Les obligations de NIS 2 : les 10 mesures de gestion des risques de l'article 21

Le premier paragraphe de l'article 21 pose une obligation générale : chaque entité essentielle ou importante prend des mesures techniques, opérationnelles et organisationnelles pour gérer les risques qui menacent la sécurité de ses réseaux et systèmes d'information, ceux qu'elle utilise pour exercer ses activités ou fournir ses services. Ces mesures doivent aussi éviter les incidents ou en réduire l'impact, pour l'entité comme pour les destinataires de ses services.

C'est une obligation de moyens adaptés, pas une liste de contrôle universelle. Le niveau de sécurité attendu doit correspondre aux risques. Pour juger si une mesure est proportionnée, la directive cite plusieurs critères :

• le degré d'exposition de l'entité aux risques ;
• sa taille ;
• la probabilité que des incidents surviennent et leur gravité, y compris leurs conséquences sociétales et économiques ;
• l'état des connaissances et, le cas échéant, les normes européennes et internationales ;
• le coût de mise en œuvre.

Le deuxième paragraphe précise que ces mesures reposent sur une approche « tous risques » : on protège les systèmes et leur environnement physique contre tout ce qui peut les compromettre, une cyberattaque comme un incendie, une panne ou une erreur humaine.

Le paragraphe 2 de l'article 21 énumère, de a) à j), ce que les mesures doivent au minimum couvrir. Nous les avons regroupées par grande intention pour les rendre plus lisibles ; la directive, elle, les présente sur un même plan.

Le paragraphe 3 de l'article 21 revient sur la mesure d) : pour choisir ses mesures, l'entité tient compte des vulnérabilités propres à chacun de ses fournisseurs et prestataires directs, de la qualité de leurs produits et de leurs pratiques de cybersécurité, y compris leur développement sécurisé, ainsi que des évaluations coordonnées des risques menées au niveau européen sur les chaînes d'approvisionnement critiques.

Ce sujet est développé dans notre article Risques tiers : ce qu'exigent NIS 2 et DORA, qui compare l'article 21 aux exigences de DORA, et dans notre dossier sur la gestion des risques tiers. Les grandes attaques passées par un fournisseur sont racontées dans Attaques par la chaîne d'approvisionnement.

La directive laisse aux États et à la Commission le soin de détailler les mesures. Trois documents comptent aujourd'hui :

• le règlement d'exécution (UE) 2024/2690 du 17 octobre 2024 fixe les exigences techniques et méthodologiques des dix mesures pour certains fournisseurs du numérique : services DNS, registres de noms de domaine de premier niveau, informatique en nuage, centres de données, réseaux de diffusion de contenu, services gérés et services de sécurité gérés, places de marché en ligne, moteurs de recherche, réseaux sociaux et prestataires de services de confiance. Il s'applique directement, sans transposition ;
• l'ENISA, l'agence de l'Union européenne pour la cybersécurité, a publié le 26 juin 2025 un guide de mise en œuvre de ce règlement, avec des exemples de preuves et des correspondances avec les normes ;
• en France, le ReCyF de l'ANSSI traduit les objectifs de NIS 2 en 20 objectifs de sécurité et en moyens acceptables de conformité, pour les entités qui ne relèvent pas du règlement 2024/2690. Il fait l'objet du chapitre ReCyF, le référentiel cyber France.

Même pour une entité qu'il ne vise pas, le règlement 2024/2690 est une bonne grille de lecture : il montre le niveau de détail que les autorités européennes associent à chacune des dix mesures. L'article 24 de la directive permet en outre aux États d'imposer, pour certaines exigences, des produits ou services certifiés selon des schémas européens de certification de cybersécurité.

1. Recenser les systèmes d'information qui soutiennent les activités visées par NIS 2 : c'est le périmètre sur lequel porteront les mesures.
2. Analyser les risques de ce périmètre, avec une méthode reconnue comme EBIOS RM ou ISO 27005. La mesure a) en fait le point de départ.
3. Mesurer les écarts aux dix mesures, ou aux objectifs du ReCyF, preuves à l'appui.
4. Bâtir un plan d'action priorisé par les risques, le faire approuver par la direction (article 20) et le suivre dans le temps.
5. Vérifier l'efficacité des mesures (mesure f) et recommencer : l'analyse et les écarts évoluent avec l'organisation et la menace.

Les organisations qui ont déjà un système de management de la sécurité de l'information (SMSI) selon ISO 27001 partent avec une longueur d'avance, et la version de travail du ReCyF accepte une certification ISO/IEC 27001:2022 comme moyen de démontrer deux de ses objectifs, sur le périmètre certifié.