La directive (UE) 2022/2555, dite NIS2, élargit fortement le nombre d'organisations soumises à des obligations de cybersécurité. En France, elle est transposée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui couvre aussi la directive REC et une partie de DORA.
État de la transposition en France
Le Sénat a adopté le texte en première lecture le 12 mars 2025. Au début du mois d'août 2026, la loi n'était pas encore promulguée d'après les sources consultées. Vérifiez l'état du texte sur Légifrance avant toute décision : les délais de mise en conformité courront à partir de la loi et de ses décrets d'application.
Attendre la promulgation est un mauvais calcul. Vos clients soumis à NIS2 doivent sécuriser leur chaîne d'approvisionnement (art. 21) et répercutent déjà ces exigences dans leurs contrats et questionnaires.
Êtes-vous concerné ?
Deux conditions cumulatives, sous réserve des adaptations nationales : exercer dans l'un des 18 secteurs listés aux annexes I et II de la directive, et atteindre au moins la taille d'une moyenne entreprise (50 salariés, ou plus de 10 M€ de chiffre d'affaires et de bilan). Certaines entités sont visées quelle que soit leur taille.
- Entités essentielles : secteurs hautement critiques et grandes entreprises. Contrôle a priori.
- Entités importantes : autres cas. Contrôle a posteriori, après un incident ou un signalement.
- Amendes maximales prévues par la directive : 10 M€ ou 2 % du CA mondial pour les essentielles, 7 M€ ou 1,4 % pour les importantes.
Ce que la directive exige
La direction est responsable (art. 20)
Les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et suivent une formation. La sécurité ne peut plus être entièrement déléguée à la DSI.
Les mesures de gestion des risques (art. 21)
- Politiques d’analyse des risques et de sécurité des systèmes d’information.
- Gestion des incidents.
- Continuité d’activité : sauvegardes, reprise, gestion de crise.
- Sécurité de la chaîne d’approvisionnement.
- Sécurité de l’acquisition, du développement et de la maintenance, dont la gestion des vulnérabilités.
- Évaluation de l’efficacité des mesures.
- Cyberhygiène et formation.
- Cryptographie et chiffrement.
- Sécurité des ressources humaines, contrôle d’accès et gestion des actifs.
- Authentification multifacteur et communications sécurisées.
La notification des incidents importants (art. 23)
- Alerte précoce dans les 24 heures après la prise de connaissance.
- Notification d'incident dans les 72 heures, avec une première évaluation.
- Rapport final au plus tard un mois après la notification.
Plan de préparation en quatre temps
- Qualifier votre statut : secteur, taille, entité essentielle ou importante.
- Mesurer l’écart avec les dix mesures de l’article 21 et prioriser selon le risque.
- Écrire et tester la procédure de notification 24 h / 72 h / 1 mois.
- Former la direction et formaliser ses décisions : c’est la première preuve demandée en cas de contrôle.
L'ANSSI, désignée autorité nationale compétente, publie ses ressources et son parcours d'identification des entités sur cyber.gouv.fr.
Questions fréquentes
Mon entreprise de 60 salariés est-elle concernée ?
Si elle exerce dans l'un des 18 secteurs des annexes de la directive, probablement. La taille seule ne suffit pas : c'est le croisement secteur et taille qui compte. Le parcours d'identification de l'ANSSI permet de vérifier.
Quelle est la date limite de mise en conformité ?
Elle dépendra de la loi française et de ses décrets. À la date de rédaction, la loi n'était pas promulguée selon les sources consultées. Consultez Légifrance et cyber.gouv.fr pour l'état à jour.
ISO 27001 suffit-il pour NIS2 ?
Une certification ISO 27001 couvre une grande partie des mesures de l'article 21, mais pas la notification aux autorités ni la responsabilité formelle de la direction. Un écart reste à traiter.
Sources
Cet article informe et ne constitue pas un avis juridique.