NIS 2 : qui est concerné, et que faut-il faire ?

Où en est la France

La France n'a pas encore de loi NIS 2. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025. La commission spéciale de l'Assemblée nationale a déposé son texte le 10 septembre 2025 ; depuis, le dossier législatif ne mentionne ni séance publique ni adoption. La directive fixait la limite de transposition au 17 octobre 2024.

1. 27 décembre 2022Publication de la directive au Journal officiel de l'Union européenne
2. 15 octobre 2024Dépôt du projet de loi au Sénat, en procédure accélérée
3. 17 octobre 2024Date limite de transposition fixée par la directive
4. 12 mars 2025Adoption du projet de loi par le Sénat, en première lecture
5. 10 septembre 2025Texte de la commission spéciale de l'Assemblée nationale (n° 1779)
6. 29 octobre 2026Le dossier législatif ne montre aucun examen en séance publique à l'Assemblée nationale : ni loi promulguée, ni décret.

Pour qui se prépare, ce retard change peu de chose. L'ANSSI a ouvert un pré-enregistrement des entités et publié une version de travail du Référentiel Cyber France (ReCyF, version 2.5 du 17 mars 2026) : vingt objectifs de sécurité, appelés à devenir le socle de la réglementation française. Les obligations, elles, ne s'appliqueront qu'une fois la loi, ses décrets et ses arrêtés publiés, et pas toutes à la même date.

Êtes-vous concerné ?

Deux critères font l'essentiel du tri : votre secteur figure-t-il dans les annexes de la directive, et quelle est votre taille ? La taille se lit selon la recommandation européenne de 2003 sur les PME. Une entreprise est grande à partir de 250 personnes, ou au-delà de 50 M€ de chiffre d'affaires et de 43 M€ de bilan ; elle est moyenne à partir de 50 personnes, ou au-delà de 10 M€ de chiffre d'affaires et de bilan.

Deux exemples. Une clinique privée de 300 salariés est un prestataire de soins de santé, secteur de l'annexe I, et une grande entreprise : entité essentielle. Un fabricant de machines industrielles de 120 salariés relève de la fabrication, à l'annexe II : entité importante.

La taille ne met pas tout le monde à l'abri. Les prestataires de services de confiance, les registres de noms de domaine de premier niveau, les fournisseurs de services DNS ou de communications électroniques publiques, les services d'enregistrement de noms de domaine, les entités critiques au sens de la directive (UE) 2022/2557 et les administrations publiques centrales entrent dans le champ quelle que soit leur taille. Un État peut aussi désigner une entité plus petite, par exemple le seul fournisseur d'un service essentiel. Le simulateur de l'ANSSI confirme la catégorie en quelques questions.

Ce que la directive impose

La direction en répond

L'article 20 est court, et c'est celui qui engage le plus. Les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et peuvent être tenus responsables de leur violation. Leurs membres doivent suivre une formation.

Dix domaines, au minimum

L'article 21 demande une approche « tous risques », proportionnée à l'exposition de l'entité, à sa taille, à la probabilité et à la gravité des incidents. Il fixe dix domaines que les mesures doivent couvrir au moins.

• aPolitiques d'analyse des risques et de sécurité des systèmes d'information
• bGestion des incidents
• cContinuité d'activité : sauvegardes, reprise, gestion de crise
• dSécurité de la chaîne d'approvisionnement, fournisseurs directs compris
• eSécurité de l'acquisition, du développement et de la maintenance, vulnérabilités comprises
• fÉvaluation de l'efficacité des mesures
• gCyberhygiène et formation à la cybersécurité
• hCryptographie et, s'il y a lieu, chiffrement
• iSécurité des ressources humaines, contrôle d'accès, gestion des actifs
• jAuthentification multifacteur, communications sécurisées et d'urgence

Les fournisseurs numériques visés par le règlement d'exécution (UE) 2024/2690 suivent ses exigences techniques, et non le socle défini pour la France : services DNS, informatique en nuage, centres de données, réseaux de diffusion de contenu, services gérés et services de sécurité gérés, places de marché, moteurs de recherche, réseaux sociaux et prestataires de services de confiance.

Notifier en trois temps

Un incident est important s'il cause, ou peut causer, une perturbation opérationnelle grave des services ou des pertes financières pour l'entité, ou des dommages considérables à d'autres personnes. En France, il se signale à l'ANSSI.

1. 24 hAlerte précoceDès la connaissance de l'incident : acte malveillant suspecté ou non, effet transfrontière possible ou non.
2. 72 hNotification d'incidentUne évaluation initiale : gravité, impact, indicateurs de compromission s'ils sont connus.
3. 1 moisRapport finalAprès la notification : description détaillée, cause probable, mesures prises, impact transfrontière.

Entre la notification et le rapport final, le CSIRT ou l'autorité peut demander un rapport intermédiaire.

Les sanctions

Pour une violation des articles 21 ou 23, la directive impose aux États un plafond d'amende d'au moins 10 M€ ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, 7 M€ ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu. La loi française fixera les siens.

Par où commencer

Si vous partez de zéro, voici l'ordre que nous recommandons, et la raison de chaque étape. Aucune n'attend la loi française.

1. Qualifier chaque entité juridique.Secteur, taille, exceptions : la réponse peut changer d'une filiale à l'autre. Le simulateur de l'ANSSI donne une première réponse ; gardez la trace de chacune.
2. Écrire le circuit de notification.Vingt-quatre heures ne laissent pas le temps d'improviser : qui qualifie un incident d'important, qui prévient l'ANSSI, avec quelles informations. C'est l'obligation la moins coûteuse à préparer.
3. Faire approuver la démarche par la direction.L'article 20 la rend responsable et l'oblige à se former : c'est aussi le meilleur levier pour obtenir les moyens.
4. Mesurer l'écart.Aux dix domaines de l'article 21, ou directement aux vingt objectifs du ReCyF si vous voulez anticiper le socle français.
5. Prioriser par les risques.Une appréciation des risques, avec EBIOS RM par exemple, ordonne le plan d'action mieux que l'ordre de la liste.
6. Traiter les fournisseurs directs.La directive demande de tenir compte des vulnérabilités propres à chacun et de la qualité de ses pratiques de cybersécurité.