Entrée en application en octobre 2024, la directive NIS2 (Network and Information Security 2) transforme profondément le paysage de la cybersécurité européenne. En France, la transposition nationale — pilotée par l'ANSSI — élargit considérablement le périmètre des entités soumises à des obligations renforcées : de 500 opérateurs historiques sous NIS1, on passe à plus de 15 000 organisations concernées. PME, ETI et collectivités territoriales doivent désormais se mettre en conformité sous peine de sanctions financières pouvant atteindre 10 millions d'euros. Cet article décrypte les changements concrets et les mesures à adopter dès maintenant.
Le périmètre élargi : êtes-vous concerné ?
NIS2 distingue deux catégories d'entités : les entités essentielles (EE) et les entités importantes (EI). Les premières regroupent les secteurs critiques — énergie, transports, santé, eau potable, infrastructures numériques, administration publique —, tandis que les secondes couvrent un spectre plus large incluant les services postaux, la gestion des déchets, l'industrie chimique, l'agroalimentaire et les fournisseurs de services numériques. Cette directive européenne impose aux entités essentielles un niveau renforcé de cybersécurité et de gestion des risques.
Critères de classification
Une entreprise est soumise à NIS2 si elle opère dans un secteur couvert et dépasse l'un des seuils suivants : 50 salariés ou 10 millions d'euros de chiffre d'affaires pour les entités importantes ; 250 salariés ou 50 millions d'euros pour les entités essentielles. Certaines organisations sont désignées indépendamment de leur taille — fournisseurs de DNS, registres de noms de domaine, prestataires de services de confiance — en raison de leur rôle systémique.
- Entités essentielles : contrôles proactifs de l'ANSSI, sanctions jusqu'à 10 M€ ou 2 % du CA mondial.
- Entités importantes : contrôles sur signalement ou a posteriori, sanctions jusqu'à 7 M€ ou 1,4 % du CA mondial.
- Sous-traitants et prestataires ICT : soumis par effet de chaîne lorsque leurs clients sont des entités régulées.
- Dirigeants personnellement responsables : NIS2 introduit la possibilité de sanctions individuelles en cas de négligence caractérisée.
Les obligations concrètes imposées par NIS2
Gouvernance et gestion des risques
NIS2 exige que la direction de l'entreprise s'implique directement dans la gouvernance de la cybersécurité. Les dirigeants doivent approuver les mesures de gestion des risques, suivre leur mise en œuvre et se former aux enjeux cyber. Cette exigence de responsabilisation des dirigeants marque une rupture avec l'approche traditionnelle qui déléguait la cybersécurité aux seules équipes techniques. L'adoption d'une architecture Zero Trust constitue une réponse structurante à ces exigences de gouvernance, en imposant un contrôle systématique de chaque accès aux ressources de l'entreprise.
Mesures techniques minimales
La directive impose un socle de mesures techniques que chaque entité doit implémenter, proportionnellement à son niveau de risque. Ces mesures couvrent la politique de sécurité des systèmes d'information, la gestion des incidents, la continuité d'activité, la sécurité de la chaîne d'approvisionnement, la sécurité des réseaux, la gestion des vulnérabilités, le chiffrement et le contrôle d'accès. Les réflexes essentiels en cybersécurité constituent un point de départ indispensable pour toute PME entamant sa mise en conformité.
Notification des incidents : les nouvelles règles
NIS2 renforce considérablement les obligations de notification en cas d'incident de cybersécurité significatif. L'entité touchée doit adresser une alerte précoce à l'ANSSI dans les 24 heures suivant la détection de l'incident, suivie d'une notification complète dans les 72 heures, puis d'un rapport final dans un délai d'un mois. Un incident est considéré comme significatif s'il cause une perturbation grave du service, affecte un nombre important d'utilisateurs ou est susceptible de générer des pertes matérielles ou immatérielles considérables.
- Détection de l'incident : activer la procédure de réponse et évaluer la gravité.
- Alerte précoce (H+24) : notification à l'ANSSI avec les premiers éléments factuels.
- Notification complète (H+72) : analyse technique, évaluation de l'impact, mesures correctives engagées.
- Rapport final (J+30) : analyse post-incident détaillée, causes racines, mesures de remédiation durables.
Se mettre en conformité : feuille de route pour les PME
La mise en conformité NIS2 est un projet structurant qui mobilise l'ensemble de l'organisation. Commencez par évaluer votre exposition : votre secteur d'activité et votre taille vous placent-ils dans le périmètre ? Réalisez ensuite un diagnostic cybersécurité pour identifier les écarts entre votre posture actuelle et les exigences de la directive. Priorisez les actions correctives en fonction de leur impact sur la réduction du risque et de leur coût de mise en œuvre.
Le volet RGPD de vos obligations s'articule étroitement avec NIS2 : les deux réglementations exigent la notification des incidents impliquant des données personnelles et imposent des mesures de sécurité techniques et organisationnelles. Mutualiser les démarches de conformité permet de rationaliser les coûts et d'éviter les redondances.
Chez ACME, nous accompagnons les PME et ETI dans leur mise en conformité NIS2 avec une approche pragmatique : diagnostic initial, plan de remédiation priorisé, déploiement des mesures techniques et préparation aux contrôles de l'ANSSI. Notre expertise couvre l'ensemble du spectre — gouvernance, protection, détection et réponse aux incidents.
FAQ
NIS2 s'applique-t-elle aux associations et aux collectivités territoriales ?
Oui. Les collectivités territoriales de plus de 30 000 habitants sont expressément visées par la transposition française. Les associations exerçant des activités dans les secteurs couverts — santé, énergie, services numériques — peuvent également entrer dans le périmètre si elles dépassent les seuils de taille. L'ANSSI publiera la liste définitive des entités concernées après la transposition complète, mais il est vivement recommandé de ne pas attendre cette publication pour engager les travaux de mise en conformité.
Quelles sanctions concrètes risquent les PME en cas de non-conformité ?
Les entités importantes (catégorie la plus fréquente pour les PME) risquent des amendes administratives pouvant atteindre 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial. Au-delà de l'amende, l'ANSSI peut imposer des injonctions de mise en conformité assorties d'astreintes journalières. La responsabilité personnelle des dirigeants peut être engagée en cas de négligence manifeste. En pratique, l'ANSSI privilégiera probablement une approche graduée — avertissement, mise en demeure, puis sanction — pour les premières années d'application.
NIS2 impose-t-elle de recourir à un prestataire certifié ?
La directive n'impose pas directement le recours à un prestataire certifié, mais les mesures de sécurité exigées sont suffisamment complexes pour que la plupart des PME aient besoin d'un accompagnement externe. Le choix d'un prestataire qualifié PASSI (Prestataires d'Audit de la Sécurité des Systèmes d'Information) ou certifié ExpertCyber par l'ANSSI apporte une garantie de compétence et peut constituer un élément de preuve de diligence en cas de contrôle.