Conformité · NIS2
NIS2 : quelles entreprises sont concernées et quelles obligations ?
Par Steven Carrier Mis à jour le
À jour au . En France, le projet de loi qui transpose NIS2 est en discussion à l’Assemblée nationale et n’est pas encore promulgué à cette date.
La directive NIS2 (UE) 2022/2555 s’applique aux entreprises moyennes et grandes de 18 secteurs, et à certaines entités quelle que soit leur taille. Elle les oblige à gérer leurs risques cyber sous la responsabilité de leur direction, à notifier leurs incidents importants en 24 heures, puis 72 heures, et à sécuriser leur chaîne d’approvisionnement. BEAROPS vous aide à préparer, documenter et démontrer votre conformité, sans jamais s’y substituer.
- Aide à la conformité, pas une garantie
- Preuves mappées aux obligations
- Éditeur français
Quelles entreprises sont concernées par NIS2 ?
NIS2 s’applique aux entités publiques et privées de 18 secteurs qui sont au moins des entreprises moyennes : 50 salariés ou plus, ou un chiffre d’affaires annuel et un total de bilan supérieurs à 10 M€ (article 2 et recommandation 2003/361/CE). Le champ est bien plus large que la première directive NIS : de nombreuses ETI et PME sont désormais concernées, souvent sans le savoir.
Certaines entités sont concernées quelle que soit leur taille : fournisseurs de réseaux ou de services de communications électroniques publics, prestataires de services de confiance, registres de domaines de premier niveau et fournisseurs de services DNS, services d’enregistrement de noms de domaine, entités critiques, ou encore entité seule à fournir un service essentiel dans un État membre.
| Critère | Ce que prévoit la directive |
|---|---|
| Secteurs hautement critiques (annexe I) | Énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC (interentreprises), administration publique, espace |
| Autres secteurs critiques (annexe II) | Services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication (dont dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques, recherche |
| Seuil de taille | Entreprises moyennes et grandes : 50 salariés ou plus, ou chiffre d’affaires et total de bilan annuels supérieurs à 10 M€ |
| Effet chaîne d’approvisionnement | Une entité concernée répercute des exigences sur ses fournisseurs, même quand ceux-ci ne sont pas eux-mêmes dans le champ |
En France, une entité qui estime entrer dans le périmètre doit s’enregistrer auprès de l’ANSSI, qui a ouvert un pré-enregistrement sur MesServicesCyber. Selon l’ANSSI, plusieurs milliers d’entités seront concernées, pour l’essentiel des moyennes et grandes entreprises, des collectivités territoriales et des administrations.
Entité essentielle ou entité importante : quelle différence ?
Les deux catégories ont les mêmes obligations de sécurité et de notification. Elles diffèrent par le contrôle de l’autorité : a priori et a posteriori pour une entité essentielle, a posteriori seulement, sur la base d’indices, pour une entité importante. Le plafond des amendes est aussi plus élevé pour une entité essentielle.
| Critère | Entité essentielle | Entité importante |
|---|---|---|
| Qui ? | Entités de l’annexe I au-delà des plafonds de la moyenne entreprise (250 salariés ou plus, ou chiffre d’affaires supérieur à 50 M€ et total de bilan supérieur à 43 M€), et certaines entités désignées quelle que soit leur taille (article 3) | Toute autre entité des annexes I ou II qui entre dans le champ de la directive |
| Obligations | Mesures de l’article 21, notification de l’article 23 | Les mêmes |
| Contrôle | A priori et a posteriori : inspections, contrôles aléatoires, audits réguliers et ciblés (article 32) | A posteriori, sur la base d’éléments de preuve ou d’indices (article 33) |
| Amende maximale | Au moins 10 M€ ou 2 % du chiffre d’affaires annuel mondial | Au moins 7 M€ ou 1,4 % du chiffre d’affaires annuel mondial |
Quelles obligations NIS2 impose-t-elle ?
L’article 21 impose des mesures techniques, opérationnelles et organisationnelles proportionnées au risque, selon une approche « tous risques ». Il fixe dix domaines minimaux. Toute non-conformité constatée doit être corrigée sans retard injustifié.
Deux exigences structurent le quotidien : une gestion continue du risque, fondée sur l’analyse de la surface d’exposition et le traitement priorisé des vulnérabilités , et la capacité à prouver que ces mesures sont appliquées.
- Politiques d’analyse des risques et de sécurité des systèmes d’information.
- Gestion des incidents.
- Continuité des activités : sauvegardes, reprise après sinistre, gestion de crise.
- Sécurité de la chaîne d’approvisionnement et des relations avec les fournisseurs directs.
- Sécurité de l’acquisition, du développement et de la maintenance des systèmes, dont le traitement et la divulgation des vulnérabilités.
- Politiques et procédures pour évaluer l’efficacité des mesures.
- Cyberhygiène et formation à la cybersécurité.
- Cryptographie et, le cas échéant, chiffrement.
- Sécurité des ressources humaines, contrôle d’accès et gestion des actifs.
- Authentification multifacteur et communications sécurisées, y compris d’urgence.
En France, l’ANSSI a publié en version de travail le Référentiel Cyber France (ReCyF), qui détaille les mesures qu’elle recommande pour atteindre ces objectifs et reste susceptible d’ajustements. Pour les entités essentielles, cette version prévoit un audit de sécurité comprenant au moins une activité parmi le test d’intrusion , l’audit de configuration, l’audit d’architecture et l’audit organisationnel et physique.
Que doit faire la direction ?
NIS2 place la gouvernance du risque cyber au niveau de la direction (article 20). Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et peuvent être tenus responsables de leur violation. Leurs membres sont tenus de suivre une formation à la cybersécurité. Pour une entité essentielle, l’autorité peut aller jusqu’à demander l’interdiction temporaire, pour un dirigeant, d’exercer ses fonctions (article 32). La cybersécurité devient un sujet de gouvernance, plus seulement un sujet technique.
Quels délais pour notifier un incident ?
Un incident est « important » s’il cause, ou peut causer, une perturbation opérationnelle grave ou des pertes financières pour l’entité, ou des dommages considérables à d’autres personnes. Il se notifie au CSIRT ou à l’autorité compétente en plusieurs temps, et les destinataires des services touchés doivent être informés sans retard injustifié lorsque c’est nécessaire.
| Étape | Délai | Contenu attendu |
|---|---|---|
| Alerte précoce | 24 heures après en avoir eu connaissance | Suspicion d’acte malveillant, impact transfrontière possible |
| Notification d’incident | 72 heures après en avoir eu connaissance | Évaluation initiale : gravité, impact, indicateurs de compromission |
| Rapport intermédiaire | À la demande du CSIRT ou de l’autorité | Mises à jour de la situation |
| Rapport final | Un mois au plus après la notification d’incident | Description détaillée, cause probable, mesures d’atténuation, impact transfrontière |
Quelles sanctions en cas de manquement ?
Un manquement aux articles 21 ou 23 expose une entité essentielle à une amende d’un montant maximal d’au moins 10 M€ ou 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. Pour une entité importante, ce plafond est d’au moins 7 M€ ou 1,4 % (article 34). La directive fixe des minimums : chaque État précise les montants dans sa loi de transposition.
Avant l’amende, l’autorité dispose d’autres mesures : avertissements, injonctions, audits ciblés aux frais de l’entité, obligation d’informer les clients concernés et, pour une entité essentielle, suspension d’une certification ou interdiction temporaire d’exercer pour un dirigeant. L’enjeu n’est pas seulement d’agir, mais de pouvoir prouver que l’on agit.
Que change NIS2 pour vos fournisseurs ?
NIS2 fait de la sécurité de la chaîne d’approvisionnement une obligation. Pour chaque fournisseur et prestataire direct, il faut tenir compte de ses vulnérabilités propres, de la qualité de ses produits et de ses pratiques de cybersécurité, y compris ses procédures de développement sécurisé. C’est un changement majeur pour les directions achats et sécurité, qui doivent désormais partager une même lecture du risque fournisseur.
Structurer un programme TPRM (gestion du risque tiers) avec Bearlink, ou partir de notre checklist NIS2 de la chaîne d’approvisionnement.
Où en est la transposition de NIS2 en France ?
Adoptée le 14 décembre 2022, la directive devait être transposée par les États membres au plus tard le 17 octobre 2024, pour une application à partir du 18 octobre 2024, date à laquelle la première directive NIS a été abrogée.
En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été déposé au Sénat le 15 octobre 2024 et adopté par le Sénat en première lecture le 12 mars 2025. Au 9 novembre 2026, il est en discussion en séance publique à l’Assemblée nationale et n’est pas promulgué. Ses décrets d’application préciseront les modalités nationales.
En attendant, l’ANSSI invite les futures entités essentielles et importantes à engager dès maintenant leur démarche de sécurisation, à se pré-enregistrer et à s’appuyer sur le ReCyF.
Comment BEAROPS vous aide-t-il à vous préparer ?
Chaque exigence appelle une action de votre organisation. BEAROPS outille et documente ces actions ; la conformité reste de votre responsabilité.
| Exigence NIS2 | Action attendue | Comment BEAROPS aide |
|---|---|---|
| Gouvernance du risque (art. 20) | Cartographier et piloter le risque cyber | Vue unifiée de l’exposition et reporting de direction |
| Mesures de sécurité (art. 21) | Traiter les vulnérabilités en continu | Détection, priorisation et suivi des corrections |
| Efficacité des mesures (art. 21) | Tester les défenses en conditions réelles | Tests d’intrusion, exercices Red Team et Red Team automatisée |
| Notification d’incidents (art. 23) | Détecter et documenter les incidents | Traçabilité des constats et des remédiations |
| Chaîne d’approvisionnement (art. 21) | Évaluer le risque fournisseur | Notation cyber fournisseur native (Bearlink) |
| Preuve de conformité (art. 32 et 33) | Démontrer la mise en œuvre | Éléments mappés aux obligations |
Où sont hébergées vos données de preuve ? Voir notre doctrine de souveraineté et d’hébergement .
Par où commencer ? Un plan à 30, 60 et 90 jours
-
30 jours
déterminer si vous êtes concerné et à quel statut, vous pré-enregistrer auprès de l’ANSSI, cartographier votre exposition, identifier les fournisseurs critiques.
-
60 jours
combler les écarts prioritaires, formaliser la gouvernance et la formation de la direction, mettre en place la détection et la notification des incidents.
-
90 jours
structurer la preuve continue, étendre au suivi fournisseurs, préparer le dialogue avec l’autorité.
Quelles exigences NIS2 sont les plus difficiles à mettre en œuvre ?
Interrogées par l’ENISA pour son rapport NIS Investments 2025, les organisations européennes citent trois exigences NIS2 comme les plus difficiles à mettre en œuvre : la gestion des vulnérabilités et des correctifs (50 %), la continuité d’activité et la reprise (49 %) et la sécurité de la chaîne d’approvisionnement (37 %). Ce sont des difficultés déclarées, pas des écarts constatés lors d’un contrôle.
Repère externe, hors données BEAROPS : ENISA, NIS Investments 2025 (décembre 2025), enquête auprès d’organisations des États membres de l’Union européenne.
Sources et références
- ENISA, NIS Investments 2025, rapport principal (décembre 2025)
- Directive (UE) 2022/2555 (NIS2), articles 2, 3, 20, 21, 23, 32 à 34, 41 et annexes I et II, EUR-Lex
- Recommandation 2003/361/CE de la Commission (définition des micro, petites et moyennes entreprises), EUR-Lex
- Directive NIS 2, MesServicesCyber (ANSSI)
- ReCyF : publication du référentiel d’exigences et du comparateur, laboratoire d’innovation de l’ANSSI
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dossier législatif du Sénat
- Même projet de loi, dossier législatif de l’Assemblée nationale
Sources consultées le . Signaler une erreur : contact+site@bearops.fr
Questions fréquentes
Une entreprise de moins de 50 salariés peut-elle être concernée par NIS2 ?
Oui, dans certains cas. Les fournisseurs de communications électroniques publiques, les prestataires de services de confiance, les registres de domaines et fournisseurs DNS, les services d’enregistrement de noms de domaine et les entités désignées comme critiques sont concernés quelle que soit leur taille. Une petite entreprise peut aussi être désignée si elle est seule à fournir un service essentiel.
Un fournisseur hors du champ de NIS2 doit-il s’y préparer ?
Indirectement, oui. Ses clients concernés doivent sécuriser leur chaîne d’approvisionnement et tenir compte des pratiques de cybersécurité de chaque fournisseur direct. Ils lui demanderont donc des preuves, des engagements contractuels et parfois des audits. Être prêt à démontrer son niveau de sécurité devient un argument commercial.
Une certification ISO/IEC 27001 suffit-elle pour NIS2 ?
Pas à elle seule. Elle recoupe de nombreuses mesures de l’article 21, mais NIS2 ajoute des obligations propres : responsabilité et formation de la direction, notification des incidents dans des délais fixés, enregistrement auprès de l’autorité. L’ANSSI propose un outil qui compare le ReCyF aux normes ISO 2700X pour mesurer les écarts.
NIS2 s’applique-t-elle aux banques et assurances soumises à DORA ?
Pour les entités financières, DORA est l’acte sectoriel qui s’applique à la place de NIS2 pour la gestion du risque lié aux technologies de l’information, la notification des incidents, les tests de résilience et le risque lié aux prestataires TIC. Ce règlement européen s’applique directement depuis le 17 janvier 2025. Les entités financières bâtissent donc leur programme sur DORA, tandis que l’échange d’informations avec les autorités NIS2 est maintenu.
Un outil peut-il me rendre conforme à NIS2 ?
Non. Aucun outil ne « rend conforme » : la conformité résulte d’une organisation, de mesures et de preuves. Une plateforme comme Beareye aide à cartographier le risque, à traiter les vulnérabilités et à documenter la mise en œuvre, mais la conformité reste de votre responsabilité.
Faites le point sur votre situation NIS2
Un expert BEAROPS vous aide à déterminer si vous êtes concerné, à mesurer vos écarts et à bâtir un plan de mise en œuvre réaliste.