NIS 2: the complete guide for essential and important entities

Pendant des années, la cybersécurité réglementée a concerné un cercle restreint : opérateurs d’importance vitale, quelques centaines d’opérateurs de services essentiels désignés au titre de la première directive NIS, et le secteur financier. La directive (UE) 2022/2555, dite NIS 2, change d’échelle. Elle s’applique à des secteurs entiers, sur la base de critères de taille, et vise des milliers d’organisations dans chaque grand État membre : hôpitaux privés, fabricants de dispositifs médicaux, transporteurs, gestionnaires de déchets, entreprises agroalimentaires, prestataires informatiques.

Beaucoup de ces organisations découvrent la conformité NIS 2 sans équipe de sécurité dédiée. Ce dossier s’adresse à leurs directions. Il est construit autour des questions qu’elles posent réellement, dans l’ordre où elles les posent.

1. Où en est-on, en mars 2025 ?

La directive a été publiée au Journal officiel de l’Union européenne le 27 décembre 2022 et est entrée en vigueur le 16 janvier 2023. Les États membres avaient jusqu’au 17 octobre 2024 pour la transposer dans leur droit national, et ses dispositions s’appliquent depuis le 18 octobre 2024. Elle abroge la première directive NIS de 2016.

À l’échéance d’octobre 2024, une minorité d’États membres avait achevé la transposition. Fin novembre 2024, la Commission européenne a ouvert des procédures d’infraction en adressant des lettres de mise en demeure à vingt-trois États membres. Dans plusieurs grands pays, dont la France, les textes de transposition étaient encore en discussion au premier trimestre 2025.

Ce retard a nourri un attentisme compréhensible, mais trompeur. Les exigences de fond figurent dans la directive elle-même : les dix familles de mesures de l’article 21, les délais de notification de l’article 23, la responsabilité des dirigeants de l’article 20. Les lois nationales précisent qui contrôle, comment s’enregistrer et à quel rythme, mais elles ne peuvent pas abaisser ce socle. La Commission a en outre adopté, le 17 octobre 2024, le règlement d’exécution (UE) 2024/2690, directement applicable, qui détaille les exigences techniques pour les fournisseurs de services numériques et d’infrastructures numériques.

2. Mon organisation est-elle concernée ?

Trois critères se combinent : le secteur, la taille et, pour certains cas, la nature du service.

Le secteur. La directive énumère dix-huit secteurs répartis en deux annexes. L’annexe I regroupe les secteurs hautement critiques : énergie (électricité, réseaux de chaleur et de froid, pétrole, gaz, hydrogène), transports (aérien, ferroviaire, par eau, routier), banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC entre entreprises, administration publique et espace. L’annexe II couvre d’autres secteurs critiques : services postaux, gestion des déchets, chimie, production et distribution alimentaires, fabrication (dispositifs médicaux, produits informatiques et électroniques, équipements électriques, machines, véhicules, autres matériels de transport), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux) et recherche.

La taille. En règle générale, seules les entreprises moyennes et grandes au sens de la recommandation européenne 2003/361 sont visées : au moins 50 salariés, ou un chiffre d’affaires annuel et un total de bilan supérieurs à 10 millions d’euros. Les petites et microentreprises sont exclues, sauf exceptions.

Les exceptions. Certaines entités sont concernées quelle que soit leur taille : prestataires de services de confiance qualifiés, registres de noms de domaine de premier niveau, fournisseurs de services DNS, et, sur décision de l’État, une entité qui est le seul fournisseur d’un service essentiel ou dont la défaillance aurait un impact important.

Pour les groupes, l’appréciation de la taille tient compte des entreprises liées et partenaires, ce qui peut faire entrer dans le champ une filiale modeste d’un grand groupe. Pour les administrations, la directive impose d’inclure l’administration centrale ; l’extension aux niveaux régional et local relève de chaque État.

3. Essentielle ou importante : qu’est-ce que cela change ?

Les entités concernées sont réparties en deux catégories. Sont en principe essentielles les grandes entreprises des secteurs de l’annexe I, ainsi que certaines entités désignées quelle que soit leur taille (prestataires de confiance qualifiés, registres de domaines, fournisseurs DNS, administration centrale, entités désignées par l’État). Les autres entités relevant des annexes et du critère de taille sont importantes.

La différence tient donc moins aux obligations qu’à l’intensité du contrôle. Une entité importante peut ne jamais recevoir la visite de l’autorité ; si un incident survient, elle devra pourtant démontrer qu’elle appliquait les mêmes mesures qu’une entité essentielle.

4. Que faut-il faire concrètement ?

L’article 21 impose des mesures « appropriées et proportionnées » de gestion des risques, fondées sur une approche « tous risques », c’est-à-dire couvrant aussi les menaces physiques qui pèsent sur les systèmes d’information. Il énumère dix familles minimales :

1. Analyse des risques et politique de sécurité. Des politiques écrites, approuvées et revues, fondées sur une analyse des risques réelle.
2. Gestion des incidents. Détecter, qualifier, traiter et tirer les leçons.
3. Continuité et gestion de crise. Sauvegardes, reprise après sinistre, organisation de crise testée.
4. Sécurité de la chaîne d’approvisionnement. Exigences envers les fournisseurs et prestataires, en particulier informatiques.
5. Sécurité de l’acquisition, du développement et de la maintenance. Y compris le traitement et la divulgation des vulnérabilités.
6. Évaluation de l’efficacité. Des politiques et procédures pour vérifier que les mesures fonctionnent.
7. Hygiène informatique et formation. Les pratiques de base et la sensibilisation de tous.
8. Cryptographie. Des règles d’usage du chiffrement adaptées aux données et aux échanges.
9. Ressources humaines, contrôle d’accès et gestion des actifs. Savoir ce que l’on possède et qui y accède.
10. Authentification forte et communications sécurisées. Authentification multifacteur ou continue, communications vocales, vidéo et textuelles sécurisées, y compris en situation d’urgence.

Aucune de ces mesures n’est nouvelle pour un spécialiste ; elles recoupent largement les référentiels existants, à commencer par l’ISO/IEC 27001. Ce qui est nouveau, c’est leur caractère obligatoire et opposable, et l’exigence de pouvoir en démontrer l’application.

Le mot « proportionnées » mérite d’être pris au sérieux. La directive demande de tenir compte de l’exposition aux risques, de la taille de l’entité, de la probabilité et de la gravité des incidents. Une entreprise agroalimentaire de 80 salariés n’est pas tenue de bâtir le dispositif d’un opérateur d’énergie. Elle doit en revanche pouvoir expliquer pourquoi les mesures retenues sont suffisantes au regard de ses risques. C’est l’analyse de risques documentée qui rend cette explication possible.

NIS 2 ne demande pas d’être invulnérable. Elle demande de savoir expliquer ses choix, et de les avoir faits avant l’incident.

5. Comment signaler un incident ?

L’article 23 impose de notifier à l’autorité compétente ou au centre de réponse aux incidents (CSIRT) national tout incident « important », c’est-à-dire ayant causé ou susceptible de causer une perturbation grave des services ou des pertes financières pour l’entité, ou ayant affecté ou susceptible d’affecter d’autres personnes en causant des dommages considérables. Le règlement d’exécution 2024/2690 précise ces critères pour les fournisseurs numériques.

• Alerte précocedans les 24 heures après en avoir eu connaissance
• Notificationdans les 72 heures, avec une première évaluation
• Rapport intermédiaireà la demande de l’autorité
• Rapport finalau plus tard un mois après la notification

Vingt-quatre heures, c’est très court. Ce délai suppose qu’un incident soit détecté, remonté à la bonne personne et qualifié rapidement, y compris un samedi soir. Il suppose aussi que l’on sache, avant la crise, qui décide de notifier, qui rédige et par quel canal. L’alerte précoce n’exige pas une analyse complète : elle indique si l’incident semble résulter d’un acte malveillant et s’il pourrait avoir un impact transfrontière. Dans la pratique, le premier exercice de crise révèle presque toujours que cette chaîne n’existe pas.

Les entités doivent aussi, le cas échéant, informer sans retard injustifié les destinataires de leurs services des incidents importants susceptibles de les affecter, et des mesures qu’ils peuvent prendre. Ces obligations s’ajoutent à celles du RGPD lorsque des données personnelles sont en cause : une même fuite peut appeler une notification à l’autorité NIS 2 et une autre à l’autorité de protection des données, avec des délais et des contenus différents.

6. Quel est le rôle de la direction ?

C’est probablement la disposition la plus structurante. L’article 20 impose aux organes de direction d’approuver les mesures de gestion des risques, d’en superviser la mise en œuvre, et prévoit qu’ils peuvent être tenus responsables des manquements. Leurs membres doivent suivre une formation, et les États doivent encourager une formation régulière du personnel.

Pour les entités essentielles, la directive va plus loin : en cas de manquement persistant, l’autorité peut demander la suspension temporaire d’une certification ou d’une autorisation, voire l’interdiction temporaire pour un dirigeant d’exercer des fonctions de direction. La cybersécurité cesse d’être une question déléguée au service informatique.

Dans les faits, cela suppose trois choses. Un point régulier à l’ordre du jour de la direction, fondé sur des indicateurs compréhensibles par des non-spécialistes. Des décisions tracées : quel risque a été accepté, par qui, pour quelle raison. Et une formation qui porte sur les responsabilités et les arbitrages, pas sur les détails techniques.

7. Et les fournisseurs ?

La sécurité de la chaîne d’approvisionnement fait partie des dix mesures obligatoires. Une entité soumise à NIS 2 doit évaluer les vulnérabilités propres à chacun de ses fournisseurs directs et la qualité de leurs pratiques de sécurité. Les prestataires informatiques, les éditeurs de logiciels et les infogérants seront donc interrogés, audités et liés par des clauses contractuelles, qu’ils soient eux-mêmes soumis à la directive ou non.

Pour un fournisseur, c’est à la fois une contrainte et une occasion. Les entreprises capables de présenter un dossier de sécurité clair (politique, mesures, gestion des incidents, engagements de notification) se distingueront lors des appels d’offres. Celles qui ne le peuvent pas risquent d’être écartées par prudence.

Les organisations établies hors de l’Union européenne sont concernées de deux façons. Directement pour certains fournisseurs de services numériques et d’infrastructures numériques qui proposent leurs services dans l’Union : ils doivent désigner un représentant dans un État membre. Indirectement pour tous les autres, dès lors qu’ils fournissent une entité européenne soumise à la directive.

8. NIS 2, DORA, RGPD, ISO 27001 : comment s’y retrouver ?

Pour les entités financières, le règlement DORA, applicable depuis le 17 janvier 2025, est une loi spéciale : ses exigences de résilience opérationnelle numérique priment sur les dispositions équivalentes de NIS 2. Le RGPD continue de s’appliquer à tout traitement de données personnelles. Les normes, enfin, ne sont pas des obligations mais des outils : l’ISO/IEC 27001 fournit un système de management qui couvre une grande partie des mesures de l’article 21.

La bonne approche consiste à construire un seul dispositif de gestion des risques et à le relier à chaque texte, plutôt qu’à empiler des projets de conformité parallèles. Un tableau de correspondance entre les mesures internes et les exigences de chaque référentiel évite de multiplier les audits et les preuves.

9. Par où commencer ?

Le plan qui suit vaut pour une organisation qui part de peu. Il peut se mener en parallèle de l’attente de la loi nationale.

1. Qualifier sa situation. Secteurs d’activité, taille consolidée, filiales, activités exercées dans plusieurs États. Conclure par écrit : essentielle, importante ou hors champ, avec le raisonnement.
2. Préparer l’enregistrement. Les États devaient établir la liste des entités essentielles et importantes au plus tard le 17 avril 2025. Rassembler les informations demandées (dénomination, coordonnées, secteurs, États où des services sont fournis, plages d’adresses IP publiques pour certains fournisseurs numériques) permet de répondre vite dès que la procédure nationale est ouverte.
3. Nommer un responsable et informer la direction. Une personne qui pilote, un sponsor au comité de direction, une première session de formation des dirigeants.
4. Faire l’inventaire. Systèmes, données, sites, fournisseurs critiques. Sans inventaire, ni l’analyse de risques ni la sécurité de la chaîne d’approvisionnement ne sont possibles.
5. Mesurer l’écart. Comparer l’existant aux dix familles de mesures, en partant d’un référentiel reconnu, et prioriser les écarts selon le risque.
6. Mettre en place la chaîne de notification. Qui détecte, qui qualifie, qui décide, qui notifie, avec quels modèles de message. La tester par un exercice.
7. Traiter les mesures de base. Authentification multifacteur, sauvegardes hors ligne testées, mises à jour, comptes à privilèges : ce sont souvent les écarts les plus dangereux et les moins coûteux à combler.
8. Revoir les contrats fournisseurs. Clauses de sécurité, de notification d’incident, d’audit et de réversibilité, en commençant par les prestataires informatiques.
9. Installer la boucle de pilotage. Indicateurs, revue de direction, plan d’action mis à jour, preuves conservées.

La question des preuves mérite d’être anticipée. Lors d’un contrôle ou après un incident, l’autorité ne se contentera pas d’une politique bien rédigée : elle demandera ce qui a été décidé, par qui, quand, et ce qui a été fait ensuite. Les organisations qui conservent dès le départ un registre daté de leurs décisions et de leurs actions économisent beaucoup d’énergie au moment où elles en ont le moins.

Combien cela coûte

Aucune estimation générale ne vaut pour toutes les organisations : le coût dépend du point de départ bien plus que de la directive. Une organisation qui dispose déjà d’un système de management de la sécurité de l’information aura surtout à combler des écarts ciblés (notification, formation des dirigeants, chaîne d’approvisionnement). Une organisation qui part de peu devra financer des fondamentaux : inventaire, authentification multifacteur, sauvegardes hors ligne, supervision, gestion des comptes à privilèges, et souvent du temps de personnes compétentes, internes ou externes.

Deux erreurs de budget sont fréquentes. La première consiste à tout investir dans des outils de détection sophistiqués sans personne pour les exploiter. La seconde consiste à financer un projet de conformité ponctuel, sans prévoir le coût récurrent de la gestion des risques, des exercices, des audits et de la formation. NIS 2 décrit une capacité permanente, pas un livrable.

Ce que NIS 2 change vraiment

Au-delà des listes de mesures, la directive déplace la cybersécurité d’un registre technique vers un registre de gouvernance. Elle oblige les directions à connaître leurs risques numériques, à arbitrer explicitement et à en répondre. Pour une organisation qui s’y prend tôt, c’est l’occasion de remettre de l’ordre dans des systèmes accumulés au fil des années ; pour celle qui attend, c’est une course contre un calendrier qui, lui, est déjà fixé.

Pour un état des lieux et une feuille de route proportionnée, notre expertise cybersécurité et conformité accompagne les organisations qui découvrent ces obligations. Pour conserver la trace datée des décisions et des preuves, notre produit Gouvernance est conçu pour cet usage. Les secteurs financiers trouveront le pendant de cette démarche dans notre note sur les cinq piliers de DORA.

1. Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union (NIS 2), JO L 333 du 27 décembre 2022.
2. Règlement d’exécution (UE) 2024/2690 de la Commission du 17 octobre 2024 (exigences techniques et méthodologiques et cas d’incidents importants pour certains fournisseurs numériques).
3. Recommandation 2003/361/CE de la Commission concernant la définition des micro, petites et moyennes entreprises.
4. ENISA, documentation et ressources sur la mise en œuvre de NIS 2.
5. ANSSI, ressources sur la directive NIS 2 et son calendrier de transposition en France.

Questions fréquentes

Mon pays n'a pas encore transposé NIS 2 : dois-je attendre ?

Non. Les obligations de fond sont fixées par la directive et les lois nationales ne peuvent pas descendre en dessous. Attendre la loi revient à compresser dans quelques mois un travail qui en demande souvent plus d'un an. Les détails nationaux (autorité compétente, modalités d'enregistrement, calendrier de contrôle) s'ajusteront ensuite.

Une certification ISO 27001 suffit-elle pour être conforme à NIS 2 ?

Elle aide beaucoup, mais elle ne suffit pas automatiquement. Le périmètre certifié peut ne pas couvrir toutes les activités concernées, et NIS 2 ajoute des exigences propres : notification des incidents dans des délais fixés, responsabilité et formation de la direction, enregistrement auprès de l'autorité. Un rapprochement exigence par exigence s'impose.

Les entreprises hors de l'Union européenne sont-elles concernées ?

Certaines, oui. Les fournisseurs de services numériques et d'infrastructures numériques qui proposent leurs services dans l'Union sans y être établis doivent désigner un représentant dans un État membre. Les autres organisations hors Union sont souvent touchées indirectement, comme fournisseurs d'entités soumises à NIS 2.

Les collectivités locales sont-elles soumises à NIS 2 ?

La directive vise obligatoirement l'administration centrale. Pour le niveau régional, elle s'applique selon une évaluation des risques menée par chaque État ; pour le niveau local, les États peuvent choisir de l'étendre. La réponse dépend donc de la loi de transposition de chaque pays.