Les dirigeants approuvent et répondent
L'organe de direction approuve les mesures de gestion des risques et supervise leur mise en œuvre. Sa responsabilité est engagée en cas de manquement : ce n'est plus un sujet qu'on délègue entièrement à la DSI.
Directive (UE) 2022/2555
NIS 2, expliquée du point de vue du dirigeant
La directive NIS 2 fait passer le nombre d'entreprises françaises soumises à des obligations de cybersécurité d'environ 500 à environ 15 000. Si vous avez plus de 50 salariés et que votre activité figure dans l'une des dix-huit familles de secteurs, vous êtes très probablement dans le périmètre — y compris si personne ne vous l'a encore notifié.
Vous préférez appeler ?+33 7 82 70 38 30
ou laissez vos coordonnées :
Faisons le point sur votre situation
Trente minutes pour cadrer ce qui vous concerne réellement et par quoi commencer. Sans engagement.
Ce qu'est NIS 2, en une phrase
NIS 2 est une directive européenne qui impose à des entreprises de secteurs jugés critiques un socle de mesures de cybersécurité, une obligation de déclarer leurs incidents, et une responsabilité personnelle des dirigeants sur ces sujets.
Elle remplace la directive NIS de 2016, qui ne visait qu'un petit nombre d'« opérateurs de services essentiels ». Le changement d'échelle est le fait marquant : NIS 2 ne désigne plus les entreprises une par une, elle définit des critères. Si vous entrez dans les critères, vous êtes concerné, que l'administration vous ait contacté ou non.
Les trois chiffres à retenir
~15 000
entités françaises attendues dans le périmètre, contre environ 500 sous NIS 1
24 h
pour l'alerte précoce après avoir eu connaissance d'un incident important
10 M€
ou 2 % du chiffre d'affaires mondial : le plafond de sanction pour une entité essentielle
Deux catégories, deux régimes de contrôle
La directive distingue les entités essentielles des entités importantes. La différence ne porte pas sur les obligations — elles sont les mêmes — mais sur la façon dont l'autorité vient vérifier.
| Entité essentielle | Entité importante | |
|---|---|---|
| Qui | Grande entreprise d'un secteur hautement critique (annexe I), plus certains acteurs quelle que soit leur taille | Moyenne entreprise de l'annexe I, et toute entité en périmètre de l'annexe II |
| Contrôle | A priori : audits, inspections et demandes de preuves sans qu'un incident soit survenu | A posteriori : l'autorité intervient lorsqu'un élément laisse penser à un manquement |
| Sanction maximale | 10 M€ ou 2 % du chiffre d'affaires mondial, le montant le plus élevé | 7 M€ ou 1,4 % du chiffre d'affaires mondial, le montant le plus élevé |
Les dix mesures exigées
L'article 21 de la directive ne demande pas un outil ni un label : il demande dix familles de mesures, proportionnées au risque. C'est cette liste que l'autorité vient confronter à la réalité.
- Politique d'analyse des risques et de sécurité des systèmes d'information
- Gestion des incidents (détection, traitement, retour d'expérience)
- Continuité d'activité : sauvegardes, reprise, gestion de crise
- Sécurité de la chaîne d'approvisionnement, y compris les prestataires directs
- Sécurité de l'acquisition, du développement et de la maintenance des systèmes
- Politiques d'évaluation de l'efficacité des mesures de gestion des risques
- Pratiques d'hygiène informatique de base et formation à la cybersécurité
- Politiques d'usage de la cryptographie et du chiffrement
- Sécurité des ressources humaines, contrôle d'accès et gestion des actifs
- Authentification à plusieurs facteurs et communications sécurisées
Ce qui change concrètement pour la direction
La formation devient obligatoire
Les membres de la direction doivent suivre une formation à la cybersécurité, et l'entreprise doit proposer l'équivalent à ses salariés.
Les délais de déclaration sont courts
Alerte précoce sous 24 heures, notification circonstanciée sous 72 heures, rapport final sous un mois. Un dispositif de détection qui met une semaine à voir un incident rend ces délais intenables.
La chaîne de sous-traitance entre dans le périmètre
La sécurité de vos fournisseurs directs fait partie de vos obligations. Vos clients concernés par NIS 2 vont vous la demander, même si vous n'êtes pas vous-même dans le périmètre.
L'effet de bord que peu anticipent
Même hors périmètre, une entreprise peut se retrouver contrainte : ses clients soumis à NIS 2 doivent sécuriser leur chaîne d'approvisionnement, donc évaluer leurs prestataires. En pratique, cela se traduit par des questionnaires de sécurité en amont d'un renouvellement de contrat.
C'est la raison la plus fréquente pour laquelle une PME nous appelle sur ce sujet : pas une mise en demeure, un appel d'offres.
Ce qu'on vous répond avant que vous demandiez.
NIS 2 s'applique-t-elle déjà en France ?
Pas encore. La directive devait être transposée avant le 17 octobre 2024, mais la loi française — qui transpose simultanément NIS 2, REC et DORA — n'était pas promulguée au 30 août 2026. Les obligations deviendront applicables lorsque la loi, puis ses décrets et arrêtés, auront été publiés. Se préparer maintenant reste la bonne décision : les mesures demandées prennent plusieurs mois à mettre en place.
Comment savoir si mon entreprise est dans le périmètre ?
Deux critères se combinent : votre secteur d'activité doit figurer à l'annexe I ou II de la directive, et votre entreprise doit dépasser la taille d'une petite entreprise — au moins 50 salariés, ou un chiffre d'affaires et un total de bilan supérieurs à 10 M€. Notre test d'éligibilité applique ces deux critères en deux minutes.
Faut-il attendre d'être notifié par l'ANSSI ?
Non. NIS 2 fonctionne par auto-identification : c'est à l'entité de déterminer si elle entre dans le champ et de s'enregistrer. Ne pas avoir été contacté n'est pas une preuve d'être hors périmètre.
Un pentest suffit-il à être conforme ?
Non, et personne ne devrait vous le vendre ainsi. Le test d'intrusion couvre une partie de l'article 21 — l'évaluation de l'efficacité des mesures et la sécurité des systèmes — mais pas la gouvernance, la continuité d'activité ou la chaîne d'approvisionnement. Il donne en revanche la photographie technique sur laquelle bâtir le reste.
Faut-il un prestataire qualifié PASSI ?
Pour les audits imposés à certaines entités essentielles, la qualification PASSI peut être exigée. Pour les entités importantes et la préparation en amont, l'obligation est une obligation de moyens : ce qui compte est la pertinence des mesures et la capacité à en apporter la preuve.
Vous voulez savoir où vous en êtes vraiment ?
Trente minutes pour cadrer votre périmètre et vous dire ce qui manque en priorité. Sans engagement, et sans vous vendre un label qui n'existe pas.
Source : directive (UE) 2022/2555, et FAQ de l'ANSSI pour l'avancement de la transposition française. Cette page est informative et ne constitue pas un conseil juridique.