NIS2 pour les organisations françaises : périmètre, obligations et plan de préparation en 90 jours
NIS2 (directive (UE) 2022/2555) est le texte de cybersécurité le plus structurant que la plupart des ETI et PME françaises auront à appliquer. Elle remplace NIS 1, étend les obligations de quelques centaines d'opérateurs désignés à des milliers d'organisations, et rend l'organe de direction personnellement responsable. Ce guide fait le point sur le périmètre, l'état de la transposition française en octobre 2026, le contenu réel des dix mesures, et une méthode pour se préparer en 90 jours sans attendre le texte définitif.
Où en est la France (octobre 2026)
La directive devait être transposée au plus tard le 17 octobre 2024. La France a choisi un texte unique, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (« loi Résilience »), qui transpose à la fois NIS2, la directive REC (résilience des entités critiques) et la directive associée à DORA.
| Étape | Date |
|---|---|
| Présentation en Conseil des ministres | 15 octobre 2024 |
| Adoption par le Sénat (première lecture) | 12 mars 2025 |
| Adoption en commission spéciale à l'Assemblée nationale | septembre 2025 |
| Inscription à l'ordre du jour de l'Assemblée en séance | à partir du 7 octobre 2026 |
À la date de rédaction, la loi n'est pas encore promulguée, et les décrets d'application (seuils, délais, liste détaillée des mesures) viendront ensuite. Toute échéance ou sanction française précise lue aujourd'hui reste donc provisoire. Le fond de la directive, lui, ne bougera pas : règles de périmètre, dix mesures de l'article 21, délais de notification de l'article 23. L'ANSSI est l'autorité nationale et le CSIRT, et son portail MonEspaceNIS2 permet déjà de vérifier si l'on est probablement concerné.
Qui est concerné
Deux questions suffisent : votre secteur est-il listé, et quelle est votre taille ?
| Critère | Règle |
|---|---|
| Secteur | 11 secteurs hautement critiques en annexe I (énergie, transports, banque, santé, eau, infrastructures numériques, gestion des services TIC, administration publique, espace…) et 7 autres secteurs critiques en annexe II (poste, déchets, chimie, alimentation, industrie manufacturière, fournisseurs numériques, recherche) |
| Taille | Moyenne entreprise = au moins 50 salariés, ou plus de 10 M EUR de chiffre d'affaires et de bilan ; grande = au moins 250 salariés, ou plus de 50 M EUR de CA / 43 M EUR de bilan |
| Cas indépendants de la taille | Fournisseurs DNS, registres de noms de domaine de premier niveau, prestataires de services de confiance qualifiés, certains opérateurs de communications électroniques, fournisseur unique d'un service critique |
Deux catégories, mêmes obligations, supervision différente :
| Entité essentielle | Entité importante | |
|---|---|---|
| Profil type | Grande entreprise d'un secteur de l'annexe I | Moyenne entreprise de l'annexe I, ou moyenne/grande de l'annexe II |
| Supervision | Ex ante et ex post (audits, inspections à tout moment) | Ex post (sur indice de non-conformité) |
| Amende maximale (directive) | 10 M EUR ou 2 % du CA mondial | 7 M EUR ou 1,4 % du CA mondial |
Deux pièges classiques : un fournisseur DNS de cinq personnes peut être entité essentielle, et une banque, bien que listée en annexe I, applique DORA pour les mesures et la notification (voir notre guide DORA). Dans un groupe, chaque entité juridique se qualifie séparément. Les infogéreurs (MSP) et prestataires de sécurité managée (MSSP) figurent en annexe I : un infogéreur de PME est probablement lui-même entité importante, et ses clients lui répercuteront leurs exigences.
- Organisation in the EU
- → Sector in NIS2 Annex I or II?
- No: Out of scope (unless size-independent type: DNS, TLD, trust service, public admin)
- Yes: Medium or large (>= 50 staff or > EUR 10 M)?
- No: Out of scope (unless size-independent type: DNS, TLD, trust service, public admin) (see above)
- Yes: Large (>= 250 staff) in Annex I?
- Yes: Essential entity (EE)
- No: Important entity (IE)
- → Sector in NIS2 Annex I or II?
Extrait de la fiche « Essential Systems: LPM, NIS and NIS2 Obligations » · Demander la fiche complète
Gouvernance : la direction en première ligne
L'article 20 est la partie que les dirigeants sous-estiment. L'organe de direction doit :
- approuver les mesures de gestion des risques cyber,
- superviser leur mise en œuvre,
- suivre une formation (et en proposer une aux salariés),
- et il peut être tenu responsable des manquements. Pour les entités essentielles, l'autorité peut même suspendre temporairement un dirigeant de ses fonctions.
Concrètement : une approbation écrite du programme dans un procès-verbal, une sensibilisation annuelle des administrateurs, et un tableau de bord revu au moins chaque trimestre.
Extrait de la fiche « NIS2 Directive: EU-wide Obligations » · Demander la fiche complète
Les dix mesures minimales (article 21)
L'article 21(2) impose dix mesures, toutes obligatoires, selon une approche « tous risques » et proportionnée à l'exposition et à la taille. La colonne de droite indique les preuves qu'un auditeur demandera.
| Art. 21(2) | Mesure | Preuves attendues |
|---|---|---|
| (a) | Analyse de risques et politiques de sécurité des SI | Méthode documentée (EBIOS RM ou ISO 27005), PSSI, périmètre |
| (b) | Gestion des incidents | Plan de réponse, astreinte, procédures qui déclenchent les délais de notification |
| (c) | Continuité d'activité, sauvegardes, reprise, gestion de crise | Bilan d'impact sur l'activité, sauvegardes hors ligne ou immuables, restaurations testées, cellule de crise |
| (d) | Sécurité de la chaîne d'approvisionnement | Classement des fournisseurs, clauses de sécurité, droit d'audit |
| (e) | Sécurité de l'acquisition, du développement et de la maintenance, gestion des vulnérabilités | Pratiques de développement sécurisé, délais de correctifs, politique de divulgation |
| (f) | Évaluation de l'efficacité des mesures | Indicateurs, audits internes, tests d'intrusion, revues de direction |
| (g) | Hygiène informatique et formation | Socle de durcissement, programme de sensibilisation tracé |
| (h) | Cryptographie et chiffrement | Politique cryptographique, gestion des clés |
| (i) | Sécurité RH, contrôle d'accès, gestion des actifs | Processus arrivée-mobilité-départ, revues d'accès, inventaire |
| (j) | MFA, communications sécurisées, communications d'urgence | MFA sur les accès distants et d'administration, canal de crise hors bande |
Pour les fournisseurs numériques (cloud, centres de données, infogéreurs, DNS, places de marché…), le règlement d'exécution (UE) 2024/2690 détaille ces mesures. Même hors de son champ, son annexe constitue un bon référentiel de fait.
Notification des incidents : 24 h, 72 h, 1 mois
Un incident important est un incident qui a causé ou peut causer une perturbation opérationnelle grave ou une perte financière pour l'entité, ou un dommage considérable à des tiers.
| Délai (à partir de la prise de connaissance) | Rapport | Contenu |
|---|---|---|
| 24 heures | Alerte précoce | Acte malveillant suspecté ? Impact transfrontière possible ? |
| 72 heures | Notification d'incident | Première évaluation, gravité, impact, indicateurs de compromission |
| Sur demande | Rapport intermédiaire | Points d'étape |
| 1 mois après la notification | Rapport final | Cause racine, mesures, impact transfrontière |
L'alerte à 24 h ne demande qu'une suspicion, pas une cause racine. Ces délais courent en parallèle de la notification RGPD de 72 h à la CNIL si des données personnelles sont touchées, et des règles sectorielles. Préparez les formulaires, tenez à jour la liste des contacts et entraînez la décision « est-ce un incident important ? » lors d'un exercice sur table.
Extrait de la fiche « GDPR for Security Teams » · Demander la fiche complète
Plan de préparation en 90 jours
Inutile d'attendre les décrets : 80 % du travail est identique quel que soit le texte final.
| Phase | Semaines | Actions | Livrable |
|---|---|---|---|
| Périmètre | 1-2 | Qualifier chaque entité juridique (secteur, taille, cas particuliers) ; vérifier sur MonEspaceNIS2 ; désigner un sponsor à la direction | Note de périmètre signée |
| État des lieux | 3-5 | Analyse d'écarts sur les dix mesures ; évaluation du guide d'hygiène ANSSI ; inventaire des services critiques, actifs et fournisseurs | Registre des écarts avec responsables |
| Risques | 5-8 | Étude EBIOS RM allégée sur les 2 ou 3 services les plus critiques (voir EBIOS RM en pratique) | Cartographie et plan de traitement |
| Gains rapides | 4-10 | MFA sur tous les accès distants et d'administration, sauvegardes hors ligne avec test de restauration, délai de correctifs inférieur à 30 jours, journaux centralisés | Indicateurs mesurés |
| Notification | 6-10 | Processus incident avec délais 24/72 h, critères d'importance, formulaires préremplis, canal hors bande | Procédure testée |
| Fournisseurs | 8-12 | Classer les fournisseurs, ajouter des clauses aux contrats critiques, demander des preuves | Registre fournisseurs |
| Gouvernance | 11-13 | Approbation du programme par la direction, formation des dirigeants, tableau de bord trimestriel | PV de direction, feuille de route mois 4 à 18 |
Correspondance avec l'hygiène ANSSI et l'ISO 27001
La plupart des organisations françaises disposent déjà d'une partie de la réponse. Le guide d'hygiène de l'ANSSI (42 mesures) couvre une bonne partie de l'article 21, un SMSI ISO 27001 la quasi-totalité, mais aucun des deux ne traite seul la responsabilité des dirigeants ni les délais de notification.
| NIS2 art. 21(2) | Mesures d'hygiène ANSSI | ISO/IEC 27001:2022 |
|---|---|---|
| (a) Analyse de risques, politiques | M41, M1 | Clauses 6.1, 5.2 ; A.5.1 |
| (b) Gestion des incidents | M39, M40 | A.5.24-A.5.28 |
| (c) Continuité, sauvegardes | M37, M14 | A.5.29, A.5.30, A.8.13 |
| (d) Chaîne d'approvisionnement | M3, M25 | A.5.19-A.5.22 |
| (e) Développement, vulnérabilités | M34, M35, M42 | A.8.8, A.8.25-A.8.29 |
| (f) Efficacité | M38 | Clauses 9.1-9.3 |
| (g) Hygiène, formation | M1, M2 | A.6.3 |
| (h) Cryptographie | M18, M31 | A.8.24 |
| (i) RH, accès, actifs | M4-M9, M29 | A.5.9, A.5.15-A.5.18, A.6.1-A.6.5 |
| (j) MFA, communications sécurisées | M13, M21, M32 | A.5.17, A.8.5, A.5.14 |
La certification ISO 27001 n'est pas exigée par NIS2, mais c'est le moyen le plus efficace de démontrer (a) et (f). Le guide d'hygiène est le levier le plus rapide pour relever le socle technique : notre plan d'hygiène ANSSI le transforme en programme à 30, 90 et 180 jours. Pour automatiser la collecte de preuves, voir la conformité as code.
Erreurs fréquentes
- Attendre la loi française. Le contenu de la directive est connu ; l'autorité attendra des progrès visibles dès l'entrée en vigueur.
- En faire un projet informatique. L'article 20 en fait un sujet de direction ; sans sponsor, les chantiers fournisseurs et continuité s'enlisent.
- Confondre hygiène et conformité. L'hygiène couvre de nombreuses mesures, mais ni la gouvernance, ni la notification, ni la chaîne d'approvisionnement.
- Oublier la structure du groupe. Chaque entité juridique se qualifie séparément.
Notre accompagnement
Tadata accompagne les organisations en audit de sécurité et conformité : qualification NIS2 et analyse d'écarts, évaluation de l'hygiène ANSSI, analyse de risques EBIOS RM et préparation ISO 27001. Le détail est sur notre page cybersécurité, et la bibliothèque de fiches, gratuite, comprend des fiches NIS2, hygiène ANSSI et ISO 27001.