Directive NIS 2 : Maîtriser la conformité cybersecurity et éviter les sanctions

La Directive NIS 2 (Network and Information Systems Directive, UE 2022/2555) constitue une refonte majeure de la directive NIS 1 (UE 2016/1148), avec des objectifs clairs : renforcer le niveau de cybersécurité global au sein de l'Union européenne et améliorer la résilience des infrastructures critiques face aux menaces numériques toujours plus sophistiquées. Cette initiative réglementaire découle d'un constat d'insuffisance des mécanismes de la NIS 1, notamment en termes de périmètre des entités concernées, d'harmonisation des exigences entre États membres, et de clarté des sanctions. L'article 1 de la directive NIS 2 énonce précisément son champ d'application. La directive vise une harmonisation des approches nationales en matière de cybersécurité, pour établir un socle commun de protection et garantir la continuité des services essentiels et importants.

La transposition de la directive NIS 2 en droit national est une obligation pour chaque État membre d'ici le 17 octobre 2024, conformément à son article 42. En France, cette transposition s'inscrit notamment dans le cadre de la Loi de Programmation Militaire (LPM) 2024-2030, qui devrait intégrer les nouvelles dispositions et les mécanismes de contrôle et de sanction. L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) sera l'autorité compétente et de supervision principale, comme spécifié à l'article 8 de la directive, en lien avec les articles L2321-1 et R2321-1 du Code de la Défense existants.

Par rapport à NIS 1, NIS 2 présente plusieurs évolutions fondamentales. Premièrement, le périmètre est considérablement élargi. NIS 1 visait principalement les Opérateurs de Services Essentiels (OSE) et les Fournisseurs de Services Numériques (FSN). NIS 2 introduit deux nouvelles catégories d'entités : les entités 'essentielles' (EE) et les entités 'importantes' (EI), couvrant un total de 18 secteurs, contre 7 pour NIS 1. Deuxièmement, les exigences de sécurité sont renforcées et plus prescriptives, notamment via l'article 21 qui liste un ensemble de mesures de gestion des risques. Troisièmement, la responsabilité des dirigeants est directement engagée en cas de non-conformité (article 32). Enfin, le régime de sanctions est durci, avec des amendes maximales significativement plus élevées. Un point nodal réside dans le mécanisme de notification des incidents, qui, sous NIS 2, est plus rapide et gradué, dès 24 heures après la prise de connaissance de l'incident, puis 72 heures et une notification finale sous un mois (article 23). Ces évolutions visent à pallier les lacunes de la première directive et à adapter le cadre réglementaire aux menaces actuelles.

La directive NIS 2 s'applique à un large éventail d'organisations publiques comme privées, opérant dans des secteurs jugés critiques pour l'économie et la société. L'identification des entités concernées repose principalement sur leur taille et leur secteur d'activité, distinguant les 'entités essentielles' (EE) des 'entités importantes' (EI). Les critères de taille sont définis à l'article 2 et à l'annexe I et II : généralement, les entités considérées comme moyennes ou grandes entreprises au sens de la recommandation 2003/361/CE de la Commission, c'est-à-dire celles employant 50 personnes ou plus ou réalisant un chiffre d'affaires annuel et/ou un bilan annuel supérieur à 10 millions d'euros. Cependant, des exceptions existent, indépendamment de la taille, pour des entités dont le service est jugé 'critique', notamment les fournisseurs de services de confiance de l'article 3 du règlement eIDAS ou les registres de noms de domaine de premier niveau.

La directive couvre 18 secteurs, répartis entre : - Secteurs à haute criticité (Entités Essentielles - Annexe I) : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC B2B, administration publique, espace. - Autres secteurs critiques (Entités Importantes - Annexe II) : services postaux et de messagerie, gestion des déchets, fabrication (produits chimiques, produits alimentaires, dispositifs médicaux, équipements informatiques…), fournisseurs de services numériques, recherche.

Les obligations de sécurité imposées par l'article 21 de NIS 2 sont détaillées et exigent la mise en œuvre de mesures techniques et organisationnelles appropriées et proportionnées pour gérer les risques affectant la sécurité des systèmes et des réseaux. Ces mesures comprennent : 1. Politiques d'analyse des risques et de sécurité des systèmes d'information : Évaluation régulière et documentation des menaces. 2. Gestion des incidents : Mise en place de procédures claires pour la détection, l'analyse, et les remédiations, incluant des mécanismes de notification rapide. 3. Continuité des activités et gestion de crise : Plans de reprise d'activité (PRA) et de continuité d'activité (PCA), sauvegarde et reprise après sinistre. 4. Sécurité de la chaîne d'approvisionnement (supply chain) : Évaluation des risques chez les fournisseurs directs et indirects, et exigences contractuelles de cybersécurité. 5. Sécurité des acquisitions, du développement et de la maintenance des systèmes : Protection des données sensibles et gestion des vulnérabilités. 6. Politiques et procédures relatives à l'évaluation de l'efficacité des mesures de gestion des risques : Audits réguliers, tests de pénétration et exercices de cybersécurité. 7. Mesures d'hygiène informatique de base et formation à la cybersécurité : Sensibilisation des employés, gestion des accès, authentification forte. 8. Utilisation de solutions de chiffrement et de cryptographie. 9. Sécurité des ressources humaines, politiques de contrôle d'accès. 10. Utilisation de solutions d'authentification multifactorielle ou d'authentification continue.

L'article 23 établit un calendrier strict pour la notification des incidents de sécurité : une première alerte dans les 24 heures en cas d'incident significatif, une notification plus détaillée dans les 72 heures, et un rapport final dans un délai d'un mois. Ces exigences visent à permettre une réponse rapide et coordonnée des autorités nationales et de l'ENISA. L'ANSSI, en tant qu'autorité nationale compétente, sera le point de contact pour ces notifications en France.

La gouvernance et la responsabilité sont des piliers centraux de NIS 2. L'article 32 impose aux dirigeants des entités essentielles et importantes d'approuver les mesures de gestion des risques en matière de cybersécurité et de contrôler leur mise en œuvre. Ils peuvent être tenus personnellement responsables en cas de manquement grave. Ils doivent également suivre des formations régulières pour acquérir des connaissances suffisantes en matière de risques de cybersécurité et de pratiques de gestion de ces risques. Le non-respect de ces obligations expose les entités à des sanctions administratives significatives, comme détaillé à l'article 34 de la directive. Pour les entités essentielles, l'amende maximale peut atteindre 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial total de l'exercice précédent, si ce dernier est plus élevé. Pour les entités importantes, l'amende peut s'élever à 7 millions d'euros ou 1,4% du chiffre d'affaires mondial. Ces montants sont une forte incitation à la conformité. De plus, les autorités compétentes peuvent exiger des mesures correctives, imposer des audits de sécurité, ou même suspendre la certification d'une entité.

La mise en conformité avec NIS 2 exige une approche structurée et proactive. Voici une feuille de route priorisée pour les entités potentiellement concernées :

1. Identifier le statut NIS 2 : Déterminer si votre organisation est une entité essentielle ou importante selon les critères de taille, secteur et type de service. Une auto-évaluation basée sur les annexes I et II de la directive et les directives nationales à venir est primordiale.
2. Désigner un responsable Cybersécurité et constituer une équipe dédiée : Mettre en place une gouvernance interne claire, avec un responsable identifié en charge de la conformité NIS 2. Ce rôle peut être celui du RSSI, accompagné d'une équipe pluridisciplinaire (juridique, IT, opérations).
3. Réaliser un audit de maturité cyber : Évaluer l'état actuel de la cybersécurité par rapport aux exigences de l'article 21 de NIS 2. Identifier les lacunes techniques, organisationnelles et humaines. Des référentiels comme ISO 27001 ou ceux de l'ANSSI peuvent servir de base.
4. Mettre en œuvre un plan de gestion des risques cyber : Documenter toutes les mesures techniques et organisationnelles nécessaires. Cela inclut l'analyse d'impact (BIA), l'évaluation des menaces et vulnérabilités, la mise en place de politiques de sécurité (PSSI), et la formation du personnel. Prioriser la prévention et la détection des incidents.
5. Renforcer la sécurité de la chaîne d'approvisionnement : Identifier les fournisseurs critiques, évaluer leurs niveaux de sécurité (audits, clauses contractuelles spécifiques), et élaborer des processus de gestion des risques liés aux tiers. L'incident Kaseya est un exemple des risques de la supply chain.
6. Optimiser les capacités de détection et de réponse aux incidents : Mettre en place des outils de supervision (SIEM), des procédures de réponse rapide, et des capacités internes ou externes (SOC/CSIRT) pour gérer les incidents conformément aux exigences de notification de l'article 23 (24h/72h/1 mois).
7. Former et sensibiliser les équipes et la direction : Organiser des sessions de formation régulières pour tous les employés, du top management aux opérateurs. La formation de la direction sur les risques cyber et les obligations est une exigence spécifique de l'article 32.
8. Préparer la documentation de conformité : Tenir à jour un registre des traitements, des analyses de risques, des politiques de sécurité, des rapports d'audits et des preuves de formations. Cette documentation sera cruciale en cas de contrôle par l'ANSSI.
9. Anticiper la désignation d'un point de contact : Préparer la désignation d'un interlocuteur unique pour les communications avec l'ANSSI pour la déclaration d'incidents et les échanges réglementaires.
10. Réaliser des exercices de crise cyber : Tester régulièrement les plans de continuité et de reprise d'activité ainsi que les procédures de gestion des incidents pour s'assurer de leur efficacité en situation réelle.

• 2024-10-17 : Date limite pour la transposition de la directive NIS 2 en droit national par les États membres.
• 2024-10-18 : Date d'entrée en vigueur de la directive NIS 2 dans l'Union européenne. Les obligations commencent à s'appliquer.
• 2025-Q1/Q2 (estimation) : Publication des décrets et arrêtés d'application en France, précisant les modalités concrètes pour les entités (par exemple, les arrêtés sectoriels définitifs).
• 2026-06-04 : Date de mise à jour de cet article, soulignant l'urgence de l'action.

• Directive NIS 2 (UE 2022/2555) — Journal Officiel de l'Union Européenne
• ANSSI — Comprendre et anticiper la Directive NIS 2
• ENISA — Ressources officielles sur la Directive NIS 2 et son implémentation
• Recommandation 2003/361/CE de la Commission concernant la définition des micro, petites et moyennes entreprises
• Code de la Défense - Article L2321-1 relatif aux systèmes d'information

La directive NIS 2 représente un tournant dans la cybersécurité européenne. Les entreprises doivent impérativement identifier leur statut, évaluer leurs risques et mettre en œuvre les mesures de sécurité requises pour éviter des sanctions importantes. L'anticipation est la clé de la conformité et de la résilience. La responsabilité des dirigeants est directement engagée, nécessitant une implication forte et une formation continue. Ne pas agir maintenant, c'est s'exposer à des risques financiers et réputationnels majeurs.

Auteur : Thomas Faure · Expert en cybersécurité et conformité NIS 2 · Mis à jour le 04/06/2026