Directive NIS 2 : ce que les entreprises doivent anticiper

NIS 2 : préparer le terrain sans attendre le dernier décret

La directive européenne NIS 2 (2022/2555) élargit considérablement le périmètre des obligations de cybersécurité en Europe. Là où la première directive NIS visait surtout certains opérateurs critiques (environ 500 entités en France), NIS 2 fait bondir ce nombre à 10 000, voire 15 000 à 18 000 entreprises selon les sources, réparties entre entités essentielles et entités importantes, un changement d’échelle qui touche désormais une large partie du tissu économique français.

Où en est la transposition en France

Le calendrier législatif français a pris du retard par rapport à la plupart des autres États membres. Le texte de transposition, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit loi Résilience, transpose la directive en même temps que les directives REC et DORA. Il a été adopté par le Sénat le 12 mars 2025, en procédure accélérée. À l’Assemblée nationale, la commission spéciale a adopté son texte le 10 septembre 2025, mais l’examen en séance publique a été repoussé à plusieurs reprises : inscrit aux 7 et 9 octobre 2026, il a encore été retiré de l’ordre du jour le 6 octobre par la conférence des présidents, sans nouvelle date. Début octobre 2026, la loi n’est donc ni adoptée définitivement ni promulguée. Viendront ensuite, si les deux assemblées ne s’accordent pas sur un même texte, une commission mixte paritaire, puis les décrets et arrêtés d’application : la directive n’entrera en vigueur en France qu’une fois l’ensemble de ces textes publiés.

Ce retard a désormais une suite contentieuse : le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne d’un recours contre la France, ainsi que contre l’Espagne, l’Irlande et les Pays-Bas, pour défaut de transposition complète, en demandant une somme forfaitaire et des astreintes journalières jusqu’à la transposition.

Ce retard ne doit pas être lu comme un signal pour attendre : l’ANSSI a présenté le 17 mars 2026 la version de travail 2.5 du ReCyF (Référentiel Cyber France), complétée le 7 septembre 2026 par des fiches pratiques, qui détaille les mesures concrètes recommandées pour atteindre les objectifs de sécurité de NIS 2. Ce référentiel reste un document de travail, non contraignant et susceptible d’évoluer avec les débats parlementaires : l’ANSSI n’en publiera de version définitive qu’après la transposition. Il donne pourtant déjà une feuille de route claire à qui veut anticiper plutôt que subir.

Un périmètre considérablement élargi

• Les entités dites essentielles et importantes, selon leur secteur, leur taille et leur rôle dans la chaîne de valeur.
• Des secteurs comme l’énergie, les transports, la santé, l’eau, les infrastructures numériques, certains services numériques, l’administration, l’industrie critique ou la gestion des déchets.
• Les sous-traitants et prestataires, même lorsqu’ils ne sont pas directement régulés, car les donneurs d’ordre concernés renforceront leurs exigences contractuelles.

Le réflexe à adopter : ne pas attendre de savoir si l’entreprise est « officiellement » dans le périmètre pour traiter les bases. Les exigences NIS 2 recoupent largement les bonnes pratiques de cybersécurité attendues par les assureurs, les clients grands comptes et les partenaires. Avec un périmètre qui passe de 500 à potentiellement 18 000 entreprises, la probabilité d’être concerné, directement ou via un donneur d’ordre, a été multipliée par un facteur considérable.

Entités essentielles ou importantes : deux régimes distincts

NIS 2 ne place pas toutes les organisations concernées sur le même plan. Elle distingue deux catégories, les entités essentielles et les entités importantes, selon le secteur d’activité et la taille. Cette distinction n’est pas qu’une étiquette : elle détermine le régime de contrôle et le niveau des sanctions. Les entités essentielles, jugées les plus critiques, font l’objet d’une supervision plus stricte, avec la possibilité de contrôles a priori, et s’exposent aux sanctions les plus lourdes, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial.

Les entités importantes relèvent d’un régime allégé, avec des contrôles plutôt déclenchés a posteriori, après un incident ou un signalement, et un plafond de sanction inférieur, jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires. Pour une PME, la première étape consiste donc à déterminer non seulement si elle est concernée, mais dans quelle catégorie elle tombe, car les attentes et les risques financiers diffèrent sensiblement de l’une à l’autre.

En pratique, l’ANSSI met à disposition un outil officiel d’auto-évaluation, MonEspaceNIS2, qui aide chaque organisation à savoir si elle entre dans le périmètre et sous quel régime. C’est un bon point de départ pour lever l’incertitude sans attendre les décrets et calibrer l’effort en fonction de ce qui sera réellement exigé.

Les obligations à anticiper

• Analyse des risques : identifier les actifs critiques, les dépendances, les menaces et les vulnérabilités, en commençant par les systèmes dont l’indisponibilité aurait l’impact le plus direct sur l’activité.
• Mesures de sécurité : gestion des correctifs, contrôle d’accès, sauvegardes, chiffrement, journalisation, segmentation, MFA et durcissement des environnements sensibles.
• Gestion des incidents : capacité à détecter, qualifier, contenir et notifier un incident significatif dans les délais prévus.
• Continuité d’activité : PRA, PCA, tests de restauration, procédures de crise et rôles clairement définis.
• Responsabilité de la direction : la cybersécurité devient un sujet de gouvernance, pas seulement une affaire technique, avec des sanctions financières substantielles à la clé (jusqu’à 10 M€ pour les entités essentielles).

Un durcissement net des délais de notification

Un changement concret mérite d’être anticipé dès maintenant, indépendamment de la date de promulgation définitive : NIS 2 réduit le délai de première notification d’incident à l’ANSSI à 24 heures après détection, contre 72 heures sous l’ancienne directive NIS 1. Ce délai est suivi d’un rapport intermédiaire sous 72 heures, puis d’un rapport final détaillé dans le mois. Respecter un délai aussi court suppose une capacité de détection et d’escalade interne déjà rodée, pas improvisée le jour de l’incident, ce qui justifie de commencer dès maintenant la mise en place d’une journalisation minimale et d’une procédure d’incident documentée.

Autre évolution notable : l’article 32 de la directive prévoit la possible mise en cause personnelle des dirigeants en cas de manquement grave, avec des mesures pouvant aller jusqu’à une suspension temporaire de fonctions. La cybersécurité devient ainsi un sujet de responsabilité individuelle pour la direction, pas seulement une ligne budgétaire IT.

Pourquoi commencer maintenant

La mise en conformité NIS 2 ne se résume pas à produire un document. Elle suppose de faire progresser l’organisation : inventaire, politiques internes, preuves, procédures, formation et suivi. Plus l’entreprise attend, plus l’effort risque de se concentrer dans l’urgence, avec des décisions coûteuses et moins bien acceptées, d’autant que le calendrier législatif français, déjà en retard, laisse peu de visibilité sur la date exacte d’entrée en vigueur des obligations contraignantes.

Beaucoup de ces mesures recoupent d’ailleurs les bonnes pratiques de notre checklist d’audit de sécurité PME : s’y mettre, c’est progresser à la fois sur la conformité, l’assurance cyber et la résilience réelle. Pour passer à l’action, consultez aussi notre plan NIS 2 et ReCyF en 90 jours.

Anticiper plutôt que subir le calendrier

L’incertitude sur la date exacte d’entrée en vigueur ne doit pas servir d’excuse à l’attentisme. Les mesures attendues par NIS 2, inventaire des actifs, gestion des accès, sauvegardes testées, détection et procédure d’incident, sont exactement celles qu’exigent déjà les assureurs cyber et les grands donneurs d’ordre. S’y mettre maintenant, c’est progresser d’un même mouvement sur la conformité réglementaire, l’assurabilité et la résilience réelle, sans attendre l’urgence du dernier décret. Mieux : pour une PME sous-traitante, pouvoir démontrer un socle de sécurité solide devient un argument commercial face à des clients eux-mêmes soumis à NIS 2, qui répercutent leurs exigences sur toute leur chaîne de fournisseurs.

Beaucoup de ces mesures recoupent les bonnes pratiques de notre checklist d’audit de sécurité PME. Nous accompagnons cette préparation avec un audit de votre Active Directory et de la sensibilisation des équipes ; pour passer à l’action, voir aussi notre plan NIS 2 et ReCyF en 90 jours. Contactez-nous pour faire le point sur votre exposition.

Sources : ANSSI, Directive NIS 2 · Assemblée nationale, dossier législatif du projet de loi Résilience · Leto, retrait de l’ordre du jour du 6 octobre 2026 · Commission européenne, recours contre quatre États membres (8 juillet 2026) · ANSSI MesServicesCyber, ReCyF et fiches pratiques · EUR-Lex, Directive (UE) 2022/2555