Guide NIS2 Complet 2025

La directive NIS (Network and Information Security), adoptée en 2016, constitue le premier cadre législatif européen dédié à la cybersécurité. Elle imposait aux États membres de désigner des autorités compétentes et d'établir des exigences minimales pour les opérateurs de services essentiels et les fournisseurs de services numériques. Si elle a posé les fondations d'une approche commune, son application inégale d'un pays à l'autre a révélé des lacunes importantes en termes d'harmonisation.

Face à une évolution rapide des menaces cyber et à la fragmentation persistante entre États membres, la Commission européenne a publié la directive NIS2 (2022/2555) le 27 décembre 2022. Ce texte refond entièrement le cadre précédent : il élargit considérablement le périmètre des entités concernées, renforce les obligations de sécurité, alourdit les sanctions et exige une coopération renforcée entre autorités nationales. La directive est entrée en vigueur le 17 octobre 2024, date à laquelle les États membres devaient avoir transposé ses dispositions dans leur droit national.

En France, la transposition de NIS2 est pilotée par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information), l'autorité nationale compétente. Le projet de loi de transposition prévoit une montée en charge progressive : l'ANSSI identifiera les entités assujetties et les notifiera individuellement. Les entreprises concernées disposent alors d'un délai pour engager leur démarche de conformité. Il est toutefois recommandé d'anticiper dès maintenant en réalisant un état des lieux de ses pratiques de cybersécurité.

NIS2 distingue deux catégories d'entités soumises à obligations : les entités essentielles (EE) et les entités importantes (EI). Cette distinction détermine le niveau de supervision exercé par l'ANSSI et l'intensité des sanctions applicables.

Les 18 secteurs concernés

Sous-traitants et chaîne d'approvisionnement

Même si votre entreprise ne relève pas directement d'un secteur couvert, vous pouvez être concerné si vous fournissez des services ou des produits à une entité essentielle ou importante. NIS2 impose en effet aux entités assujetties de s'assurer que leurs fournisseurs critiques respectent eux aussi un niveau de sécurité adéquat. En pratique, cela se traduit par des clauses contractuelles, des audits et des questionnaires de sécurité transmis par vos clients.

NIS2 instaure un régime de sanctions significativement plus sévère que son prédécesseur. Les amendes sont calculées en prenant le montant le plus élevé entre un plafond fixe et un pourcentage du chiffre d'affaires annuel mondial, afin d'être dissuasives quelle que soit la taille de l'entité.

Responsabilité personnelle des dirigeants

NIS2 introduit une innovation majeure par rapport à la directive NIS1 : la responsabilité personnelle des dirigeants en cas de manquement grave aux obligations de cybersécurité. Les États membres peuvent prévoir des sanctions individuelles à l'encontre des personnes physiques exerçant des fonctions dirigeantes au sein des entités essentielles, pouvant aller jusqu'à l'interdiction temporaire d'exercer des fonctions de direction. Cette disposition vise à inciter les organes de gouvernance à s'impliquer directement dans la politique de cybersécurité.

Pouvoirs de l'ANSSI

L'ANSSI dispose de pouvoirs étendus pour contrôler la conformité des entités assujetties : audits de sécurité sur pièces et sur place, demandes d'informations, accès aux systèmes d'information dans le cadre d'inspections, injonctions de mise en conformité avec délai, et publication des manquements (« name and shame »). Pour les entités essentielles, les contrôles peuvent être initiés proactivement sans qu'un incident ne soit préalablement survenu.

La mise en conformité NIS2 est un projet d'entreprise qui s'étale sur plusieurs mois. Voici un plan en 5 étapes, fondé sur les recommandations de l'ANSSI et les retours d'expérience de premières démarches de conformité.