Qu'est-ce que la directive NIS2 ?
NIS2 (Network and Information Security 2) est une directive européenne adoptée en 2022 (UE 2022/2555) qui succède à la directive NIS de 2016. Son objectif : relever le niveau global de cybersécurité dans l'Union européenne face à une menace en forte croissance.
Par rapport à NIS1, NIS2 élargit considérablement le champ des organisations concernées, harmonise les exigences entre États membres, renforce les obligations de gestion des risques et de notification d'incidents, et introduit la responsabilité directe des organes de direction. Chaque État transpose la directive dans son droit national ; en France, cette transposition est en cours.
Qui est concerné par NIS2 ?
NIS2 couvre 18 secteurs, répartis en secteurs « hautement critiques » et « critiques » : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable et eaux usées, infrastructures numériques, administration publique, espace, services postaux, gestion des déchets, fabrication (dispositifs médicaux, produits informatiques et électroniques, etc.), production et distribution de produits chimiques et alimentaires, fournisseurs numériques, recherche.
Le périmètre s'applique généralement aux moyennes et grandes entreprises de ces secteurs (à partir de 50 salariés ou 10 M€ de chiffre d'affaires), mais certaines entités sont concernées quelle que soit leur taille en raison de leur criticité.
Entités essentielles vs entités importantes
NIS2 distingue deux catégories. Les « entités essentielles » (secteurs hautement critiques, grandes entreprises) sont soumises à une supervision proactive. Les « entités importantes » font l'objet d'une supervision réactive (en cas d'incident ou de signalement). Les deux ont des obligations similaires ; le régime de contrôle et de sanction diffère.
Quelles sont les obligations NIS2 ?
NIS2 impose aux entités concernées des mesures de gestion des risques de cybersécurité « appropriées et proportionnées » à leur exposition. Plutôt qu'une simple liste de contrôles techniques, la directive attend une approche fondée sur les risques, pilotée au plus haut niveau et couvrant l'ensemble du cycle de vie de la sécurité. Elle énumère un socle minimal commun à toutes les entités : analyse des risques, sécurité des systèmes, gestion et notification des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, contrôle d'accès, chiffrement et cyber-hygiène. La responsabilité du suivi incombe explicitement aux organes de direction, qui doivent valider les mesures et peuvent être tenus responsables en cas de manquement. Ces obligations ne sont pas optionnelles : leur absence expose l'organisation à des sanctions. Concrètement, les principales attentes sont les suivantes :
- Mettre en place une politique d'analyse et de gestion des risques
- Adopter des mesures techniques et organisationnelles (contrôle d'accès, chiffrement, MFA, sauvegardes, continuité d'activité)
- Gérer les incidents : détection, traitement et notification
- Sécuriser la chaîne d'approvisionnement et les relations avec les fournisseurs
- Évaluer l'efficacité des mesures et pratiquer la cyber-hygiène et la formation
- Impliquer et responsabiliser les organes de direction (qui peuvent être tenus responsables)
Notification des incidents : les délais
L'une des obligations phares de NIS2 concerne la notification rapide des incidents significatifs à l'autorité compétente — en France, l'ANSSI. Un incident est considéré comme significatif s'il provoque une perturbation opérationnelle grave, des pertes financières, ou s'il est susceptible d'affecter d'autres organisations. La directive impose un processus de notification en plusieurs temps, conçu pour que l'autorité dispose très tôt d'une vision de la menace, quitte à compléter l'analyse ensuite. Ces délais sont courts et se déclenchent dès la prise de connaissance de l'incident : ils supposent donc d'avoir préparé en amont sa chaîne de détection, ses critères de qualification et ses modèles de notification. Une organisation qui découvre ses obligations le jour de l'incident ne pourra pas les tenir. Les trois jalons à respecter sont les suivants :
- Alerte précoce dans les 24 heures suivant la prise de connaissance de l'incident
- Notification complète dans les 72 heures, avec évaluation de l'incident
- Rapport final dans un délai d'un mois
Sanctions et responsabilité des dirigeants
NIS2 prévoit des sanctions financières dissuasives, dont les plafonds sont harmonisés au niveau européen. Pour les entités essentielles, l'amende peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour les entités importantes, le plafond est fixé à 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial. Au-delà de l'amende, la directive introduit la responsabilité des organes de direction quant au suivi des mesures de cybersécurité : ils doivent approuver les mesures, en superviser la mise en œuvre et peuvent, en cas de manquement grave, se voir interdire temporairement d'exercer des fonctions dirigeantes. C'est un changement majeur qui place définitivement la cybersécurité au niveau du COMEX et du conseil d'administration.
Comment se mettre en conformité NIS2 ?
La bonne nouvelle : les exigences NIS2 recoupent très largement celles de l'ISO 27001. Une organisation déjà engagée dans une démarche SMSI structurée couvre l'essentiel des attentes et n'a, le plus souvent, qu'à formaliser quelques éléments spécifiques — notification réglementaire, sécurisation de la chaîne d'approvisionnement, gouvernance au niveau dirigeant. Pour les autres, la mise en conformité se construit par étapes, en partant de l'éligibilité pour aboutir à un dispositif piloté dans la durée. L'erreur à éviter est d'attendre la transposition définitive en droit national : la mise en conformité prend plusieurs mois et les délais courts de notification supposent des procédures déjà rodées. Mieux vaut donc anticiper sur la base du texte européen, déjà stable. La démarche type se déroule ainsi :
- Déterminer si vous êtes concerné, et dans quelle catégorie (essentielle / importante)
- Réaliser un diagnostic d'écart par rapport aux exigences NIS2
- Conduire une analyse de risques et un plan de traitement priorisé
- Mettre en place la gouvernance, les mesures techniques et les procédures de notification
- Sécuriser la chaîne d'approvisionnement (clauses contractuelles, évaluation fournisseurs)
- Former et impliquer la direction dans le pilotage
Mon accompagnement NIS2
NagaShield vous aide à déterminer votre éligibilité, à mesurer l'écart et à construire une feuille de route réaliste vers la conformité — en capitalisant sur les synergies avec l'ISO 27001 pour éviter les efforts redondants. En tant que RSSI externalisé, je peux aussi piloter la démarche dans la durée et porter la relation avec les autorités.