Pourquoi NIS2 compte maintenant
NIS2 (directive (UE) 2022/2555) a remplacé la directive NIS originale en octobre 2024 et a considérablement élargi les obligations de cybersécurité des organisations de l'UE. Deux ans plus tard, les autorités nationales de surveillance sont passées de la pédagogie à l'application active. Des amendes ont déjà été prononcées aux Pays-Bas, en Belgique et en Italie.
Si vous êtes RSSI dans l'un des dix-huit secteurs couverts par NIS2 (énergie, transport, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique, espace, services postaux, gestion des déchets, fabrication de produits chimiques, alimentation, fabrication de dispositifs médicaux, fabrication de composants électroniques, fabrication de véhicules, ou fournisseurs numériques), votre conseil d'administration va poser trois questions en 2026 :
- Sommes-nous concernés par le périmètre ?
- Que nous impose réellement NIS2 ?
- À quel niveau de risque sommes-nous exposés en cas de manquement ?
Cet article vous apporte des réponses défendables aux trois questions.
Qui est concerné
NIS2 distingue les entités essentielles (annexe I) et les entités importantes (annexe II), avec des régimes de surveillance plus stricts pour les entités essentielles. Les deux catégories s'appliquent généralement aux organisations comptant au moins 50 employés et 10 M€ de chiffre d'affaires annuel, bien que certains secteurs (infrastructures numériques, prestataires de services de confiance qualifiés, registres de domaines de premier niveau) n'aient aucun seuil de taille.
Trois éléments surprennent souvent les RSSI qui examinent le périmètre pour la première fois :
- Les filiales comptent. Une filiale européenne de taille moyenne d'un géant technologique américain peut être concernée même si la société mère ne l'est pas.
- La classification sectorielle est plus large que sous NIS1. Les fabricants de dispositifs médicaux et de véhicules sont désormais explicitement couverts. Il en va de même pour les services postaux et de messagerie.
- Les États membres peuvent étendre le périmètre. Plusieurs pays, dont l'Allemagne et la France, ont adopté une transposition nationale qui couvre des entités supplémentaires non listées dans la directive européenne.
Si vous ne pouvez pas répondre de manière définitive à la question « sommes-nous concernés ? » d'ici la fin du T2 2026, c'est en soi un constat problématique. Documentez l'analyse de périmètre, obtenez la validation du service juridique, et révisez-la chaque année.
Les dix obligations de sécurité (article 21)
NIS2 prescrit un socle de mesures de gestion des risques. Elles sont volontairement axées sur les résultats plutôt que prescriptives, ce qui est un avantage pour les RSSI qui gèrent déjà des programmes ISO 27001 ou NIST CSF, car la plupart des contrôles se cartographient directement. Les dix domaines :
- Analyse des risques et politiques de sécurité de l'information : documentées, revues annuellement, approuvées par le conseil d'administration.
- Gestion des incidents : incluant les procédures de détection, de réponse et de rétablissement.
- Continuité d'activité : gestion des sauvegardes, reprise après sinistre et gestion de crise.
- Sécurité de la chaîne d'approvisionnement : sécurité des relations entre une entité et ses fournisseurs directs.
- Sécurité des réseaux et des systèmes d'information : y compris les procédures d'acquisition, de développement et de maintenance des systèmes.
- Politiques et procédures d'évaluation de l'efficacité des mesures de gestion des risques de cybersécurité : incluant l'évaluation de l'efficacité, tests et audits.
- Pratiques de base en matière d'hygiène informatique et formation à la cybersécurité : pour le personnel.
- Politiques de cryptographie : chiffrement et gestion des clés.
- Sécurité des ressources humaines, contrôle d'accès et gestion des actifs.
- Authentification multifactorielle, communications vocales, vidéo et textuelles sécurisées, et systèmes de communication d'urgence.
Si vous exploitez un SMSI ISO 27001:2022 actif, vous couvrez déjà 90 % de l'article 21 de NIS2 grâce à l'annexe A. Les correspondances publiées par l'ENISA le confirment. NIS2 exige spécifiquement que vous documentiez la cartographie, et non que vous réimplémentiez les contrôles.
Délais de notification des incidents
C'est là que NIS2 exerce une réelle pression sur le SOC et la fonction de réponse aux incidents. La directive impose trois notifications successives au CSIRT national ou à l'autorité compétente :
- Alerte précoce : sous 24 heures. Notifier qu'un incident *pourrait* être en cours. Indiquer s'il semble causé par des actions malveillantes et s'il pourrait avoir un impact transfrontalier.
- Notification d'incident : sous 72 heures. Fournir une évaluation initiale de la gravité, de l'impact et des indicateurs de compromission.
- Rapport final : sous un mois. Description détaillée, cause racine, mesures d'atténuation appliquées/en cours, et impact transfrontalier.
Deux implications pratiques :
- Votre plan de réponse aux incidents a besoin de délais NIS2 explicites. La plupart des plans existants sont calibrés sur la notification de violation de 72 heures du RGPD. NIS2 ajoute un délai de 24 heures pour un incident « pouvant être en cours ». Nettement plus serré.
- La notion d'incident significatif est définie largement. La directive considère un incident comme significatif s'il a causé ou est susceptible de causer une perturbation opérationnelle grave ou une perte financière, ou s'il a affecté (ou est susceptible d'affecter) d'autres personnes physiques ou morales par des dommages matériels ou immatériels considérables. En cas de doute, privilégiez la notification.
Sécurité de la chaîne d'approvisionnement : la partie que tout le monde sous-estime
L'article 21(2)(d) impose aux entités de traiter « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs directs ou prestataires de services ». En clair : NIS2 veut voir des preuves de gestion du risque fournisseur.
Cela signifie :
- Un inventaire documenté des fournisseurs avec une hiérarchisation des risques.
- Des évaluations de sécurité avant l'intégration des fournisseurs critiques.
- Des clauses contractuelles obligeant les fournisseurs à maintenir la sécurité et à notifier les incidents.
- Un suivi continu de la posture de risque des fournisseurs, en particulier pour les prestataires de services TIC critiques.
Cette obligation recoupe largement DORA (pour les entités financières) et ce que font déjà la plupart des programmes de sécurité matures. La différence est que NIS2 la rend légale, et les autorités de surveillance peuvent en exiger la preuve.
Gouvernance et responsabilités de l'organe de direction
L'article 20 impose des obligations directement à l'organe de direction des entités concernées. Les dirigeants (membres du conseil, cadres exécutifs) doivent :
- Approuver les mesures de gestion des risques de cybersécurité.
- Superviser leur mise en œuvre.
- Recevoir une formation régulière en cybersécurité.
C'est le changement culturel le plus important introduit par NIS2 par rapport à NIS1. Si votre conseil d'administration ne reçoit pas de briefings trimestriels sur la cybersécurité avec des registres de formation documentés, un constat de non-conformité est à prévoir.
Sanctions et responsabilité personnelle
Amendes administratives maximales prévues par NIS2 :
- Entités essentielles : jusqu'à 10 M€ ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu.
- Entités importantes : jusqu'à 7 M€ ou 1,4 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu.
Plusieurs États membres ont en outre introduit une responsabilité personnelle pour les cadres dirigeants en cas de non-conformité répétée. Les Pays-Bas et la Belgique peuvent suspendre des cadres exécutifs de leur rôle de supervision de la cybersécurité. Il s'agit d'un changement structurel que les RSSI doivent présenter directement à leur conseil d'administration.
Une checklist pragmatique de préparation à NIS2
Si vous voulez aborder une inspection de surveillance avec sérénité, le portefeuille minimal comprend :
- Une note de cadrage confirmant la classification de l'entité et les obligations applicables.
- Une politique de sécurité de l'information approuvée par l'organe de direction au cours des 12 derniers mois.
- Un registre des risques avec des décisions de traitement documentées.
- Des procédures de réponse aux incidents intégrant explicitement les délais de notification NIS2.
- Un plan de continuité d'activité avec au moins un exercice de reprise testé par an.
- Un inventaire des fournisseurs avec hiérarchisation des risques et évaluations de sécurité pour les fournisseurs critiques.
- Des registres de formation pour le personnel et l'organe de direction couvrant la sensibilisation à la cybersécurité.
- Un plan de continuité des opérations pour la fonction cybersécurité elle-même.
Une plateforme GRC dédiée peut produire ce portefeuille comme un sous-produit naturel du fonctionnement courant, plutôt que comme un projet de conformité distinct. C'est toute la différence entre subir NIS2 comme un exercice trimestriel d'urgence et l'intégrer en continu dans le fonctionnement de la fonction.
Réflexion finale
NIS2 est l'une des rares réglementations où être une organisation de sécurité solide vous rend automatiquement conforme. La plupart des obligations décrivent ce que font déjà les équipes de sécurité matures. L'attente de la supervision est que vous puissiez le prouver sur demande : note de cadrage, politiques, registre des risques, journaux d'incidents, preuves fournisseurs, registres de formation, comptes rendus du conseil. Si vous pouvez produire ce dossier en 48 heures lorsqu'une autorité le demande, vous êtes en bonne posture. Sinon, l'écart relève de la discipline opérationnelle plutôt que d'une capacité manquante, et cela se corrige en un trimestre.