NIS 2 : suivre la transposition et ce qu’elle change pour vous

La directive (UE) 2022/2555, dite NIS 2, devait être transposée par les États membres au plus tard le 17 octobre 2024. À la mi-août 2025, le paysage reste inégal. Certains pays ont adopté leur loi dans les temps, comme la Belgique, dont la loi du 26 avril 2024 est entrée en vigueur en octobre 2024, ou l’Italie, avec un décret législatif publié à l’automne 2024. D’autres ont pris du retard : fin novembre 2024, la Commission européenne a adressé des lettres de mise en demeure à une majorité d’États membres pour défaut de transposition complète. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat au printemps, poursuit son examen à l’Assemblée nationale.

Pour une organisation, la NIS 2 transposition pose donc deux questions distinctes : comment suivre un droit national qui bouge encore, et que faire en attendant ?

Suivre la transposition sans s’y perdre

Trois sources suffisent pour un suivi sérieux. L’autorité nationale de cybersécurité d’abord (l’ANSSI en France, le Centre pour la cybersécurité Belgique, l’Agence pour la cybersécurité nationale en Italie) : elle publie les textes, des foires aux questions et, souvent, un outil pour vérifier si l’on est concerné. Le journal officiel ensuite, pour les textes d’application, car la loi renvoie généralement à des décrets pour les listes de secteurs, les seuils et les délais. La base EUR-Lex enfin, qui recense les mesures nationales de transposition notifiées par chaque État.

Si vous opérez dans plusieurs pays, retenez une règle de la directive : une entité relève en principe de l’État membre où elle est établie, avec des règles particulières pour certains services numériques. Il faut donc suivre le droit de chaque pays d’établissement, pas seulement celui du siège.

Ce qui ne dépend pas de la loi nationale

La directive fixe déjà l’essentiel, et les transpositions publiées s’en écartent peu sur le fond. On sait donc ce qui sera demandé.

Le périmètre : dix-huit secteurs répartis en deux annexes, et un critère de taille (en règle générale, à partir de l’entreprise moyenne), avec des exceptions pour certaines entités désignées quelle que soit leur taille. La responsabilité des dirigeants : les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et doivent suivre une formation. Les mesures : l’article 21 énumère une base commune, de l’analyse des risques à la gestion des incidents, en passant par la continuité d’activité, la sécurité de la chaîne d’approvisionnement, le chiffrement, le contrôle d’accès et l’authentification multifacteur. Le signalement : alerte précoce sous 24 heures pour un incident important, notification sous 72 heures, rapport final sous un mois.

Que faire ce trimestre

Sans attendre le texte national définitif, quatre actions sont sans regret. Vérifiez votre éligibilité probable, secteur par secteur et pays par pays, et documentez le raisonnement. Faites un écart entre vos pratiques et les mesures de l’article 21, en priorisant la gestion des incidents et l’authentification. Préparez la chaîne de signalement : qui décide qu’un incident est important, qui notifie, avec quel modèle de message. Enfin, présentez le sujet à la direction : c’est elle qui portera la responsabilité, et c’est souvent l’étape la plus longue à obtenir.

Notre dossier complet sur NIS 2 détaille chacune de ces mesures. Pour cadrer l’écart et le plan d’action, notre expertise cybersécurité et conformité propose une méthode indépendante des solutions de sécurité du marché.

1. Directive (UE) 2022/2555 du 14 décembre 2022 (NIS 2), notamment articles 20, 21, 23 et 41.
2. Commission européenne, procédures d’infraction pour non-communication des mesures de transposition, novembre 2024.
3. EUR-Lex, mesures nationales de transposition de la directive (UE) 2022/2555.
4. ANSSI, pages d’information sur la directive NIS 2.