaire, pour l'instant réservé aux entreprises. Rassembler ces informations est un premier exercice utile : la liste des adresses IP exposées sur Internet, par exemple, révèle souvent des services oubliés. Le chapitre s'enregistrer auprès de l'ANSSI décrit les étapes.

Selon l'article 20, les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables des manquements de l'entité. Leurs membres doivent suivre une formation, et les entités sont encouragées à former régulièrement tout leur personnel. Pour les entités essentielles, la directive prévoit en dernier recours une interdiction temporaire d'exercer des fonctions de direction (article 32).

Concrètement, il faut un responsable du projet, souvent le responsable de la sécurité des systèmes d'information (RSSI), un mandat clair et un rendez-vous régulier avec la direction pour arbitrer les écarts et suivre l'avancement. Le chapitre responsabilité des dirigeants traduit l'article 20 en pratiques.

L'état des lieux, ou analyse d'écart, compare ce qui existe déjà aux exigences. Deux grilles de lecture se présentent : les dix mesures de l'article 21 de la directive et, pour les entités qu'il vise, le ReCyF de l'ANSSI, qui les décline en 20 objectifs de sécurité et en moyens acceptables de conformité. Les fournisseurs numériques visés par le règlement d'exécution (UE) 2024/2690 suivent ce règlement, directement applicable.

Il commence par le recensement des systèmes d'information qui soutiennent les activités visées : c'est le périmètre sur lequel porteront les mesures, et le premier objectif du ReCyF. Chaque exigence reçoit ensuite un statut (couverte, partiellement couverte, non couverte), la preuve qui la justifie et, si besoin, une action. Une analyse de risques permet de hiérarchiser les écarts : c'est la première des dix mesures, et c'est elle qui justifie la proportionnalité des autres.

Une organisation qui suit déjà ISO 27001 part avec une longueur d'avance : la version de travail du ReCyF accepte une certification ISO/IEC 27001:2022 comme preuve de deux de ses objectifs, sur le périmètre certifié. Le chapitre ReCyF explique comment s'en servir dès maintenant.

Les écarts deviennent un plan d'action priorisé par les risques, approuvé par la direction. Il couvre les dix mesures minimales de l'article 21 : politiques d'analyse des risques et de sécurité, gestion des incidents, continuité et gestion de crise, sécurité de la chaîne d'approvisionnement, sécurité de l'acquisition et de la maintenance, évaluation de l'efficacité des mesures, cyberhygiène et formation, cryptographie, sécurité des ressources humaines et des accès, authentification multifacteur.

Ces mesures doivent être proportionnées à l'exposition de l'entité, à sa taille et à la gravité possible des incidents. Le chapitre les obligations de l'article 21 les explique une par une. La mesure sur les fournisseurs demande souvent le plus de temps, parce qu'elle dépend d'eux : notre article Risques tiers : ce qu'exigent NIS 2 et DORA aide à l'organiser.

L'article 23 impose de signaler tout incident important en trois temps : une alerte précoce dans les 24 heures après en avoir pris connaissance, une notification dans les 72 heures, puis un rapport final au plus tard un mois après la notification. Ces délais ne laissent pas le temps d'improviser : il faut savoir à l'avance qui qualifie un incident, avec quels critères, qui notifie et par quel canal.

Une procédure écrite, des contacts joignables en permanence et un exercice sur un scénario réaliste suffisent souvent à rendre le dispositif crédible. Le chapitre notification des incidents détaille les critères et les destinataires, y compris l'articulation avec la notification à la CNIL au titre du règlement général sur la protection des données (RGPD).

La conformité NIS 2 n'est jamais acquise. La directive demande d'évaluer l'efficacité des mesures (article 21, mesure f) et, dès qu'un manquement est constaté, de prendre sans retard injustifié les mesures correctives nécessaires (article 21, paragraphe 4). En pratique, l'analyse de risques, l'état des lieux et le plan d'action sont revus régulièrement, et après chaque incident ou changement important : chaque revue est un nouvel état des lieux, la démarche reboucle sur l'étape 4.

Côté supervision, l'autorité peut contrôler les entités essentielles a priori, à tout moment, et les entités importantes a posteriori, sur indice de manquement (articles 32 et 33). Ses pouvoirs comprennent notamment des inspections sur place et des contrôles à distance, des audits de sécurité, des scans de sécurité et des demandes d'informations, y compris sur les politiques de cybersécurité documentées. Les sanctions possibles sont présentées dans notre article Les sanctions de NIS 2.

Lors d'un contrôle, l'autorité attend des documents datés et approuvés, pas des déclarations. Le tableau suivant récapitule les principales pièces, rattachées à leur article. Les textes français pourront préciser la liste.

Au 15 octobre 2026, la loi qui doit transposer NIS 2 en France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, n'est pas adoptée. Votée par le Sénat le 12 mars 2025 puis par la commission spéciale de l'Assemblée nationale en septembre 2025, elle devait être examinée en séance publique à partir du 7 octobre 2026 ; ce débat a été retiré de l'ordre du jour le 6 octobre, et aucune nouvelle date n'a été annoncée depuis. Les obligations de NIS 2 ne sont donc pas encore opposables en France, et l'enregistrement obligatoire, le calendrier de mise en conformité et la version définitive du ReCyF attendent la loi et ses décrets.

Les exigences de fond, elles, sont connues : elles figurent dans la directive depuis fin 2022, et l'ANSSI a publié leur déclinaison en version de travail. Les étapes 1 à 6 peuvent toutes commencer dès aujourd'hui. Le parcours du texte est détaillé dans notre article Loi résilience : où en est la transposition de NIS 2 ?.