Si vous suivez l’actualité cybersécurité depuis quelques mois, vous avez forcément croisé l’acronyme NIS2. Présentée tantôt comme une contrainte administrative de plus, tantôt comme une révolution dans la gestion des risques numériques, cette directive européenne mérite qu’on prenne le temps de comprendre ce qu’elle change réellement, et surtout si votre entreprise en fait partie. La réponse surprend souvent : NIS2 ne concerne plus seulement les grands groupes ou les infrastructures critiques, mais potentiellement des milliers de PME et ETI françaises qui ne s’y attendaient pas.
NIS2 en quelques mots
NIS2 désigne la directive européenne (UE) 2022/2555, publiée au Journal officiel de l’Union européenne en décembre 2022, qui vise à renforcer la cybersécurité des entreprises et organisations au sein de l’Union européenne. Elle remplace la première directive NIS de 2016, dont le périmètre était jugé trop restreint et les obligations trop disparates d’un pays à l’autre. La directive NIS2 est d’application obligatoire au niveau de l’Union européenne depuis 2023, et chaque État membre devait la transposer dans son droit national avant le 17 octobre 2024.
Contrairement à un référentiel technique volontaire comme l’ISO 27001, NIS2 constitue un cadre juridique contraignant qui impose aux entités concernées un régime de gestion des risques cyber, une gouvernance impliquant directement les dirigeants, ainsi qu’une obligation de notification des incidents et un régime de sanctions inspiré du RGPD. C’est cette dimension contraignante, assortie de sanctions financières significatives, qui change la donne par rapport aux démarches de cybersécurité jusque-là largement volontaires.
Qui est concerné : un périmètre bien plus large qu’avant
C’est probablement le point le plus mal compris de la directive. Sous l’ancienne NIS1, seules quelques centaines d’opérateurs jugés stratégiques (énergie, transport, santé…) étaient soumis à des obligations de cybersécurité renforcées. Avec NIS2, le changement d’échelle est considérable : le nombre d’entités concernées en France passe d’environ 500 sous NIS1 à une fourchette comprise entre 10 000 et 15 000 organisations, certaines sources évoquant même jusqu’à 18 000 entités selon les estimations.
La directive couvre désormais dix-huit secteurs d’activité, répartis en deux catégories qui déterminent le niveau d’obligations et de contrôle applicable :
Les entités essentielles relèvent de secteurs hautement critiques comme l’énergie, la santé, les transports, l’eau, les infrastructures numériques ou le secteur bancaire. Elles sont concernées dès lors qu’elles dépassent 250 employés, ou 50 millions d’euros de chiffre d’affaires, ou 43 millions d’euros de bilan annuel.
Les entités importantes couvrent des secteurs un peu moins critiques mais tout aussi exposés, comme la chimie, l’agroalimentaire, la fabrication industrielle ou les services postaux. Elles entrent dans le périmètre à partir de 50 employés, ou entre 10 et 50 millions d’euros de chiffre d’affaires, ou entre 10 et 43 millions d’euros de bilan.
Un point mérite une attention particulière, car il change la donne pour de nombreuses petites structures : certaines catégories d’entités sont concernées indépendamment de leur taille. C’est notamment le cas des fournisseurs de réseaux de communications électroniques publics, des prestataires de services de confiance et des administrations publiques. De la même manière, toute entité qui constitue l’unique fournisseur d’un service essentiel en France devra se conformer à la réglementation, quelle que soit sa taille. Une petite entreprise peut donc parfaitement entrer dans le périmètre NIS2 sans jamais avoir anticipé cette situation, simplement parce qu’elle occupe une position critique dans une chaîne d’approvisionnement.
Vous n’êtes pas certain de savoir où se situe votre entreprise dans ce périmètre ? Échangez avec nos experts pour clarifier votre situation au regard de NIS2.
Où en est la transposition en France
Voici un point sur lequel beaucoup d’entreprises se trompent encore : contrairement à ce qu’on pourrait croire, la France n’a pas encore totalement finalisé la transposition de NIS2 dans son droit national, alors que l’échéance européenne était fixée à octobre 2024. Seules la Belgique, la Croatie, l’Italie et la Lituanie ont respecté ce délai initial, et la France figure, avec quatre autres pays, parmi les États encore en procédure législative au printemps 2026.
Concrètement, la transposition française passe par un texte unique baptisé « projet de loi Résilience », qui combine NIS2 avec la directive REC sur la résilience des entités critiques et le règlement DORA. Ce texte a connu un parcours législatif long : adopté en première lecture au Sénat en mars 2025, examiné en commission spéciale à l’Assemblée nationale le 10 septembre 2025, son adoption définitive est désormais attendue lors d’une session extraordinaire en juillet 2026, avec des décrets d’application de l’ANSSI attendus au deuxième trimestre 2026.
Ce retard ne signifie absolument pas qu’il faut attendre pour agir. L’ANSSI (Agence nationale de la sécurité des systèmes d’information), désignée comme autorité compétente pour piloter NIS2 en France, a publié le Référentiel Cyber France (ReCyF) le 17 mars 2026, qui liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS2. Ce référentiel, diffusé à ce stade comme document de travail, reste par défaut non obligatoire, mais permettra aux futurs assujettis qui décident de l’appliquer de s’en prévaloir en cas de contrôle de l’ANSSI. Le directeur général de l’ANSSI a d’ailleurs été explicite sur ce point : il ne faut pas attendre la transposition définitive pour se mettre en mouvement.
Ce que NIS2 va concrètement exiger des entreprises
Une fois la loi définitivement promulguée, les entités identifiées comme essentielles ou importantes devront répondre à plusieurs obligations structurantes.
La première concerne l’enregistrement officiel auprès de l’ANSSI, via la plateforme dédiée MonEspaceNIS2, actuellement ouverte au pré-enregistrement volontaire. Les entités qui s’y inscrivent dès maintenant bénéficient d’un avantage opérationnel : elles reçoivent des guidances personnalisées et positionnent favorablement leur démarche vis-à-vis de l’autorité de contrôle.
La deuxième porte sur la gestion des risques cyber au sens large : analyse de risques, politique de sécurité des systèmes d’information, gestion des vulnérabilités, plan de continuité d’activité, et procédures de notification rapide en cas d’incident majeur. Ces fondamentaux sont déjà connus et stables, indépendamment des derniers arbitrages parlementaires sur le texte définitif.
La troisième, et c’est sans doute la plus structurante pour les organisations concernées, touche à la gouvernance et à la responsabilité des dirigeants. Contrairement aux cadres précédents, la directive engage explicitement la responsabilité des personnes physiques à la tête des entités concernées : un DSI ou un dirigeant qui ne peut pas démontrer qu’il a pris les mesures nécessaires peut être tenu personnellement responsable, avec des conséquences qui dépassent le simple cadre de l’entreprise. La cybersécurité devient donc un sujet de conseil d’administration, et plus seulement un sujet technique relégué à la DSI.
Enfin, en matière de sanctions, les montants sont alignés sur la logique du RGPD : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total pour les entités essentielles, et 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial total pour les entités importantes, le montant le plus élevé étant systématiquement retenu. Pour un DSI ou un dirigeant, l’enjeu réel dépasse souvent le montant de l’amende : il s’agit avant tout de pouvoir démontrer sa conformité si l’ANSSI se présente, avec ou sans incident préalable.
Pourquoi il ne faut pas attendre la loi définitive pour se préparer
Le flou juridique autour du calendrier français pousse naturellement certaines entreprises à temporiser, en attendant d’avoir une version définitive et stabilisée du texte. C’est pourtant le calcul le plus risqué. D’une part, le risque cyber opérationnel ne dépend en rien du calendrier réglementaire : une cyberattaque peut survenir demain, que la loi soit votée ou non. D’autre part, une grande partie du travail de mise en conformité recoupe des obligations déjà existantes par ailleurs, notamment au titre du RGPD, ce qui permet de s’appuyer sur un socle déjà construit plutôt que de tout reprendre à zéro.
Concrètement, les entreprises ont tout intérêt à cartographier dès maintenant leur niveau d’assujettissement probable, à documenter leur gouvernance cyber, et à amorcer la formation de leurs dirigeants aux nouvelles obligations de responsabilité. Atteindre une conformité solide demande généralement plusieurs mois, parfois plus d’un an selon la maturité de départ : commencer la démarche dès aujourd’hui, plutôt que d’attendre la promulgation définitive de la loi Résilience, reste la seule approche raisonnable.
A retenir
NIS2 marque un changement d’échelle profond dans la régulation de la cybersécurité européenne, avec un périmètre qui passe de quelques centaines à plusieurs milliers d’entités françaises concernées. Si la transposition française reste, à ce stade, inachevée, les fondamentaux de la directive sont connus et stables, et l’ANSSI encourage explicitement les organisations à s’y préparer sans attendre le vote définitif de la loi Résilience. Mieux vaut structurer sa démarche de conformité dès maintenant que de découvrir, sous la pression d’un contrôle ou d’un incident, qu’on était concerné sans l’avoir anticipé.
Vous vous demandez si votre entreprise entre dans le périmètre NIS2, et quelles actions prioriser en attendant la transposition définitive ? Demandez un diagnostic personnalisé auprès de nos équipes.
