En bref
NIS 2 concerne les entités « essentielles » et « importantes » de dix-huit secteurs, au-delà de seuils de taille, la transposition nationale précisant les cas particuliers. Pour commencer utilement : établissez d’abord qui est responsable au niveau de la direction, puis votre capacité réelle à détecter et notifier un incident dans les délais, puis la maîtrise de votre chaîne de fournisseurs. Ces trois chantiers concentrent l’effort et sont ceux sur lesquels les organisations sont souvent prises au dépourvu.
Êtes-vous concerné ?
La directive distingue deux catégories, aux obligations proches mais aux régimes de contrôle différents : les entités essentielles, soumises à une supervision active, et les entités importantes, contrôlées a posteriori. Le classement dépend du secteur d’activité et de la taille.
Les secteurs couverts dépassent largement les infrastructures critiques historiques : énergie, transports, banque, santé, eau, infrastructures numériques, administration publique, mais aussi fournisseurs de services numériques, gestion des services informatiques, fabrication de certains produits, agroalimentaire, déchets, poste et espace.
Au 10 novembre 2026, la loi française de transposition n’est ni définitivement adoptée ni promulguée : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, est examiné en première lecture à l’Assemblée nationale du 9 au 13 novembre 2026 (source : assemblee-nationale.fr). Les seuils et les cas particuliers sont ceux que ce texte fixera : vérifiez-les sur legifrance.gouv.fr et cyber.gouv.fr avant de conclure.
Deux points à retenir. Un : même non assujetti, vous pouvez être tenu par vos obligations contractuelles, car vos clients assujettis doivent maîtriser leur chaîne de fournisseurs : ils vous transmettront les exigences. Deux : la plupart des mesures demandées réduisent le risque, assujetti ou non.
Les cinq chantiers qui coincent
- La gouvernance. NIS 2 engage la responsabilité des organes de direction, qui doivent être formés et valider la gestion des risques. Ce n’est plus un sujet délégué à l’informatique.
- La notification d’incident. Une alerte précoce est attendue très rapidement après la prise de conscience d’un incident significatif, suivie d’un rapport plus complet. Sans détection et sans procédure, le délai est impossible à tenir.
- La chaîne d’approvisionnement. Il faut évaluer ses fournisseurs critiques, pas seulement leur faire signer une clause. La plupart des organisations ne savent pas dire lesquels sont critiques.
- La gestion des vulnérabilités. Un cycle documenté : détection, qualification, correction, vérification, avec des délais tenus et des preuves.
- La continuité d’activité. Sauvegardes testées, plan de reprise éprouvé par exercice, et non un document jamais ouvert.
L’ordre qui évite le classeur inutile
- 1Désignez un responsable et faites valider le sujet par la direction, par écrit. Sans cela, tout le reste s’arrête au premier conflit de priorité.
- 2Faites une analyse d’écarts honnête, qui distingue ce qui est appliqué de ce qui est seulement documenté. C’est inconfortable et c’est ce qui rend le plan crédible.
- 3Traitez la détection et la notification avant la documentation. Un délai réglementaire ne se tient pas avec une procédure : il se tient avec des journaux, des alertes et une astreinte.
- 4Cartographiez vos fournisseurs critiques : ceux dont l’indisponibilité ou la compromission vous arrête. La liste est souvent plus courte que redouté, et rarement celle qu’on imaginait.
- 5Industrialisez la gestion des vulnérabilités : inventaire, source d’information, délais par niveau de gravité, preuve de correction.
- 6Écrivez les politiques en dernier. Une politique qui décrit une pratique existante tient ; une politique écrite d’avance crée un écart que l’auditeur trouvera.
Ce que la conformité ne règle pas
Une organisation peut cocher la totalité des exigences et rester vulnérable : les mesures sont décrites en objectifs, pas en configurations. Rien n’y dit que votre délégation Active Directory permet à un compte de service d’atteindre l’administration du domaine.
D’où l’intérêt de faire entrer la mesure technique dans la démarche : un test d’intrusion et un audit de configuration donnent à la fois des preuves pour le dossier et une liste de correctifs qui réduisent le risque. Les deux chantiers s’alimentent, au lieu d’être menés en parallèle par des équipes qui ne se parlent pas.
Que prévoit exactement l’article 23 sur la notification ?
L’article 23 de la directive (UE) 2022/2555 : définition vise les incidents importants. Il prévoit trois temps : une alerte précoce sans retard injustifié et, en tout cas, dans les 24 heures après avoir eu connaissance de l’incident ; une notification d’incident dans les 72 heures ; un rapport final au plus tard un mois après cette notification. Un rapport intermédiaire peut en outre être demandé par l’autorité.
Chaque étape a un contenu propre. L’alerte précoce indique notamment si l’on soupçonne un acte illicite ou malveillant et si l’incident peut avoir un impact transfrontière. La notification actualise l’alerte et donne une première évaluation de la gravité, de l’impact et, quand ils sont connus, des indicateurs de compromission. Le rapport final décrit l’incident, la cause probable, les mesures d’atténuation appliquées et en cours, et l’impact transfrontière éventuel.
Le point que l’on sous-estime : le délai court à partir du moment où vous avez connaissance de l’incident, pas à partir de la fin de l’analyse. Il faut donc pouvoir qualifier vite, ce qui suppose des journaux exploitables, une astreinte et une personne désignée pour décider de notifier.
Que demande l’article 21, mesure par mesure ?
L’article 21 impose des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, fondées sur une approche tous risques. Sa liste minimale couvre dix familles :
- l’analyse des risques et les politiques de sécurité des systèmes d’information ;
- la gestion des incidents ;
- la continuité des activités, dont la gestion des sauvegardes, la reprise après sinistre et la gestion de crise ;
- la sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs directs ;
- la sécurité de l’acquisition, du développement et de la maintenance des systèmes, avec le traitement et la divulgation des vulnérabilités ;
- des politiques et procédures pour évaluer l’efficacité des mesures ;
- la cyberhygiène de base et la formation ;
- la cryptographie et, le cas échéant, le chiffrement ;
- la sécurité des ressources humaines, le contrôle d’accès et la gestion des actifs ;
- l’authentification multifacteur ou continue et les communications sécurisées, le cas échéant.
Où se situe la responsabilité de la direction ?
L’article 20 demande aux organes de direction d’approuver les mesures de gestion des risques prévues à l’article 21 et d’en superviser la mise en œuvre. Ils peuvent être tenus responsables des manquements, et leurs membres doivent suivre des formations pour évaluer les risques et les pratiques de l’entité.
La mesure sur l’évaluation de l’efficacité est celle que l’on oublie : un test d’intrusion ou un audit de configuration en est une manière directe de produire la preuve. Le texte de transposition français précise le cadre national, notamment la supervision et les sanctions : vérifiez son statut et sa version applicable sur legifrance.gouv.fr et cyber.gouv.fr plutôt que de vous fier à un résumé.
À retenir
- 1Même non assujetti, vous recevrez les exigences par vos clients assujettis.
- 2Gouvernance, notification d’incident et chaîne de fournisseurs concentrent l’effort.
- 3Traitez la détection avant la documentation : un délai de notification ne se tient pas sur le papier.
- 4Écrivez les politiques en dernier, pour qu’elles décrivent une pratique réelle.
Sources citées
- Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive), Parlement européen et Conseil de l’Union européenne (EUR-Lex)
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dossier législatif (première lecture à l’Assemblée nationale), Assemblée nationale
- SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile, NIST