La directive (UE) 2022/2555, dite NIS2, élargit considérablement le nombre d'organisations soumises à des obligations de cybersécurité : gestion des risques, notification des incidents, responsabilité des dirigeants. En France, l'ANSSI est l'autorité nationale compétente.
Votre statut dépend de votre secteur d'activité et de votre taille. Les obligations de sécurité sont similaires ; ce sont surtout le régime de supervision et le niveau des sanctions qui diffèrent.
Grandes entreprises (250 salariés et plus, ou CA > 50 M€ et bilan > 43 M€) des secteurs hautement critiques, ainsi que certaines entités désignées quelle que soit leur taille (fournisseurs DNS, registres de noms de domaine, prestataires de services de confiance qualifiés…).
Entreprises de taille moyenne (50 salariés et plus, ou CA et bilan > 10 M€) des secteurs hautement critiques, et entreprises moyennes et grandes des autres secteurs critiques.
NIS2 impose une approche « tous risques » : des mesures techniques, opérationnelles et organisationnelles proportionnées, couvrant au minimum les domaines suivants.
Politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information.
Détection, traitement, réponse et retour d'expérience sur les incidents.
Gestion des sauvegardes, reprise après sinistre et gestion de crise.
Maîtrise des risques liés aux fournisseurs et prestataires directs.
Sécurité des réseaux et SI dès l'acquisition, y compris gestion et divulgation des vulnérabilités.
Politiques et procédures pour évaluer l'efficacité des mesures de gestion des risques.
Pratiques de base en matière de cyberhygiène et formation à la cybersécurité.
Politiques d'utilisation de la cryptographie et, le cas échéant, du chiffrement.
Sécurité des ressources humaines, politiques de contrôle d'accès et gestion des actifs.
Authentification multifacteur, communications sécurisées et systèmes de communication d'urgence.
Lues telles quelles, les exigences de l'article 21 restent abstraites. Traduites dans une entreprise de deux cents personnes, elles désignent presque toujours les mêmes chantiers : ceux que l'on remettait à plus tard parce que rien ne les rendait obligatoires.
Pas seulement sur la messagerie : les accès distants, les comptes d'administration, les applications métier exposées et les comptes des prestataires. C'est la mesure qui ferme le plus grand nombre de chemins d'attaque pour le plus faible coût.
La continuité d'activité se démontre par un test, pas par une sauvegarde qui tourne. Copies hors ligne ou immuables, délai de remise en service mesuré, et un compte rendu de restauration daté à présenter.
La chaîne d'approvisionnement entre dans votre périmètre. Il faut recenser les prestataires qui accèdent à vos systèmes ou à vos données, inscrire des exigences dans les contrats, et pouvoir dire ce que vaut leur sécurité.
Avec 24 heures pour l'alerte précoce, on ne peut pas improviser. Qui qualifie, qui décide, qui notifie, avec quel modèle de message : tout cela s'écrit à froid, puis s'éprouve par un exercice.
Détecter un incident et le décrire sous 72 heures suppose de conserver des traces, assez longtemps et au bon endroit. Beaucoup d'entreprises découvrent après coup que leurs journaux étaient écrasés au bout de quelques jours.
L'article 20 fait de la gouvernance une obligation nominative : les dirigeants approuvent les mesures, en supervisent la mise en œuvre et suivent une formation. Cela se traduit par des revues inscrites à l'ordre du jour, et par des décisions tracées.
Le point 6 de l'article 21 est celui qu'on oublie : évaluer l'efficacité des mesures. Avoir déployé un pare-feu ne prouve rien ; avoir vérifié qu'il tient, si. C'est ce que démontrent un audit d'infrastructure annuel et un test d'intrusion documenté, et c'est aussi ce qu'attendent l'ISO 27001 et l'article 32 du RGPD. Une seule démarche, trois obligations servies.
Tout incident ayant un impact important sur la fourniture de vos services doit être signalé à l'autorité selon un calendrier strict. Être prêt avant l'incident est indispensable.
Signalement initial, en indiquant si l'incident pourrait résulter d'un acte malveillant ou avoir un impact transfrontière.
Mise à jour de l'alerte avec une première évaluation : gravité, impact et indicateurs de compromission.
Description détaillée, cause probable, mesures d'atténuation appliquées et, le cas échéant, impact transfrontière.
Analyse de vos activités, de votre taille et de votre groupe pour déterminer votre statut et préparer votre enregistrement auprès de l'ANSSI.
Évaluation de votre niveau de sécurité au regard des mesures de l'article 21 et du référentiel de l'autorité.
Plan de mise en conformité priorisé selon vos risques, vos échéances et vos ressources.
Organisation de la gouvernance cyber et formation des organes de direction, désormais obligatoire.
Processus de détection, de qualification et de notification, exercices de gestion de crise.
Cartographie des tiers critiques, exigences contractuelles et évaluation de leur niveau de sécurité.
Responsabilité des dirigeants (article 20). Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation. Ils peuvent être tenus responsables en cas de manquement.
Transposition en droit français. Les modalités précises (périmètre national, référentiel de l'ANSSI, calendrier d'application) sont fixées par la loi de transposition et ses textes d'application. Nous assurons une veille continue pour adapter nos recommandations.
Attendre la stabilisation complète des textes d'application est tentant, mais les mesures de fond ne changeront pas : elles reprennent l'état de l'art. Les quatre premières étapes se mènent sans dépendre d'un décret, et elles conditionnent tout le reste.
Secteur, taille, appartenance à un groupe : entité essentielle, entité importante, ou hors périmètre. La réponse change le régime de supervision et le niveau de sanction, et conditionne votre enregistrement auprès de l'ANSSI.
Une analyse d'écarts sur les dix mesures de l'article 21, appuyée sur un état des lieux technique. L'objectif n'est pas une note, mais une liste de chantiers chiffrés, classés par risque réel et par effort.
Authentification forte, sauvegardes testées, correctifs, cloisonnement du réseau, journalisation. Ce sont les mesures qui réduisent le plus le risque, et aucune ne dépend du détail de la transposition.
Procédure écrite, interlocuteurs désignés, modèles de message, exercice de crise. C'est le seul chantier qui ne se rattrape pas dans l'urgence : le compteur des 24 heures démarre sans vous prévenir.
Indirectement, oui. Les entités soumises à NIS2 doivent maîtriser la sécurité de leur chaîne d'approvisionnement : elles vous demanderont des garanties, des clauses contractuelles et parfois des audits. Anticiper ces exigences devient un avantage commercial.
NIS2 remplace la distinction OSE / FSN par les catégories « entités essentielles » et « entités importantes », élargit fortement le nombre de secteurs et d'organisations concernés, harmonise les obligations de notification, renforce les sanctions et engage directement la responsabilité des dirigeants.
Elle constitue une excellente base, car elle couvre une grande partie des mesures de l'article 21. Mais elle ne suffit pas à elle seule : le périmètre certifié doit couvrir les activités concernées, et les obligations spécifiques (enregistrement, notification des incidents, formation des dirigeants) doivent être traitées.
Par la qualification de votre statut, puis une analyse d'écarts. Ces deux étapes permettent de dimensionner l'effort réel et de prioriser les chantiers à fort impact : gouvernance, gestion des incidents, sauvegardes, authentification forte, gestion des fournisseurs.
Comptez de six à dix-huit mois selon votre point de départ et la taille de votre système d'information. La qualification et l'analyse d'écarts tiennent en quelques semaines ; ce sont ensuite les chantiers techniques et contractuels qui prennent du temps, en particulier la mise en conformité des fournisseurs, qui dépend de leur propre calendrier. Une entreprise déjà structurée, ou certifiée ISO 27001, se situe dans la fourchette basse.
Au-delà des amendes — jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 M€ ou 1,4 % pour une entité importante — la directive prévoit des mesures d'injonction, des audits imposés, et la possibilité de suspendre temporairement une certification ou une autorisation. S'y ajoute la responsabilité des dirigeants prévue à l'article 20. Dans les faits, le risque qui se matérialise le plus vite est commercial : un client régulé qui vous écarte parce que vous ne savez pas répondre à ses questions.
Non. L'obligation pèse sur l'entité régulée, pas sur son prestataire : vous restez responsable des mesures, même mises en œuvre par un tiers. En pratique, cela veut dire inscrire les exigences dans le contrat, obtenir des preuves plutôt que des assurances verbales, et garder chez vous la capacité de décider en cas d'incident. C'est précisément le rôle d'un RSSI externalisé lorsqu'il n'y a personne en interne pour le tenir.
La qualification s'apprécie entité par entité, selon l'activité exercée et les seuils de taille, en tenant compte des liens de participation au sein du groupe. Une filiale française peut donc être concernée alors que sa maison mère ne l'est pas, ou l'inverse. Les entités établies dans plusieurs États membres relèvent en principe de chacun des États où elles opèrent, avec des règles particulières pour certains fournisseurs numériques. C'est le premier point que nous tranchons, par écrit, avant toute autre chose.
Qualification du statut et analyse d'écarts pour savoir précisément où vous en êtes.
