Conformité
NIS 2
Aussi appeléNIS2Directive NIS 2Directive (UE) 2022/2555
En résumé
La directive européenne (UE) 2022/2555 sur la cybersécurité, qui impose aux entités « essentielles » et « importantes » de nombreux secteurs des mesures de gestion des risques, une responsabilité de la direction et une notification rapide des incidents importants.
NIS 2, en détail
NIS 2 remplace la première directive NIS de 2016 et élargit fortement son champ : énergie, transports, banque, santé, eau, infrastructures numériques, administration publique, mais aussi gestion des services informatiques, fabrication de certains produits ou agroalimentaire. Une directive doit être transposée en droit national : ce sont les textes nationaux qui précisent le périmètre exact, la supervision et les sanctions. Pour la France, au 10 novembre 2026, la loi française de transposition n’est ni définitivement adoptée ni promulguée : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, est examiné en première lecture à l’Assemblée nationale du 9 au 13 novembre 2026 (source : assemblee-nationale.fr). Vérifiez la version applicable du texte (legifrance.gouv.fr, cyber.gouv.fr pour les attentes de l’ANSSI) plutôt que de vous fier à un résumé.
Son article 21 liste des familles de mesures minimales : analyse des risques, gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement, gestion des vulnérabilités, cryptographie, contrôle d’accès, authentification multifacteur : définition, formation. Son article 23 prévoit une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le mois pour les incidents importants. Son article 20 engage la responsabilité des organes de direction, qui doivent approuver les mesures et se former.
Qu’est-ce que cela change pour vous ?
Même non assujetti, vous pouvez recevoir les exigences de NIS 2 par vos clients, qui doivent maîtriser leur chaîne de fournisseurs. Le délai de notification se tient avec des journaux et une astreinte, pas avec un document.
La confusion fréquente
Croire que la conformité à NIS 2 prouve la résistance technique. La directive décrit des objectifs de gestion, pas des configurations : une organisation peut cocher chaque exigence et rester vulnérable.
Qui peut vous accompagner ?
- Conformité NIS 2 : la prestationFaire d’une obligation réglementaire une sécurité que vous pouvez démontrer.
- Supervision & SOC : la prestationUne attaque que personne ne voit dure plus longtemps et coûte plus cher.
Aller plus loin
- ArticleNIS 2 : qui est concerné, et par où commencer sans tout bureaucratiserLes critères d’assujettissement, les cinq chantiers qui bloquent souvent, et l’ordre dans lequel les traiter pour que la conformité produise de la sécurité réelle.
- ArticleQue faire en cas de cyberattaque ou de rançongiciel : la première heureLes gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
- ComparatifNIS 2 ou ISO 27001 : quelle démarche pour quelle situation ?NIS 2 est une obligation légale, ISO 27001 une norme certifiable : l’une ne remplace pas l’autre. Ce que chacune exige, ce qui se recoupe, le coût d’une analyse d’écarts et par où commencer.
- OutilDiagnostic de maturité NIS 212 questions, un score et un ordre de priorité. Le calcul reste dans votre navigateur.
Termes liés
- ConformitéISO 27001 : définitionLa norme internationale qui définit les exigences d’un système de management de la sécurité de l’information (SMSI) : analyse des risques, mesures choisies et documentées, revue de direction et amélioration continue.
- ConformitéDORA : définitionLe règlement européen (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025.
- AttaqueChaîne d’approvisionnement logicielle : définitionL’attaque qui vise un composant, un outil ou un fournisseur dont dépend un logiciel, plutôt que le logiciel lui-même.
- DéfenseSIEM et SOC : définitionLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début