La directive NIS 2 (UE 2022/2555), adoptée le 14 décembre 2022, renforce les exigences de cybersécurité pour les entreprises et administrations européennes. Elle impose des mesures de gestion des risques, la sécurisation des systèmes d’information et la déclaration des incidents sous 24 heures. En France, sa transposition est en cours au 22 octobre 2026, avec un accompagnement par l’ANSSI via le Référentiel Cyber France (ReCyF).
Qu’est-ce que la directive NIS 2 et qui est concerné ?
La directive NIS 2 (Network and Information Security 2) est un texte européen qui vise à améliorer la résilience des organisations face aux cybermenaces. Elle s’applique aux entités essentielles et entités importantes, selon leur taille et leur secteur d’activité. Les entités essentielles sont soumises à des obligations plus strictes en raison de leur criticité pour la société et l’économie.
Les organisations concernées doivent être établies dans l’Union européenne ou fournir des services sur son territoire. La directive cible notamment les grandes entreprises, mais aussi certaines PME et administrations, en fonction de leur rôle dans des secteurs critiques. Les dirigeants sont directement responsables de la supervision des mesures de cybersécurité mises en place.
Quelles sont les obligations imposées par NIS 2 ?
NIS 2 impose un ensemble de mesures pour renforcer la cybersécurité des organisations concernées. Ces obligations incluent :
- La mise en place de politiques de gestion des risques pour identifier et atténuer les cybermenaces.
- La sécurisation des systèmes d’information, notamment via des protocoles de chiffrement et des mises à jour régulières.
- La formation des collaborateurs aux bonnes pratiques de cybersécurité, pour réduire les risques liés aux erreurs humaines.
- La déclaration des incidents significatifs sous 24 heures.
- La garantie de la continuité d’activité en cas de cyberattaque, avec des plans de reprise adaptés.
Les organisations doivent également réaliser des audits réguliers pour évaluer l’efficacité de leurs mesures et les ajuster si nécessaire.
Quels sont les secteurs d’activité visés par NIS 2 ?
NIS 2 couvre 18 secteurs d’activité, répartis en deux catégories : les secteurs hautement critiques et les secteurs critiques. Parmi les secteurs concernés figurent :
- La santé (hôpitaux, laboratoires, fabricants de dispositifs médicaux).
- L’énergie (électricité, gaz, pétrole).
- Les transports (aérien, ferroviaire, maritime, routier).
- Les infrastructures numériques (fournisseurs de services cloud, centres de données).
- Les administrations publiques (services gouvernementaux, collectivités territoriales).
- Certaines industries (chimie, fabrication de produits pharmaceutiques, production alimentaire).
Les organismes de formation et les centres de formation d’apprentis (CFA) ne sont pas directement visés, sauf s’ils interviennent dans des secteurs critiques comme la santé ou l’énergie. Cependant, une vigilance accrue est recommandée pour les structures manipulant des données sensibles.
Quelles sanctions en cas de non-respect de NIS 2 ?
Les sanctions prévues par NIS 2 sont dissuasives et varient selon la catégorie de l’entité concernée. Pour les entités essentielles, les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu. Les entités importantes encourent des sanctions financières.
En plus des amendes, les dirigeants peuvent être tenus personnellement responsables en cas de manquement grave à leurs obligations de supervision. Les autorités nationales, comme l’ANSSI en France, sont chargées de contrôler le respect de la directive et d’appliquer les sanctions le cas échéant.
Où en est la transposition de NIS 2 en France ?
La transposition de NIS 2 en droit français est en cours au 22 octobre 2026. L’ANSSI (Agence nationale de la sécurité des systèmes d’information) accompagne les organisations dans leur préparation, notamment via le Référentiel Cyber France (ReCyF), qui propose des bonnes pratiques pour se conformer aux exigences de la directive.
Les textes de transposition devraient préciser les modalités d’application de NIS 2 en France, notamment les critères de désignation des entités concernées et les procédures de déclaration des incidents. Les organisations sont invitées à suivre les publications de l’ANSSI et à anticiper les mesures nécessaires pour se mettre en conformité avant l’entrée en vigueur des obligations.
Comment la certification ISO 27001 facilite-t-elle la conformité à NIS 2 ?
La certification ISO 27001, qui encadre le système de management de la sécurité de l’information (SMSI), constitue un levier pour répondre à une partie des exigences de NIS 2. Elle permet notamment de structurer la gestion des risques, de sécuriser les systèmes d’information et de documenter les processus de cybersécurité.
Cependant, ISO 27001 ne couvre pas l’intégralité des obligations de NIS 2, comme la déclaration des incidents sous 24 heures ou la supervision directe par les dirigeants. Les organisations certifiées doivent donc compléter leur démarche par des mesures spécifiques à la directive. Pour les entreprises souhaitant renforcer leur cybersécurité, un devis pour une certification ISO 27001 peut être une première étape.
Questions fréquentes
Quelle est la différence entre NIS 2 et la première directive NIS ?
NIS 2 élargit le périmètre des organisations concernées et renforce les obligations en matière de cybersécurité. Contrairement à la première directive NIS, elle inclut davantage de secteurs et impose des sanctions plus lourdes en cas de non-respect. Les entités essentielles et importantes sont désormais clairement distinguées, avec des exigences adaptées à leur niveau de criticité.
Les organismes de formation sont-ils concernés par NIS 2 ?
Les organismes de formation ne sont pas directement visés par NIS 2, sauf s’ils interviennent dans des secteurs critiques comme la santé ou l’énergie. Cependant, ceux qui manipulent des données sensibles ou travaillent avec des entités concernées doivent adopter une approche proactive en matière de cybersécurité pour limiter les risques.
Quels sont les délais pour se mettre en conformité avec NIS 2 ?
Les délais de transposition de NIS 2 en droit national varient selon les États membres. En France, les organisations concernées doivent se préparer dès maintenant, car les obligations entreront en vigueur dès la publication des textes de transposition. Une anticipation permet d’éviter les sanctions et de garantir une transition fluide.
La certification ISO 27001 suffit-elle pour être conforme à NIS 2 ?
ISO 27001 couvre une partie des exigences de NIS 2, notamment en matière de gestion des risques et de sécurisation des systèmes d’information. Cependant, elle ne répond pas à toutes les obligations, comme la déclaration des incidents sous 24 heures ou la supervision directe par les dirigeants. Une approche complémentaire est donc nécessaire pour une conformité totale.
