Directive NIS 2 : définition, obligations et secteurs concernés

Depuis décembre 2022, la directive NIS 2 redessine le paysage réglementaire de la cybersécurité en Europe. Des milliers d’organisations françaises sont désormais tenues de renforcer leur sécurité des systèmes d’information, de déclarer leurs incidents cyber et de s’enregistrer auprès de l’ANSSI. Que vous dirigiez une entreprise dans le secteur de la santé ou une collectivité locale, comprendre cette directive NIS est la première étape pour agir sans subir.

Ce qu’il faut retenir

• La directive NIS 2 remplace la directive NIS 1 et étend les obligations de cybersécurité à 18 secteurs d’activités, contre 6 auparavant.
• Deux typologies d’entités sont concernées : les entités essentielles (EE) et les entités importantes (EI), avec des seuils de taille et de chiffre d’affaires distincts.
• Trois obligations majeures s’imposent : enregistrement auprès de l’ANSSI, gestion des risques cyber, et déclaration des incidents de sécurité sous 24 heures.
• Les sanctions financières atteignent jusqu’à 2 % du chiffre d’affaires mondial pour les entités essentielles, et 1,4 % pour les entités importantes.
• L’ANSSI met à disposition plusieurs outils gratuits : simulateur MonEspaceNIS2, Référentiel Cyber France (ReCyF) et diagnostics par Aidants cyber.

Qu’est-ce que la directive NIS 2 ?

La directive NIS 2 est un texte réglementaire européen qui fixe un cadre juridique unifié pour la protection des réseaux et systèmes d’information dans l’ensemble des États membres de l’Union européenne. Elle vise à garantir un niveau commun de cybersécurité face à des menaces qui se sont considérablement intensifiées depuis la première version du texte.

Origines et évolution de la directive NIS

La directive SRI 1 (ou NIS 1) est entrée en vigueur en 2016. À l’époque, elle couvrait 6 secteurs jugés critiques : énergie, transports, soins de santé, finances, gestion de l’eau et infrastructures numériques. Si ce premier texte a posé des bases utiles, il s’est rapidement révélé insuffisant face à l’évolution des cybermenaces et à la fragmentation des approches nationales.

La directive NIS 2 a été publiée au Journal Officiel de l’Union européenne en décembre 2022. Elle abroge et remplace intégralement la directive NIS 1 depuis le 18 octobre 2024, date à laquelle les États membres devaient avoir transposé le texte en droit national. En France, cette transposition est portée par le projet de loi Résilience, dont l’article 14 fait explicitement référence au référentiel de cybersécurité développé par l’ANSSI.

Le changement de périmètre est radical : de 6 secteurs, on passe à 18, et le nombre d’entités concernées passe de quelques centaines à plusieurs milliers d’organisations sur le territoire français.

Les objectifs de NIS 2 pour la cybersécurité européenne

La directive NIS 2 poursuit trois objectifs complémentaires, explicitement formulés dans le texte européen :

• Renforcer la résilience des entités publiques et privées face aux cybermenaces, en imposant des mesures de gestion des risques proportionnées à leur exposition.
• Harmoniser les exigences entre États membres, pour éviter que des différences de niveau d’ambition nationale ne créent des maillons faibles dans la chaîne de sécurité européenne.
• Améliorer la coopération en cas d’incident majeur, via des mécanismes formalisés comme le réseau CyCLONe (Cyber Crisis Liaison Organisation Network), qui rassemble l’ANSSI et ses homologues européens.

L’ENISA (Agence de l’Union européenne pour la cybersécurité), basée à Athènes, joue un rôle d’appui technique dans la mise en œuvre de ce cadre, aux côtés des autorités nationales compétentes.

Champ d’application géographique et temporel

NIS 2 s’applique à l’ensemble des 27 États membres de l’Union européenne. Chaque État dispose de sa propre autorité compétente : en France, c’est L’ANSSI (Agence nationale de la sécurité des systèmes d’information), autorité nationale compétente, et rattachée au secrétariat général de la Défense et de la Sécurité nationale.

Sur le plan temporel, le délai de transposition était fixé au 17 octobre 2024. Les modifications ciblées proposées par la Commission européenne le 20 janvier 2026 visent à simplifier certaines exigences de gestion des risques pour faciliter la mise en conformité de 28 700 entreprises, dont 6 200 micro et petites entreprises (source : Commission européenne, janvier 2026).

Qui est concerné par la directive NIS 2 ?

Le périmètre de NIS 2 est nettement plus large que celui de son prédécesseur. La directive introduit une logique de classification en deux typologies d’entités, appliquée sur 18 secteurs d’activités. Identifier sa catégorie est la première démarche concrète à effectuer.

Les 18 secteurs d’activités visés

NIS 2 distingue deux groupes de secteurs. Les 11 secteurs hautement critiques sont ceux dont une défaillance aurait des conséquences immédiates sur la vie des citoyens :

• Administrations publiques
• Eaux potables
• Eaux non potables
• Énergies
• Espace
• Gestion des services TIC (Technologies de l’information et de la communication) interentreprises
• Infrastructures des marchés financiers
• Infrastructures numériques
• Santé
• Secteur bancaire
• Transport

Les 7 autres secteurs critiques complètent ce périmètre :

• Fabrication, production et distribution de produits chimiques
• Fournisseurs numériques
• Gestion des déchets
• Industries manufacturières
• Production, transformation et distribution de denrées alimentaires
• Recherche
• Services postaux et d’expédition

Un point souvent sous-estimé : les sous-traitants d’une entreprise relevant de ces secteurs peuvent être indirectement concernés. Un prestataire informatique qui gère les systèmes d’information d’un hôpital ou d’un opérateur d’énergie entre dans le périmètre, même s’il n’appartient pas lui-même à un secteur listé.

Entités essentielles (EE) et entités importantes (EI) : les deux typologies

La directive NIS 2 classe les organisations en deux catégories, avec des obligations et des sanctions différenciées selon leur taille et leur chiffre d’affaires (source : site officiel messervices.cyber.gouv.fr, ANSSI) :

Critère	Entité essentielle (EE)	Entité importante (EI)
Effectif	≥ 250 personnes	≥ 50 personnes
Chiffre d’affaires annuel	> 50 millions d’euros	> 10 millions d’euros
Bilan annuel	> 43 millions d’euros	> 10 millions d’euros
Sanction maximale	2 % du CA mondial	1,4 % du CA mondial

Pour les EE, les deux conditions financières (CA et bilan) doivent être réunies simultanément, en plus du seuil d’effectif. Pour les EI, le seuil d’effectif ou les seuils financiers suffisent à déclencher l’assujettissement.

Certaines catégories sont exemptées, notamment les prestataires de services de confiance, les fournisseurs de services DNS, les registres de noms de domaine de premier niveau et certaines administrations publiques bénéficiant de dérogations spécifiques.

Comment déterminer si votre organisation est concernée ?

L’ANSSI a développé un simulateur en ligne, MonEspaceNIS2, accessible sur monespacenis2.cyber.gouv.fr. En quelques minutes, cet outil permet d’évaluer si votre entité entre dans le périmètre NIS 2 et dans quelle catégorie elle se situe. Le pré-enregistrement auprès de l’ANSSI s’effectue ensuite directement depuis la même plateforme.

Les 3 obligations majeures imposées par NIS 2

Quelle que soit votre catégorie (EE ou EI), trois obligations structurent le cadre de conformité NIS 2. Elles sont cumulatives et non optionnelles.

L’enregistrement auprès de l’autorité nationale compétente

Toute entité ayant évalué son assujettissement à NIS 2 doit s’enregistrer auprès de l’ANSSI. Cet enregistrement formalise l’entrée dans le dispositif de supervision et constitue le point de départ de toutes les démarches de conformité. En France, le pré-enregistrement est disponible en ligne via MonEspaceNIS2.

La plateforme ClubSSI permet par ailleurs d’anticiper cet enregistrement et d’accéder à des ressources communautaires pour les responsables sécurité des systèmes d’information.

La gestion des risques cyber et les mesures de sécurisation

NIS 2 impose aux entités concernées de déployer des mesures juridiques, techniques et organisationnelles appropriées pour gérer les risques menaçant leurs réseaux et systèmes d’information. Ces mesures de sécurisation couvrent notamment :

• La politique de sécurité des systèmes d’information et l’analyse des risques
• La gestion des incidents et la continuité d’activité
• La sécurité de la chaîne d’approvisionnement, y compris les prestataires et sous-traitants
• La sécurité dans l’acquisition, le développement et la maintenance des réseaux et systèmes
• La formation du personnel et les pratiques d’hygiène informatique de base
• L’utilisation de la cryptographie et du chiffrement
• La gestion des accès et l’authentification multifacteur pour l’identification des utilisateurs

Le Référentiel Cyber France (ReCyF), mis à disposition par l’ANSSI depuis le 17 mars 2026, liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS 2. Ce document n’est pas obligatoire par défaut, mais les entités qui l’appliquent peuvent s’en prévaloir en cas de contrôle de l’ANSSI. Un outil de comparaison permet également de mettre en regard le ReCyF avec d’autres référentiels existants (ISO 27001, normes sectorielles, etc.).

À noter : les secteurs des infrastructures numériques, de la gestion des services TIC et des fournisseurs numériques sont soumis à un règlement d’exécution spécifique de la Commission européenne, distinct du socle de mesures NIS 2 standard.

La déclaration obligatoire des incidents de cybersécurité

Toute entité assujettie à NIS 2 doit signaler à l’ANSSI les incidents de sécurité ayant un impact important sur ses services. Le délai de déclaration est de 24 heures après la détection de l’incident. Des rapports d’évolution de la situation doivent ensuite être fournis à l’autorité compétente.

Un incident est qualifié d’important s’il est susceptible de causer des perturbations ou des dommages significatifs pour les utilisateurs des services concernés ou pour d’autres organisations. La définition précise des critères de qualification fait partie des éléments que le projet de loi Résilience vient préciser au niveau national.

Calendrier et délais de mise en conformité

Comprendre les jalons réglementaires permet d’organiser sa démarche de conformité sans se retrouver en situation de retard. Les dates qui suivent sont issues des textes officiels européens et des communications de l’ANSSI.

Dates clés de transposition et d’application

• Décembre 2022 : Publication de la directive NIS 2 au Journal Officiel de l’Union européenne.
• Janvier 2023 : Entrée en vigueur du texte européen.
• 17 octobre 2024 : Date limite de transposition en droit national pour les États membres.
• 18 octobre 2024 : Abrogation complète de la directive NIS 1 (directive SRI 1).
• 17 mars 2026 : Mise à disposition du Référentiel Cyber France (ReCyF) par l’ANSSI.
• 20 janvier 2026 : Proposition de modifications ciblées par la Commission européenne pour simplifier la conformité de 28 700 entreprises.

En France, la transposition nationale est portée par le projet de loi Résilience. Le calendrier précis d’entrée en vigueur des obligations nationales dépend de l’avancement de ce texte législatif. L’ANSSI s’est engagée à communiquer tout au long de ce processus.

Délais d’enregistrement selon votre catégorie d’entité

Les délais d’enregistrement auprès de l’ANSSI seront précisés dans les textes de transposition nationaux. Dès à présent, le pré-enregistrement via MonEspaceNIS2 est ouvert et recommandé par l’ANSSI pour toutes les entités ayant évalué leur assujettissement. Anticiper cette étape évite les effets de seuil et les mises en conformité dans l’urgence.

La gouvernance interne doit également être préparée : NIS 2 introduit la responsabilité directe de la haute direction en cas de non-respect des mesures de gestion des risques cyber. Le dirigeant exécutif est responsable de la sécurité numérique et du suivi de la conformité. Pour les entités essentielles, la désignation d’au moins une personne conseillant le dirigeant et servant de point de contact avec l’ANSSI est requise.

Comment se préparer et se mettre en conformité avec NIS 2 ?

La mise en conformité NIS 2 n’est pas un projet purement informatique. C’est une démarche transversale qui implique la direction générale, les équipes IT, les fonctions juridiques et les ressources humaines. Voici comment l’aborder méthodiquement.

Audit et diagnostic de votre posture de cybersécurité

La première étape consiste à évaluer honnêtement votre niveau de maturité actuel en matière de sécurité des systèmes d’information. Cet audit doit couvrir :

• L’inventaire des actifs critiques (systèmes, données, services exposés)
• L’analyse des risques cyber existants et des vulnérabilités connues
• La revue des politiques de sécurité en place et de leur application réelle
• L’évaluation des capacités de détection et de réponse aux incidents
• La cartographie de la chaîne d’approvisionnement numérique (prestataires, sous-traitants)

Pour les organisations qui n’ont pas encore de fonction sécurité structurée, l’ANSSI propose un diagnostic cyber gratuit via des Aidants cyber. Ce diagnostic d’environ 1h30 est accessible aux TPE/PME, collectivités et associations disposant d’au moins 2 salariés et d’un système d’information minimal (ordinateurs, messagerie, réseau partagé). À l’issue du diagnostic, 6 recommandations prioritaires sont remises à l’organisation.

Mise en place d’un plan d’action de conformité

Sur la base du diagnostic, un plan d’action structuré doit être défini. Les étapes typiques sont les suivantes :

1. Identifier les écarts entre la situation actuelle et les exigences NIS 2 (analyse de gap)
2. Prioriser les actions correctives selon le niveau de risque et les ressources disponibles
3. Rédiger ou mettre à jour la politique de sécurité des systèmes d’information
4. Définir un plan de réponse aux incidents, incluant les procédures de déclaration à l’ANSSI
5. Former le personnel aux risques numériques et aux bonnes pratiques d’hygiène informatique
6. Sécuriser la chaîne d’approvisionnement en intégrant des clauses contractuelles adaptées
7. Planifier les audits réguliers de contrôle de conformité

Le ReCyF de l’ANSSI est un point de départ utile pour structurer ce plan d’action, notamment pour les organisations qui souhaitent bénéficier d’une reconnaissance formelle de leur niveau de conformité lors des contrôles de l’autorité.

Ressources et solutions d’accompagnement disponibles (ANSSI, ClubSSI, etc.)

L’écosystème de solutions d’accompagnement autour de NIS 2 est plus riche qu’il n’y paraît. Voici les ressources officielles disponibles en 2026 :

• MonEspaceNIS2 (monespacenis2.cyber.gouv.fr) : simulateur, pré-enregistrement, FAQ dédiée
• ReCyF : référentiel de mesures recommandées par l’ANSSI, téléchargeable en PDF
• Outil de comparaison de référentiels : accessible via messervices.cyber.gouv.fr, permet de mettre en regard le ReCyF avec ISO 27001 ou d’autres normes sectorielles
• ClubSSI : plateforme collaborative pour anticiper l’enregistrement et partager les retours d’expérience entre responsables sécurité
• Aidants cyber : tiers de confiance formés par l’ANSSI, issus d’organismes publics ou d’associations à but non lucratif, qui réalisent des diagnostics gratuits et confidentiels
• Contact direct ANSSI : monespacenis2 [at] ssi.gouv.fr pour toute question spécifique

Le groupe de coopération SRI, qui réunit les États membres, la Commission européenne et l’ENISA, publie également des lignes directrices non contraignantes pour soutenir la mise en œuvre. Ces documents sont accessibles via le site de l’ENISA.

Risques et sanctions en cas de non-conformité

La directive NIS 2 n’est pas un texte déclaratif. Elle prévoit des mécanismes de supervision actifs et des sanctions financières significatives pour les entités qui ne respectent pas leurs obligations.

Conséquences réglementaires et pénalités financières

Les sanctions sont proportionnées à la catégorie de l’entité et à la gravité des manquements (source : messervices.cyber.gouv.fr, ANSSI) :

• Entités essentielles (EE) : amendes pouvant atteindre 2 % du chiffre d’affaires annuel mondial
• Entités importantes (EI) : amendes pouvant atteindre 1,4 % du chiffre d’affaires annuel mondial

Au-delà des amendes, les autorités compétentes peuvent prendre des mesures administratives : injonctions de mise en conformité, suspension temporaire d’activités pour les entités essentielles, ou publication des manquements (ce qui constitue en soi une sanction réputationnelle significative).

La responsabilité personnelle de la haute direction est explicitement engagée par le texte. Un dirigeant qui n’aurait pas mis en place les mesures de gestion des risques requises peut être tenu personnellement responsable des manquements de son organisation. Cette disposition a pour objectif de porter la cybersécurité au niveau du conseil d’administration, et non de la cantonner aux équipes techniques.

Impacts opérationnels et réputationnels pour votre organisation

Les conséquences d’une cyberattaque sur une organisation non préparée vont bien au-delà des pénalités réglementaires. Les risques opérationnels identifiés sont de quatre ordres :

• Perte ou vol de données : données clients, financières, RH, dont la compromission entraîne des obligations de notification supplémentaires (RGPD notamment)
• Interruption des activités : outils bloqués, services paralysés, avec des impacts directs sur le chiffre d’affaires et les engagements contractuels
• Atteinte à la réputation : la perte de confiance des partenaires, clients et fournisseurs peut avoir des effets durables bien après la résolution de l’incident
• Dépenses imprévues : coûts de remédiation, de forensique, de communication de crise et de restauration des systèmes

La menace cyber n’est pas théorique. Les acteurs malveillants ont massivement intensifié leurs attaques ces dernières années, et aucune organisation n’est à l’abri quelle que soit sa taille ou son secteur. La directive NIS 2 doit être perçue comme un levier d’amélioration de la résilience opérationnelle, pas uniquement comme une contrainte administrative.

Pilotez votre conformité NIS 2 avec Qontinua

Avec Qontinua, centralisez les actions, audits, documents et plans de traitement nécessaires à votre mise en conformité avec la directive NIS 2. La plateforme facilite le suivi des exigences, la coordination des équipes et la traçabilité des actions engagées dans le cadre de votre gouvernance cybersécurité.

Les responsables peuvent affecter les actions, suivre leur avancement, gérer les preuves documentaires et préparer les audits internes grâce à des tableaux de bord et des workflows adaptés. Les incidents, plans d’actions et revues sont regroupés dans un environnement unique pour assurer un pilotage efficace de la conformité.

Résultat : une démarche NIS 2 mieux structurée, une meilleure maîtrise de vos obligations réglementaires et un suivi simplifié de votre amélioration continue en matière de cybersécurité.

FAQ