Directive NIS2 : le guide essentiel pour comprendre et se mettre en conformité

xdpo
1 oct. 2025
10 min de lecture

Dernière mise à jour : 22 juil.

La directive européenne NIS2 redéfinit les standards de cybersécurité pour près de 10 000 entreprises en France. Entre les obligations strictes de gestion des risques, le devoir de notification des incidents sous 24 heures et des sanctions pouvant atteindre 10 millions d'euros, les dirigeants sont désormais en première ligne. Ce guide détaille les critères d'assujettissement, les mesures imposées, ainsi que les dernières avancées de la transposition en France avec la publication du référentiel RECYF.

Qu'est-ce que la directive européenne NIS2 sur la cybersécurité ?

La directive NIS 2 (Network and Information Security) est une législation européenne visant à élever et harmoniser le niveau de cybersécurité des États membres. Elle succède à la première directive NIS de 2016 afin de répondre à la prolifération et à la sophistication des cybermenaces.

Les trois objectifs fondamentaux de la directive NIS2 :

L'élargissement du champ d'application : Le texte passe d'environ 300 entreprises concernées sous NIS1 à près de 10 000 en France pour NIS2, intégrant de nouveaux secteurs comme la gestion des déchets, l'alimentation ou les fournisseurs de services numériques.
L'amélioration de la gouvernance : Les dirigeants d'entreprise sont désormais tenus personnellement responsables de la gestion des risques cyber de leur organisation.
Le renforcement des sanctions : L'instauration d'amendes administratives colossales pour garantir l'application du texte.

"La directive NIS2 marque la fin de la cybersécurité vue comme une simple recommandation technique : elle devient une obligation légale de gouvernance impliquant directement la responsabilité juridique des dirigeants."

Qui est concerné par la mise en conformité NIS2 en France ?

La directive segmente les acteurs assujettis en deux catégories : les Entités Essentielles (EE) et les Entités Importantes (EI).

Votre organisation est dans l'obligation de se conformer à NIS2 si elle remplit l'une des conditions suivantes :

Son activité appartient à un secteur considéré comme critique ou hautement critique (énergie, transport, santé, infrastructures numériques, etc.).
Elle compte plus de 50 employés et dépasse les 10 millions d'euros de chiffre d'affaires.
Elle intervient en tant que sous-traitant ou fournisseur dans la chaîne d'approvisionnement d'une entité déjà assujettie (effet domino exigé par la loi).

A l'inverse, les petites entreprises (moins de 50 salariés et moins de 10M€ de CA) et les collectivités territoriales de moins de 30 000 habitants ne sont pas directement soumises à la directive.

Nous y revenons en détails dans notre article Directive NIS 2 : qui est concerné? disponible en cliquant ici

Quelles sont les obligations de sécurité et de notification imposées par NIS2 ?

L'obligation centrale de la directive NIS2 exige la mise en place de mesures techniques, opérationnelles et organisationnelles proportionnées aux risques.

Les 6 mesures minimales de sécurité à déployer :

Analyse des risques : Instauration d'une Politique de Sécurité des Systèmes d'Information (PSSI) structurée.
Gestion des incidents : Déploiement de processus de détection, d'analyse et de réponse aux cyberattaques.
Continuité d'activité : Conception de Plans de Reprise d'Activité (PRA) pour garantir la résilience en cas de crise.
Sécurité de la supply chain : Contrôle et évaluation des exigences de cybersécurité imposées aux prestataires et fournisseurs.
Contrôle des accès : Implémentation obligatoire de l'authentification multifacteur (MFA) et recours à la cryptographie.
Sécurité du cycle de vie : Sécurisation dès la conception (Secure by Design) de l'acquisition et de la maintenance des infrastructures.

Le strict devoir de notification à l'ANSSI :

En cas d'incident de sécurité majeur, les délais de signalement sont drastiques :

Sous 24 heures : Envoi d'une alerte précoce.
Sous 72 heures : Soumission d'une notification complète évaluant la gravité et l'impact.
Sous 1 mois : Remise d'un rapport final listant les mesures correctives.

Quelle est la différence entre la directive NIS2, le RGPD et DORA ?

Bien que ces trois cadres réglementaires européens visent à sécuriser l'écosystème numérique, ils ne couvrent pas le même périmètre. Voici un tableau comparatif pour comprendre leurs spécificités :

Critère d'analyse	Directive NIS2	RGPD	Règlement DORA
Objectif principal	Renforcer la cybersécurité et la résilience des systèmes d'information critiques.	Protéger les données personnelles des citoyens et encadrer leur traitement.	Assurer la résilience opérationnelle numérique exclusive du secteur financier.
Périmètre d'application	Entités Essentielles et Importantes réparties dans 18 secteurs jugés critiques.	Toute organisation traitant des données personnelles de résidents de l'Union européenne.	Établissements financiers et leurs prestataires de services informatiques (TIC).
Sanctions maximales	Jusqu'à 10 M€ ou 2% du CA mondial pour les EE (7 M€ / 1,4% pour les EI).	Jusqu'à 20 M€ ou 4% du CA annuel mondial.	Amendes proportionnelles et astreintes de surveillance sectorielle.
Autorité de contrôle (France)	ANSSI (Agence nationale de la sécurité des systèmes d'information).	CNIL (Commission Nationale de l'Informatique et des Libertés).	Autorités de supervision financière (ACPR, AMF).

Quelles sont les sanctions prévues en cas de non-conformité à NIS2 ?

Les autorités de régulation disposent d'un arsenal répressif très lourd, scindé en deux volets :

1. Les sanctions financières directes :

Entités Essentielles (EE) : Amendes allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial (le montant le plus élevé s'applique).
Entités Importantes (EI) : Amendes allant jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial.

2. Les sanctions non financières et de gouvernance :

Suspension des dirigeants : Dans les cas de négligence grave, les dirigeants peuvent se voir interdire temporairement d'occuper des fonctions de direction.
Injonctions et audits : L'ANSSI peut imposer des audits de sécurité obligatoires à la charge de l'entreprise et la forcer à publier ses manquements, avec des effets dévastateurs sur sa réputation.

Transposition en France : quand la directive NIS2 sera-t-elle effective ?

Au niveau européen, la directive NIS2 est officiellement entrée en vigueur le 17 octobre 2024. Le texte nécessitait cependant une transposition dans le droit national de chaque État membre.En France, le projet de loi "Relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité" a été déposé le 10 septembre 2025.

Mise à jour essentielle - Le référentiel RECYF :

L'étape cruciale pour l'application de la réglementation en France a été franchie avec la publication du référentiel RECYF en version 2.5, le 17 mars 2026.

Ce référentiel technique fixe concrètement les conditions de transposition de la directive NIS2 en droit français.

Il documente de manière précise les exigences et les contrôles que les entreprises devront appliquer pour être jugées conformes lors des audits menés sous l'égide de l'ANSSI.

Le référentiel RecyF est disponible ici : https://messervices.cyber.gouv.fr/documents-ressources/20260317_NIS_V2_ReCyF_v2.5.pdf

Comment mettre en oeuvre NIS2 rapidement avec l'approche xDPO ?

Se mettre en conformité avec NIS2 peut sembler complexe, mais cela ne doit pas paralyser votre activité. xDPO est un cabinet de conseil en conformité RGPD, NIS2 et IA Act. Nous croyons fermement que la conformité est avant tout humaine.

Pour vous accompagner, nous nous appuyons sur trois piliers fondamentaux :

Une approche agile : Nous priorisons les risques critiques afin de vous garantir une mise en conformité à la fois rapide et efficace.
Une indépendance totale : Il n'y a chez nous ni frais cachés, ni licence logicielle imposée ; nous utilisons nos outils standard pour nous adapter à votre écosystème.
Une expertise senior : Nous mettons à votre disposition des consultants très expérimentés, parfaitement capables de comprendre et d'intégrer vos enjeux métier dans la stratégie de cybersécurité.

Quelle différence entre NIS 2 et le RGPD?

Bien que la directive NIS2 et le RGPD (Règlement Général sur la Protection des Données) visent tous deux à améliorer la sécurité numérique, leurs objectifs, leur portée et leurs domaines d'application diffèrent fondamentalement. Ils sont complémentaires et non interchangeables.

Voici les principales différences, présentées sous forme de tableau comparatif pour plus de clarté :

Critère	Directive NIS2	RGPD
Objectif principal	Vise à renforcer la cybersécurité des réseaux et systèmes d'information afin de garantir la continuité et la résilience des services essentiels et importants pour la société et l'économie.	Vise à protéger les données personnelles des individus et à leur donner le contrôle sur leur utilisation.
Objet de la protection	Les infrastructures critiques et les systèmes d'information qui soutiennent les services essentiels (énergie, transport, santé, etc.).	Les données à caractère personnel (nom, adresse, numéro de téléphone, données de santé, etc.).
Champ d'application	S'applique aux entités essentielles (EE) et aux entités importantes (EI) de 18 secteurs jugés critiques, en fonction de leur taille et de leur chiffre d'affaires.	S'applique à toutes les organisations qui traitent des données personnelles de citoyens de l'UE, quelle que soit leur taille ou leur secteur d'activité.
Obligations clés	Mettre en place des mesures de gestion des risques (gouvernance, sécurité des systèmes, etc.), signaler les incidents significatifs dans des délais stricts (24h, 72h, 1 mois) et impliquer la direction.	Mettre en place des mesures de sécurité pour les données personnelles, obtenir le consentement explicite, tenir un registre des traitements, et signaler les violations de données personnelles à l'autorité de contrôle (CNIL en France) sous 72h.
Sanctions	Amendes pouvant aller jusqu'à 10 M€ ou 2% du CA mondial pour les EE et 7 M€ ou 1,4% du CA mondial pour les EI. Les sanctions peuvent aussi être non financières (interdiction d'exercer pour les dirigeants).	Amendes pouvant atteindre 20 M€ ou 4% du CA mondial.
Autorités de contrôle	L'ANSSI (Agence nationale de la sécurité des systèmes d'information) en France.	La CNIL (Commission Nationale de l'Informatique et des Libertés) en France.

Quelle différence entre NIS 2 et DORA ?

Bien que la directive NIS2 et le règlement DORA partagent l'objectif commun de renforcer la cyber résilience en Europe, ils diffèrent significativement dans leur portée, leur cadre juridique et leurs exigences spécifiques.

Voici les principales différences :

1. Les organisations concernées

NIS2 a une portée horizontale et large. Elle s'applique à un vaste éventail de secteurs critiques (énergie, transport, santé, infrastructures numériques, eau, etc.), à la fois dans le secteur public et privé. Elle couvre les "entités essentielles" et les "entités importantes".
DORA a une portée verticale et sectorielle. Il cible spécifiquement et exclusivement le secteur financier (banques, assurances, fonds d'investissement, infrastructures de marché, etc.) et leurs fournisseurs de services TIC critiques .

2. La nature juridique du texte

NIS2 est une directive. Cela signifie que chaque État membre de l'UE doit la transposer dans sa propre législation nationale, ce qui peut entraîner de légères variations d'application entre les pays .

DORA est un règlement. Il est directement applicable dans tous les États membres de l'UE dès son entrée en vigueur, sans besoin de transposition. Cela garantit une uniformité et une harmonisation complètes des règles pour le secteur financier à travers l'Europe .

3. La nature des exigences spécifiques

NIS2 se concentre sur les mesures de gestion des risques de cybersécurité. Elle impose des obligations de sécurité de base, de notification des incidents majeurs, de gestion de la chaîne d'approvisionnement et de gouvernance pour les entités concernées .

DORA va plus loin pour le secteur financier. En plus des mesures de sécurité, il insiste fortement sur la résilience opérationnelle numérique. Ses exigences sont plus détaillées, notamment :

Des tests de résilience numérique rigoureux, incluant des tests d'intrusion basés sur la menace (TLPT - Threat-Led Penetration Testing).
Une gestion très stricte des risques liés aux tiers, avec des exigences contractuelles spécifiques pour les fournisseurs de services TIC critiques .
Un cadre de notification d'incident et de partage d'informations .

Quelle est l'obligation clé de la directive NIS 2 ?

L'obligation clé de la directive NIS2 est la mise en place de mesures de gestion des risques de cybersécurité.

Cette obligation est au cœur du texte et impose aux entités concernées de prendre des actions concrètes pour protéger leurs systèmes d'information, qu'elles soient techniques, organisationnelles ou opérationnelles .

La directive NIS2 ne se contente pas de recommander, elle liste un ensemble de mesures minimales que les entités doivent appliquer pour démontrer leur conformité. Celles-ci incluent :

Politiques d'analyse des risques et de sécurité des systèmes d'information : Une approche structurée pour identifier, évaluer et traiter les menaces.
Gestion des incidents : Mise en place de procédures pour la détection, la gestion et la réponse aux incidents de sécurité .
Continuité des activités et gestion de crise : Des plans de reprise d'activité pour garantir la résilience en cas de cyberattaque majeure .
Sécurité de la chaîne d'approvisionnement : Intégration des exigences de cybersécurité pour les fournisseurs et sous-traitants .
Sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information .
Politiques et procédures de contrôle d'accès et de gestion des identités.
Utilisation de l'authentification à plusieurs facteurs (MFA) et de solutions de cryptographie .

Un devoir de notification

Une autre obligation cruciale, étroitement liée à la gestion des risques, est le devoir de notification. Les entités doivent notifier aux autorités compétentes (comme l'ANSSI en France) les incidents qui ont un impact significatif sur la continuité de leurs services .
Alerte précoce : Dans les 24 heures suivant la détection d'un incident .
Notification complète : Dans les 72 heures avec une évaluation de la gravité et de l'impact .
Rapport final : Dans un délai d'un mois, détaillant l'incident et les mesures correctives .

Quelles sont les sanctions liés à la directive NIS 2 ?

La directive NIS2 prévoit des sanctions importantes et dissuasives en cas de non-respect de ses obligations, en particulier les mesures de gestion des risques et la notification des incidents. Ces sanctions sont conçues pour inciter les entités à prendre la cybersécurité très au sérieux .

Les sanctions ne sont pas les mêmes pour les deux catégories d'entités définies par la directive :

1. Sanctions financières

Le montant des amendes est proportionnel à la gravité des manquements et à la taille de l'entité .

Pour les entités essentielles (EE) : L'amende peut atteindre jusqu'à 10 millions d'euros ou 2% de leur chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu .
Pour les entités importantes (EI) : L'amende peut s'élever jusqu'à 7 millions d'euros ou 1,4% de leur chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu .

2. Sanctions non financières

Au-delà des amendes, la directive confère aux autorités nationales de contrôle (comme l'ANSSI en France) des pouvoirs d'exécution stricts :

Sanctions à l'encontre des dirigeants : Dans les cas de non-conformité graves et répétés, les dirigeants d'entreprise peuvent se voir temporairement interdire d'occuper des fonctions de direction .
Injonctions de conformité : Les autorités peuvent ordonner aux entités de prendre des mesures spécifiques pour se mettre en conformité dans un délai imparti .
Audits de sécurité obligatoires : Elles peuvent exiger la réalisation d'audits de sécurité par une entité externe .
Obligation de publication : Les autorités peuvent exiger qu'une entité rende public un manquement majeur à la directive, ce qui peut avoir un impact significatif sur la réputation et la crédibilité de l'entreprise .

3. Conséquences indirectes

Au-delà des sanctions directes, une non-conformité à la directive NIS2 peut entraîner d'autres conséquences préjudiciables :

Perte de confiance des clients et partenaires : Un incident de sécurité qui résulte d'une non-conformité peut ternir la réputation et entraîner une perte de confiance irréversible .
Litiges et poursuites judiciaires : Les partenaires ou clients affectés par un incident peuvent intenter des actions en justice pour les dommages subis .
Coûts indirects : Les coûts de remédiation d'une cyberattaque, la perte de revenus pendant une interruption de service et les frais de conseil juridique et d'audit peuvent largement dépasser le montant des amendes .

Quand est-ce que NIS 2 sera effective ?

La directive NIS2 est entrée en vigueur pour les États membres de l'Union européenne le 17 octobre 2024 .

Cependant, il est important de noter que cette date correspond à la date limite de transposition de la directive dans le droit national de chaque pays .

En ce qui concerne la France, on sait que le projet de loi " Relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité" a été enregistré à la Présidence de l'Assemblée Nationale le 10 septembre 2025 .

Malgré un paysage politique français instable, on peut imaginer que la Loi de transposition sera votée d'ici la fin de l'année .