Directive NIS 2 : ce que les entreprises doivent anticiper

NIS 2 : préparer le terrain sans attendre le dernier décret

La directive européenne NIS 2 (2022/2555) élargit considérablement le périmètre des obligations de cybersécurité en Europe. Là où la première directive NIS visait surtout certains opérateurs critiques (environ 500 entités en France), NIS 2 fait bondir ce nombre à 10 000, voire 15 000 à 18 000 entreprises selon les sources, réparties entre entités essentielles et entités importantes, un changement d’échelle qui touche désormais une large partie du tissu économique français.

Où en est la transposition en France

Le calendrier législatif a pris du retard par rapport aux autres États membres. Le texte de transposition, la loi Résilience, a été adopté en première lecture au Sénat le 12 mars 2025, mais restait non promulgué au 2 juin 2026. L’examen en séance publique était prévu pour juillet 2026, sous réserve de session extraordinaire, avec une promulgation espérée dans le courant de l’été 2026, suivie des décrets d’application.

Ce retard ne doit pas être lu comme un signal pour attendre : l’ANSSI a déjà présenté, le 17 mars 2026, une version de travail du ReCyF (Référentiel Cyber France), qui détaille les mesures concrètes recommandées pour atteindre les objectifs de sécurité de NIS 2. Ce document, non contraignant à ce stade, donne déjà une feuille de route claire à qui veut anticiper plutôt que subir.

Un périmètre considérablement élargi

• Les entités dites essentielles et importantes, selon leur secteur, leur taille et leur rôle dans la chaîne de valeur.
• Des secteurs comme l’énergie, les transports, la santé, l’eau, les infrastructures numériques, certains services numériques, l’administration, l’industrie critique ou la gestion des déchets.
• Les sous-traitants et prestataires, même lorsqu’ils ne sont pas directement régulés, car les donneurs d’ordre concernés renforceront leurs exigences contractuelles.

Le réflexe à adopter : ne pas attendre de savoir si l’entreprise est « officiellement » dans le périmètre pour traiter les bases. Les exigences NIS 2 recoupent largement les bonnes pratiques de cybersécurité attendues par les assureurs, les clients grands comptes et les partenaires. Avec un périmètre qui passe de 500 à potentiellement 18 000 entreprises, la probabilité d’être concerné, directement ou via un donneur d’ordre, a été multipliée par un facteur considérable.

Entités essentielles ou importantes : deux régimes distincts

NIS 2 ne place pas toutes les organisations concernées sur le même plan. Elle distingue deux catégories, les entités essentielles et les entités importantes, selon le secteur d’activité et la taille. Cette distinction n’est pas qu’une étiquette : elle détermine le régime de contrôle et le niveau des sanctions. Les entités essentielles, jugées les plus critiques, font l’objet d’une supervision plus stricte, avec la possibilité de contrôles a priori, et s’exposent aux sanctions les plus lourdes, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial.

Les entités importantes relèvent d’un régime allégé, avec des contrôles plutôt déclenchés a posteriori, après un incident ou un signalement, et un plafond de sanction inférieur, jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires. Pour une PME, la première étape consiste donc à déterminer non seulement si elle est concernée, mais dans quelle catégorie elle tombe, car les attentes et les risques financiers diffèrent sensiblement de l’une à l’autre.

En pratique, l’ANSSI met à disposition un outil officiel d’auto-évaluation, MonEspaceNIS2, qui aide chaque organisation à savoir si elle entre dans le périmètre et sous quel régime. C’est un bon point de départ pour lever l’incertitude sans attendre les décrets et calibrer l’effort en fonction de ce qui sera réellement exigé.

Les obligations à anticiper

• Analyse des risques : identifier les actifs critiques, les dépendances, les menaces et les vulnérabilités, en commençant par les systèmes dont l’indisponibilité aurait l’impact le plus direct sur l’activité.
• Mesures de sécurité : gestion des correctifs, contrôle d’accès, sauvegardes, chiffrement, journalisation, segmentation, MFA et durcissement des environnements sensibles.
• Gestion des incidents : capacité à détecter, qualifier, contenir et notifier un incident significatif dans les délais prévus.
• Continuité d’activité : PRA, PCA, tests de restauration, procédures de crise et rôles clairement définis.
• Responsabilité de la direction : la cybersécurité devient un sujet de gouvernance, pas seulement une affaire technique, avec des sanctions financières substantielles à la clé (jusqu’à 10 M€ pour les entités essentielles).

Un durcissement net des délais de notification

Un changement concret mérite d’être anticipé dès maintenant, indépendamment de la date de promulgation définitive : NIS 2 réduit le délai de première notification d’incident à l’ANSSI à 24 heures après détection, contre 72 heures sous l’ancienne directive NIS 1. Ce délai est suivi d’un rapport intermédiaire sous 72 heures, puis d’un rapport final détaillé dans le mois. Respecter un délai aussi court suppose une capacité de détection et d’escalade interne déjà rodée, pas improvisée le jour de l’incident, ce qui justifie de commencer dès maintenant la mise en place d’une journalisation minimale et d’une procédure d’incident documentée.

Autre évolution notable : l’article 32 de la directive prévoit la possible mise en cause personnelle des dirigeants en cas de manquement grave, avec des mesures pouvant aller jusqu’à une suspension temporaire de fonctions. La cybersécurité devient ainsi un sujet de responsabilité individuelle pour la direction, pas seulement une ligne budgétaire IT.

Pourquoi commencer maintenant

La mise en conformité NIS 2 ne se résume pas à produire un document. Elle suppose de faire progresser l’organisation : inventaire, politiques internes, preuves, procédures, formation et suivi. Plus l’entreprise attend, plus l’effort risque de se concentrer dans l’urgence, avec des décisions coûteuses et moins bien acceptées, d’autant que le calendrier législatif français, déjà en retard, laisse peu de visibilité sur la date exacte d’entrée en vigueur des obligations contraignantes.

Beaucoup de ces mesures recoupent d’ailleurs les bonnes pratiques de notre checklist d’audit de sécurité PME : s’y mettre, c’est progresser à la fois sur la conformité, l’assurance cyber et la résilience réelle. Pour passer à l’action, consultez aussi notre plan NIS 2 et ReCyF en 90 jours.

Anticiper plutôt que subir le calendrier

L’incertitude sur la date exacte d’entrée en vigueur ne doit pas servir d’excuse à l’attentisme. Les mesures attendues par NIS 2, inventaire des actifs, gestion des accès, sauvegardes testées, détection et procédure d’incident, sont exactement celles qu’exigent déjà les assureurs cyber et les grands donneurs d’ordre. S’y mettre maintenant, c’est progresser d’un même mouvement sur la conformité réglementaire, l’assurabilité et la résilience réelle, sans attendre l’urgence du dernier décret. Mieux : pour une PME sous-traitante, pouvoir démontrer un socle de sécurité solide devient un argument commercial face à des clients eux-mêmes soumis à NIS 2, qui répercutent leurs exigences sur toute leur chaîne de fournisseurs.

Beaucoup de ces mesures recoupent les bonnes pratiques de notre checklist d’audit de sécurité PME. Nous accompagnons cette préparation avec un audit de votre Active Directory et de la sensibilisation des équipes ; pour passer à l’action, voir aussi notre plan NIS 2 et ReCyF en 90 jours. Contactez-nous pour faire le point sur votre exposition.

Sources : ANSSI, Directive NIS 2 · Forge Agency, NIS2 loi résilience 2026 · EUR-Lex, Directive (UE) 2022/2555