Norme NIS 2 : qui est concerné et comment se mettre en conformité ?

Norme NIS 2 : qui est concerné et comment se mettre en conformité ?

Norme NIS 2, directive NIS 2, loi Résilience… Le sujet revient régulièrement dans les comités de direction et dans les appels d'offres, souvent avec la même idée en tête : cela ne concerne que les très grandes organisations. C'est pourtant l'inverse qui se prépare. Le texte européen a justement été conçu pour élargir le périmètre de la cybersécurité réglementée et faire entrer dans la boucle des milliers d'entreprises, de collectivités et d'établissements qui n'avaient jamais eu affaire à l'ANSSI. Savoir si vous êtes concerné, comprendre ce que le texte attend et identifier les chantiers à lancer en premier, c'est aujourd'hui un enjeu de gouvernance autant que de sécurité informatique.

À retenir Environ 15 000 entités françaises seraient concernées par NIS 2, contre quelques centaines seulement sous la précédente directive NIS 1. En cas de manquement, les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles. (Sources : estimations ANSSI, article 34 de la directive (UE) 2022/2555)

NIS 2 est une directive européenne qui change l'échelle de la cybersécurité réglementée

Derrière l'expression « norme NIS 2 » se cache la directive (UE) 2022/2555, adoptée en décembre 2022. Elle remplace la directive NIS de 2016, jugée trop limitée dans son périmètre et trop inégalement appliquée d'un pays à l'autre, avec un objectif assez simple : garantir un niveau de cybersécurité élevé et homogène dans toute l'Union européenne.

Le changement d'échelle est considérable. Là où NIS 1 visait quelques centaines d'opérateurs de services essentiels en France, NIS 2 couvre dix-huit secteurs d'activité, des secteurs dits hautement critiques comme l'énergie, la santé, les transports, l'eau ou l'administration publique, jusqu'aux autres secteurs critiques comme la fabrication, l'agroalimentaire, la chimie ou la gestion des déchets. Une PME industrielle de cinquante salariés peut ainsi être assujettie au même titre qu'un opérateur télécom national.

Entités essentielles ou importantes : comment savoir si votre entreprise est concernée

Le champ d'application repose sur deux critères combinés : le secteur d'activité et la taille de l'organisation. En principe, une entité entre dans le périmètre si elle exerce dans l'un des dix-huit secteurs visés et atteint au moins le seuil de la moyenne entreprise, soit cinquante salariés ou dix millions d'euros de chiffre d'affaires et de total de bilan. Certaines organisations sont visées quelle que soit leur taille, en raison de leur rôle systémique, comme les fournisseurs de services DNS ou les opérateurs de télécommunications.

Les entités concernées se répartissent ensuite en deux catégories. Les entités essentielles, les plus critiques, font l'objet d'une supervision proactive : l'autorité peut les contrôler sans attendre qu'un incident survienne. Les entités importantes relèvent d'un contrôle réactif, déclenché par un signalement ou une suspicion de manquement, avec des plafonds de sanction plus bas.

Un dernier point mérite l'attention, même si votre entreprise reste hors périmètre : la directive impose à chaque entité de maîtriser les risques liés à sa chaîne d'approvisionnement. Concrètement, vos clients assujettis vous adresseront des questionnaires de sécurité et des clauses contractuelles renforcées. NIS 2 se diffusera donc bien au-delà des 15 000 entités officiellement visées.

Votre entreprise est-elle concernée par NIS 2 ?

Pour le savoir, l'ANSSI met à disposition un simulateur officiel permettant d'évaluer si votre organisation entre dans le périmètre de la directive NIS 2, en fonction de sa taille et de son secteur d'activité.

En France, la transposition se poursuit mais l'ANSSI a déjà posé ses attentes

C'est le point qui déroute le plus les dirigeants. La date limite fixée par l'Union européenne était le 17 octobre 2024, mais la France n'a pas achevé son processus législatif. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit loi Résilience, transpose à lui seul trois textes européens : NIS 2, la directive REC et le règlement DORA. Adopté par le Sénat en mars 2025, puis en commission spéciale à l'Assemblée nationale en septembre 2025, il reste en attente d'examen en séance publique.

Ce retard ne doit pas être pris pour un répit. L'ANSSI, désignée comme autorité nationale compétente, a largement pris les devants : elle a publié en mars 2026 le Référentiel Cyber France, qui détaille une vingtaine d'objectifs de sécurité et servira de grille de lecture aux contrôles, et mis en ligne la plateforme MonEspaceNIS2 pour le futur enregistrement des entités. Anticiper dès maintenant, c'est simplement gagner les mois de travail que la mise en conformité exigera de toute façon.

Enregistrement, gestion des risques, notification : ce que le texte impose concrètement

NIS 2 ne fournit pas une liste de produits à acheter, mais des objectifs de sécurité à atteindre, proportionnés au risque et à la taille de l'organisation. Cela commence par l'enregistrement auprès de l'autorité nationale, puis par la gestion des risques : cartographier son système d'information, analyser ses dépendances, formaliser une politique de sécurité, maîtriser les accès et disposer d'un plan de continuité réellement testé.

La notification des incidents constitue le deuxième volet, avec un calendrier particulièrement serré :

• 24 heures : alerte précoce auprès de l'autorité, dès la prise de connaissance d'un incident significatif
• 72 heures : notification circonstanciée, avec une première évaluation de l'incident
• 1 mois : rapport final détaillant les causes, les impacts et les mesures prises

Ces délais supposent que les procédures internes de signalement soient définies à l'avance, faute de quoi ils sont impossibles à tenir.

Le troisième volet est probablement le plus structurant, puisqu'il sort la cybersécurité du périmètre exclusif de la direction informatique. Les organes de direction doivent approuver les mesures de gestion des risques, en superviser la mise en œuvre et suivre eux-mêmes des formations à la cybersécurité. En cas de manquement caractérisé, leur responsabilité peut d'ailleurs être engagée, au-delà des amendes encourues par l'organisation.

La formation des collaborateurs, une obligation de conformité à part entière

Dans un chantier qui s'étale sur dix-huit à trente-six mois pour une organisation de taille moyenne, la formation des équipes se distingue par son rapport entre effort et bénéfice immédiat. La directive invite explicitement les dirigeants à proposer régulièrement à leurs collaborateurs des formations équivalentes aux leurs, afin que chacun soit en mesure d'identifier les risques et d'évaluer les pratiques de sécurité de l'organisation.

C'est assez logique quand on regarde l'origine des incidents. La très grande majorité de ceux qui déclencheront demain une notification à l'ANSSI commenceront par un courriel d'hameçonnage ouvert, un mot de passe réutilisé, une pièce jointe malveillante ou une demande de virement frauduleuse traitée sans vérification. Aucune mesure technique ne compense durablement un collaborateur qui n'a jamais appris à reconnaître une tentative d'attaque, et le respect des délais de notification suppose que chacun sache immédiatement à qui signaler un comportement suspect.

Une démarche de formation qui tient face à un contrôle repose sur trois éléments :

• La régularité : des sessions courtes et répétées plutôt qu'une réunion annuelle vite oubliée
• La mise en situation : des campagnes de phishing simulé qui mesurent les réflexes réels, et pas seulement les connaissances théoriques
• La traçabilité : un suivi des participations et des progrès, car lors d'un contrôle de l'ANSSI ou d'un audit d'un donneur d'ordre, ce sont vos preuves de sensibilisation qui feront la différence

C'est aussi l'une des rares briques de conformité que vous pouvez mettre en place immédiatement, sans attendre la promulgation de la loi Résilience.

Sencybeo, votre partenaire pour sensibiliser vos équipes et documenter votre conformité

Sencybeo vous permet de déployer des parcours de sensibilisation courts et adaptés à chaque profil de collaborateur, complétés par des campagnes de phishing simulé réalistes. Vous mesurez la progression de vos équipes, identifiez les populations les plus exposées et conservez les indicateurs attendus en cas de contrôle. Contactez-nous dès aujourd'hui pour une démonstration et prenez de l'avance sur votre mise en conformité NIS 2.