La directive NIS2, c'est quoi?
La directive NIS 2 est une réglementation européenne majeure qui agit comme le « RGPD de la cybersécurité », visant à protéger la continuité d'activité économique face aux cyberattaques. Elle élargit considérablement son périmètre d'application pour inclure les PME, ETI et grandes entreprises réparties dans 18 secteurs clés (énergie, santé, industrie, etc.).
Voici les points essentiels à retenir :
Obligations majeures : Les entreprises doivent garantir la responsabilité de leurs dirigeants dans la stratégie cyber, cartographier leurs risques, assurer leur résilience via des plans de continuité/reprise d'activité (PCA/PRA), et notifier les incidents majeurs à l'ANSSI sous 24 à 72 heures.
Complémentarité avec l'ISO 27001 : La norme ISO 27001 est l'outil opérationnel idéal pour répondre à cette obligation légale ; une entreprise certifiée a déjà accompli environ 80 % du chemin vers la conformité NIS 2.
Calendrier et application : Bien que la loi de transposition française (Loi Résilience) soit prévue pour fin 2026. Une période de tolérance de 3 ans serait accordée aux structures qui engagent activement une mise en conformité.
NIS2, c'est pour quand?
La directive européenne NIS 2 (2022/2555) devait initialement être transposée par les États membres au plus tard le 17 octobre 2024. La France a accumulé un retard notable sur cette échéance, lié notamment aux aléas du calendrier législatif.
Voici l'état des lieux et le calendrier de la transposition française :
Le parcours parlementaire:
La transposition s'opère via le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (qui regroupe la transposition de NIS 2, de la directive REC et l'adaptation de DORA) :
Sénat : le texte a été adopté en première lecture au printemps 2025.
Assemblée nationale : après examen en commission spéciale, l'inscription en séance publique a subi plusieurs reports. le texte avait été inscrit à l’ordre du jour, puis retiré des séances prévues les 7 et 9 octobre 2026.
Promulgation de la loi : attendue entre la fin d'année 2026 et le début 2027 (prévision) selon le rythme des navettes parlementaires.
Décrets d'application : Des dispositions réglementaires pourront préciser certains aspects, mais les décret devraient formaliser la liste détaillée des secteurs d'activité, les seuils de catégorisation (Entités Essentielles vs Entités Importantes) et les modalités précises de déclaration à l'ANSSI.
Urgence économique : Sans attendre la loi, les grands donneurs d'ordres imposent déjà des clauses de conformité à toute leur chaîne de sous-traitance.
NIS2, c'est pour qui?
La directive NIS2 élargit considérablement le périmètre de la cybersécurité européenne en s'appuyant sur des critères de taille et de sectorisation, tout en étendant son empreinte bien au-delà des seules entreprises régulées.
Le cœur du dispositif : Entités Essentielles et Importantes:
NIS2 s'applique automatiquement aux organisations de 18 secteurs critiques à partir de 50 salariés ou 10 M€ de chiffre d'affaires :
Entités Essentielles (EE) : Grandes structures (≥ 250 salariés ou > 50 M€ de CA) des secteurs hautement critiques (énergie, santé, transports, banque, etc.). Elles sont soumises à un contrôle "a priori" et à des amendes pouvant atteindre 10 M€ ou 2 % du CA.
Entités Importantes (EI) : Moyennes structures et moyennes entreprises. Elles font l'objet d'une supervision *a posteriori* avec des amendes allant jusqu'à 7 M€ ou 1,4 % du CA.
Mais pas seulement: L'extension du périmètre:
Au-delà des entreprises directement assujetties, NIS2 touche un écosystème élargi :
La chaîne d'approvisionnement: Par un effet domino, les TPE, PME et sous-traitants doivent satisfaire aux exigences de sécurité imposées par leurs donneurs d'ordre régulés (Article 21.2.d).
Sous-traitants, fournisseurs : Êtes-vous prêts pour les exigences de 2026 ? Avec le déploiement des nouvelles réglementations européennes, les donneurs d'ordres exigent désormais des preuves concrètes de votre résilience numérique. Contactez-nous!
Les pages de l'ANSSI /NIS2
Vous souhaitez optimiser votre cybersécurité? Choisissez le conseil d'un expert certifié - contactez-nous