Question 1

Qui est soumis à NIS2 en France ?

Accepted Answer

La directive NIS2 s'applique aux entités opérant dans 18 secteurs définis (énergie, transports, santé, banque, infrastructures numériques, eau, alimentation, industrie, etc.) qui dépassent certains seuils de taille. Les entités essentielles sont les grandes entreprises (plus de 250 salariés ou plus de 50 M€ de chiffre d'affaires) dans les secteurs hautement critiques de l'Annexe I. Les entités importantes couvrent les moyennes entreprises (plus de 50 salariés ou plus de 10 M€ de CA) dans tous les secteurs concernés. Certaines entités sont soumises à NIS2 indépendamment de leur taille, notamment les opérateurs de registres de noms de domaine et les fournisseurs de services DNS. En France, c'est l'ANSSI qui identifiera et notifiera individuellement les entités assujetties.

Question 2

Quand NIS2 est-elle entrée en vigueur ?

Accepted Answer

La directive (UE) 2022/2555, dite NIS2, a été publiée au Journal officiel de l'Union européenne le 27 décembre 2022. Les États membres avaient jusqu'au 17 octobre 2024 pour la transposer dans leur droit national et commencer à l'appliquer. Cette date marque donc l'entrée en vigueur effective de NIS2. La France est en cours de finalisation de sa loi de transposition, qui définira les modalités pratiques d'application par l'ANSSI. Les entités notifiées par l'ANSSI disposeront alors d'un délai pour engager leur démarche de mise en conformité.

Question 3

Quelles sont les sanctions NIS2 ?

Accepted Answer

NIS2 prévoit deux niveaux de sanctions administratives selon la catégorie de l'entité. Pour les entités essentielles, l'amende maximale est de 10 000 000 € ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Pour les entités importantes, le plafond est de 7 000 000 € ou 1,4 % du CA annuel mondial. Au-delà des amendes pécuniaires, l'ANSSI peut prononcer des injonctions de mise en conformité, suspendre temporairement des certifications ou des autorisations, et rendre publics les manquements constatés. Les dirigeants peuvent également être tenus personnellement responsables.

Question 4

NIS2 s'applique-t-elle aux sous-traitants ?

Accepted Answer

Oui, NIS2 a une portée étendue sur la chaîne d'approvisionnement. Les entités assujetties (essentielles et importantes) ont l'obligation de s'assurer que leurs fournisseurs et prestataires de services qui accèdent à leurs systèmes d'information ou traitent des données critiques respectent un niveau de sécurité adéquat. Concrètement, cela signifie que les sous-traitants et fournisseurs IT des entités NIS2 se verront imposer des exigences de sécurité via des clauses contractuelles, des questionnaires d'évaluation et potentiellement des audits. Même si une entreprise n'est pas directement soumise à NIS2, elle peut devoir s'y conformer pour conserver ses clients assujettis.

Question 5

Comment notifier un incident à l'ANSSI ?

Accepted Answer

NIS2 impose un processus de notification en plusieurs étapes. Dans les 24 heures suivant la détection d'un incident significatif, l'entité doit transmettre une alerte précoce à l'ANSSI indiquant si l'incident semble résulter d'un acte malveillant et s'il a un impact transfrontalier. Dans les 72 heures, une notification complète doit suivre avec une évaluation initiale de l'incident, sa gravité et ses impacts probables. Dans le mois suivant la résolution, un rapport final doit être transmis avec l'analyse des causes racines et les mesures correctives adoptées. Les modalités pratiques de notification (portail, formulaire) seront précisées par l'ANSSI dans le cadre de la transposition française.

Question 6

Quelle différence entre entité essentielle et importante ?

Accepted Answer

La distinction entre entité essentielle (EE) et entité importante (EI) repose principalement sur deux critères : le secteur d'activité et la taille de l'entreprise. Les entités essentielles opèrent dans les secteurs hautement critiques listés à l'Annexe I de la directive (énergie, transports, santé, eau, infrastructures numériques, etc.) et dépassent les seuils d'une grande entreprise. Les entités importantes couvrent à la fois les organisations de taille moyenne dans les secteurs de l'Annexe I et les entreprises dans les secteurs additionnels de l'Annexe II (alimentation, chimie, industrie, etc.). La différence pratique principale concerne le régime de supervision : les EE sont soumises à des contrôles proactifs réguliers, tandis que les EI font l'objet d'une supervision réactive déclenchée par un incident ou une plainte. Les sanctions sont également plus élevées pour les EE.

Question 7

NIS2 remplace-t-elle le RGPD ?

Accepted Answer

Non, NIS2 ne remplace pas le RGPD. Ces deux réglementations sont complémentaires et coexistent. Le RGPD (Règlement Général sur la Protection des Données) porte sur la protection des données personnelles et s'applique à tout organisme traitant des données de résidents européens, quelle que soit sa taille ou son secteur. NIS2 porte sur la sécurité des réseaux et des systèmes d'information des entités opérant dans des secteurs critiques. Les deux textes se renforcent mutuellement : de bonnes pratiques de cybersécurité NIS2 contribuent à la sécurité des données personnelles requise par le RGPD. En cas d'incident cyber entraînant une violation de données, une entreprise peut être simultanément soumise aux obligations de notification NIS2 (vers l'ANSSI) et RGPD (vers la CNIL).

Question 8

Mon hébergeur est-il responsable de ma conformité ?

Accepted Answer

Non, votre hébergeur ne peut pas être tenu responsable de votre conformité NIS2. La responsabilité de la conformité incombe à l'entité assujettie elle-même, c'est-à-dire à votre organisation. Il s'agit d'une responsabilité partagée : si vous utilisez des services cloud ou d'hébergement, vous devez vous assurer que vos fournisseurs respectent des niveaux de sécurité adéquats (c'est l'obligation sur la sécurité de la chaîne d'approvisionnement), mais la conformité d'ensemble reste sous votre responsabilité. Cela inclut la gouvernance, la gestion des risques, la notification des incidents, ou encore la continuité d'activité. En pratique, vous devrez encadrer vos relations contractuelles avec vos prestataires IT pour y intégrer des clauses de sécurité conformes aux exigences NIS2.

Question 9

NIS2 s'applique-t-elle aux TPE ?

Accepted Answer

En règle générale, NIS2 ne s'applique pas aux très petites entreprises (TPE, moins de 50 salariés et moins de 10 M€ de chiffre d'affaires). La directive a été conçue pour cibler les entités dont la défaillance aurait un impact significatif sur la société ou l'économie. Cependant, il existe des exceptions importantes : certains types d'entités sont soumis à NIS2 quelle que soit leur taille, notamment les opérateurs de réseaux de communications électroniques publics, les prestataires de services DNS, les registres de noms de domaine de premier niveau (TLD) et les fournisseurs de services de confiance qualifiés. Par ailleurs, comme indiqué plus haut, même une TPE peut indirectement être concernée si elle est sous-traitante d'une entité assujettie.

Question 10

Quel est le délai pour se mettre en conformité ?

Accepted Answer

La date d'entrée en vigueur de NIS2 était le 17 octobre 2024 ; les obligations sont donc théoriquement applicables depuis cette date. En France, la transposition étant encore en cours de finalisation, l'ANSSI procédera à une notification individuelle des entités assujetties, après quoi celles-ci disposeront d'un délai spécifique pour s'engager dans leur démarche de conformité. Il est fortement recommandé d'anticiper sans attendre cette notification officielle, car la mise en conformité complète nécessite plusieurs mois (cartographie des actifs, analyse de risques, mise en place des mesures techniques et organisationnelles, formation des équipes). Les entités qui tardent à agir s'exposent à des sanctions dès lors que l'ANSSI commencera ses contrôles.

Question 11

Comment prouver sa conformité NIS2 ?

Accepted Answer

NIS2 ne prévoit pas de certification obligatoire unique, mais la preuve de conformité repose sur une documentation exhaustive et des audits réguliers. Concrètement, une entité conforme doit disposer d'une politique de sécurité documentée et approuvée par la direction, d'une analyse de risques à jour, d'un registre des incidents, d'un plan de continuité d'activité testé, de preuves de formations, de contrats fournisseurs incluant des clauses de sécurité, et de rapports d'audits internes ou externes. L'ANSSI peut demander la communication de ces documents dans le cadre de ses contrôles. Le recours à des référentiels reconnus comme ISO 27001 ou le Cyberscore peut faciliter la démonstration de la conformité, même si ce n'est pas une exigence explicite de la directive.

Question 12

NIS2 concerne-t-elle les associations ?

Accepted Answer

Les associations peuvent être concernées par NIS2 si elles exercent des activités dans l'un des 18 secteurs couverts et dépassent les seuils de taille (50 salariés ou 10 M€ de budget). Par exemple, une association gérant un réseau de distribution d'eau, un établissement de santé sous forme associative ou une fondation de recherche scientifique pourrait être assujettie. La forme juridique (association, fondation, etc.) n'est pas le critère déterminant : c'est la nature de l'activité et les seuils de taille qui comptent. Les associations de taille modeste opérant hors des secteurs critiques ne sont généralement pas concernées. En cas de doute, il est conseillé de consulter l'ANSSI ou un avocat spécialisé.

Question 13

Qu'est-ce que la supply chain NIS2 ?

Accepted Answer

La sécurité de la chaîne d'approvisionnement (supply chain security) est l'une des 8 obligations concrètes de NIS2. Elle impose aux entités assujetties d'évaluer et de gérer les risques de cybersécurité liés à leurs relations avec leurs fournisseurs et prestataires de services, notamment ceux qui accèdent à leurs systèmes d'information, traitent des données critiques ou fournissent des composants logiciels intégrés dans leurs produits. En pratique, cela se traduit par une cartographie des fournisseurs critiques, des questionnaires de sécurité, des clauses contractuelles imposant des niveaux de sécurité minimum, et des droits d'audit. Cette obligation répond à la multiplication des attaques par la chaîne d'approvisionnement (type SolarWinds) qui contournent les défenses d'une organisation en ciblant ses fournisseurs.

Question 14

L'ANSSI contrôle-t-elle déjà les entreprises ?

Accepted Answer

Oui, l'ANSSI dispose déjà de pouvoirs de contrôle, hérités de la directive NIS1, qu'elle exerce sur les opérateurs de services essentiels (OSE) et les fournisseurs de services numériques (FSN) identifiés sous l'ancien régime. Avec NIS2, ces pouvoirs sont significativement étendus et renforcés. L'ANSSI peut désormais procéder à des inspections sur pièces et sur place, demander des audits de sécurité réalisés par des prestataires qualifiés (PASSI), adresser des injonctions de mise en conformité assorties de délais, et infliger des sanctions administratives. Pour les entités essentielles, les contrôles peuvent être initiés de manière proactive, sans attendre qu'un incident survienne. Le déploiement complet de ces contrôles sera progressif au fur et à mesure de l'identification des entités assujetties en France.

Question 15

NIS2 s'applique-t-elle dans toute l'Europe ?

Accepted Answer

Oui, NIS2 est une directive européenne qui s'impose à l'ensemble des 27 États membres de l'Union européenne. Cependant, étant une directive (et non un règlement), elle nécessite une transposition dans le droit national de chaque État membre. Cela signifie que les modalités pratiques d'application (identification des entités, processus de notification, sanctions effectives) peuvent varier d'un pays à l'autre, même si les exigences de fond sont harmonisées. Pour les groupes internationaux, cela implique de suivre la transposition dans chaque pays concerné. Le mécanisme de supervision est organisé autour du principe du pays d'établissement principal : une entité opérant dans plusieurs États membres est généralement supervisée par l'autorité du pays où se trouve son établissement principal pour les services transfrontaliers.

FAQ NIS2 — 15 questions essentielles

Votre entreprise est-elle concernée par NIS2 ?