Directive NIS 2 : obligations, entités concernées et calendrier

La directive NIS 2 est un texte européen qui impose à environ 15 000 organisations françaises un socle d’obligations de cybersécurité, assorti de sanctions financières et d’une responsabilité personnelle des dirigeants. Elle est en vigueur au niveau européen depuis 2023, mais sa traduction en droit français n’est pas encore promulguée. Cet écart entre le cadre européen et le calendrier national explique la confusion actuelle : cet article le clarifie.

La directive NIS de 2016 a constitué la première coordination européenne en matière de cybersécurité, mais son application a révélé quatre limites : un périmètre trop étroit, une transposition hétérogène selon les États membres, des obligations peu contraignantes et difficiles à contrôler, et l’absence de cadre pour la sécurité des prestataires.

Le changement d’échelle est le point à retenir : une organisation qui n’était pas concernée par NIS 1 a de fortes chances de l’être par la directive NIS 2.

Deux critères se combinent : appartenir à l’un des 18 secteurs couverts, et dépasser un seuil de taille. La directive NIS 2 classe ensuite les organisations en deux catégories, les entités essentielles et les entités importantes, dont les obligations et le régime de contrôle diffèrent.

Une organisation peut également être concernée indirectement, en tant que prestataire d’une entité régulée. La directive NIS 2 impose en effet à chaque entité de maîtriser la sécurité de sa chaîne d’approvisionnement numérique, ce qui se traduit par des clauses contractuelles répercutées sur les fournisseurs.

Le détail des secteurs, des seuils et des cas particuliers (filiales, groupes internationaux, prestataires cloud) fait l’objet d’un article dédié : comment savoir si vous relevez du statut d’entité essentielle ou entité importante.

La directive NIS 2 est entrée en vigueur le 28 juin 2023, avec une échéance de transposition fixée au 17 octobre 2024. La France n’a pas tenu cette échéance : la Commission européenne a adressé des lettres de mise en demeure à 23 États membres en novembre 2024, puis des avis motivés à 19 d’entre eux en mai 2025.

La transposition française passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit projet de loi Résilience, qui transpose simultanément trois textes européens : NIS 2, la directive REC sur la résilience des entités critiques et le volet directive de DORA pour le secteur financier.

Son parcours à ce jour :

1. 15 octobre 2024 — présentation en Conseil des ministres et dépôt au Sénat, avec engagement de la procédure accélérée.
2. 12 mars 2025 — adoption par le Sénat en première lecture.
3. 10 septembre 2025 — adoption à l’unanimité en commission spéciale à l’Assemblée nationale.
4. Séance publique à l’Assemblée nationale — non encore intervenue.

La directive NIS 2 est entrée en vigueur le 28 juin 2023, avec une échéance de transposition fixée au 17 octobre 2024. La France n’a pas tenu cette échéance : la Commission européenne a adressé des lettres de mise en demeure à 23 États membres en novembre 2024, puis des avis motivés à 19 d’entre eux en mai 2025.

La transposition française passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit projet de loi Résilience, qui transpose simultanément trois textes européens : NIS 2, la directive REC sur la résilience des entités critiques et le volet directive de DORA pour le secteur financier.

Son parcours à ce jour :

1. 15 octobre 2024 — présentation en Conseil des ministres et dépôt au Sénat, avec engagement de la procédure accélérée.
2. 12 mars 2025 — adoption par le Sénat en première lecture.
3. 10 septembre 2025 — adoption à l’unanimité en commission spéciale à l’Assemblée nationale.
4. Séance publique à l’Assemblée nationale — non encore intervenue.

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) pilote la mise en œuvre française. Elle a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui décline la directive NIS 2 en 20 objectifs de sécurité assortis de moyens acceptables de conformité. L’atteinte des objectifs sera obligatoire ; les moyens, eux, restent au choix de l’organisation, qui peut aussi démontrer autrement qu’elle atteint l’objectif. Le ReCyF est diffusé en version de travail : l’ANSSI ne publiera pas de version définitive avant la finalisation de la transposition.

L’ANSSI met par ailleurs à disposition le portail monespaceNIS2, qui permet de vérifier son éligibilité, de déclarer son statut et d’accéder aux ressources d’accompagnement.

La directive NIS 2 structure ses exigences autour de cinq blocs. Chacun fait l’objet d’un traitement approfondi ailleurs sur ce blog ; voici ce qu’ils recouvrent.

La directive NIS 2 impose aux organes de direction d’approuver les mesures de gestion des risques et d’en superviser la mise en œuvre. Il ne s’agit pas d’une validation formelle : les dirigeants suivent des formations régulières et engagent leur responsabilité. Le Référentiel Cyber France prévoit une politique de sécurité des systèmes d’information revue au minimum une fois par an et approuvée par le dirigeant exécutif.

La directive NIS 2 attend une démarche d’anticipation, fondée sur la connaissance de son propre système d’information. Cela suppose une cartographie des actifs, une analyse des menaces et une vision unifiée des environnements informatiques et industriels. Le Référentiel Cyber France distingue une approche par la conformité, applicable à toutes les entités, et une approche par les risques réservée aux entités essentielles.

La directive NIS 2 impose trois échéances successives en cas d’incident à impact significatif : une alerte sous 24 heures, une notification détaillée sous 72 heures, un rapport final sous un mois. En France, l’ANSSI centralise ces notifications. Le vrai enjeu se situe en amont de l’alerte : détecter et qualifier l’incident assez tôt pour tenir le délai. Voir notre article sur la notification d’incident sous 24 heures.

La directive NIS 2 exige que l’organisation puisse poursuivre ses opérations malgré une cyberattaque majeure. Le Référentiel Cyber France en tire trois exigences concrètes : définir des procédures de sauvegarde et de restauration, les tester au minimum une fois par an, et protéger les sauvegardes d’un incident qui les rendrait inexploitables. Voir notre article sur le plan de reprise d’activité conforme à NIS 2.

La directive NIS 2 demande d’évaluer le niveau de sécurité de ses prestataires, de contractualiser des exigences cyber et de vérifier périodiquement leur respect. Un point est souvent mal compris : lorsqu’une organisation externalise tout ou partie de son système d’information, celui-ci reste sous sa responsabilité. Le recours à un prestataire ne transfère pas la conformité.

L’absence de loi promulguée n’est pas une raison d’attendre, pour deux motifs. D’abord parce que les objectifs de sécurité, eux, ne bougeront plus : ils visent à protéger contre la cybercriminalité de masse, indépendamment du texte final. Ensuite parce que les donneurs d’ordre régulés répercutent déjà leurs exigences sur leurs fournisseurs, souvent avant même la publication des décrets.

Quatre étapes structurent la démarche :

1. Déterminer son statut — secteur d’activité, code NAF et seuils de taille déterminent si l’organisation relève du statut d’entité essentielle, d’entité importante, ou reste hors périmètre. Le portail monespaceNIS2 de l’ANSSI constitue le point d’entrée.
2. Mesurer l’écart — comparer les mesures en place objectif par objectif avec celles attendues, sans chercher à tout traiter simultanément.
3. Construire un plan d’action daté — chaque écart identifié reçoit une échéance et un responsable. C’est cette traçabilité, plus que le niveau de maturité instantané, qui sera examinée lors d’un contrôle.
4. Organiser la preuve — la conformité se démontre : comptes rendus de tests de restauration, preuves d’approbation par la direction, cartographies à jour, justification des exclusions de périmètre.

PARTITIO, opérateur de cloud souverain et infogéreur certifié ISO 27001 et HDS, accompagne les organisations sur les volets techniques de cette démarche : infogérance et maintien en condition de sécurité, plan de reprise d’activité, sauvegarde protégée, détection et réponse aux incidents. PARTITIO infogère également des infrastructures OVHcloud qualifiées SecNumCloud pour les périmètres qui l’exigent. Le point de départ reste un diagnostic de positionnement, qui situe l’organisation avant tout chantier technique.

Les sanctions financières prévues par la directive NIS 2 atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour une entité essentielle, le montant le plus élevé étant retenu. Le barème est inférieur pour les entités importantes. Au-delà de l’amende, la directive NIS 2 prévoit, pour les seules entités essentielles, la suspension temporaire de certaines autorisations d’exploitation et l’interdiction temporaire d’exercer pour les dirigeants dont la responsabilité est établie.

Le contrôle diffère selon la catégorie : les entités essentielles relèvent d’une supervision proactive, exercée même en l’absence d’incident, tandis que les entités importantes sont contrôlées a posteriori, sur incident ou sur indice de non-conformité. Le détail du barème et des pouvoirs de contrôle fait l’objet d’un article dédié aux sanctions prévues par NIS 2.