La directive NIS 2 est une réglementation européenne majeure qui agit comme le « RGPD de la cybersécurité », visant à protéger la continuité d'activité économique face aux cyberattaques. Elle élargit considérablement son périmètre d'application pour inclure les PME, ETI et grandes entreprises réparties dans 18 secteurs clés (énergie, santé, industrie, etc.).

Voici les points essentiels à retenir :

• Obligations majeures : Les entreprises doivent garantir la responsabilité de leurs dirigeants dans la stratégie cyber, cartographier leurs risques, assurer leur résilience via des plans de continuité/reprise d'activité (PCA/PRA), et notifier les incidents majeurs à l'ANSSI sous 24 à 72 heures.

• Complémentarité avec l'ISO 27001 : La norme ISO 27001 est l'outil opérationnel idéal pour répondre à cette obligation légale ; une entreprise certifiée a déjà accompli environ 80 % du chemin vers la conformité NIS 2.

• Calendrier et application : Bien que la loi de transposition française (Loi Résilience) soit prévue pour fin 2026, l'ANSSI a déjà publié le référentiel ReCyF en mars 2026 pour guider les entreprises. Une période de tolérance de 3 ans sera accordée aux structures qui engagent activement une mise en conformité.

• Urgence économique : Sans attendre la loi, les grands donneurs d'ordres imposent déjà des clauses de conformité à toute leur chaîne de sous-traitance, créant une pression immédiate sur le marché.