- NIS 2 (directive (UE) 2022/2555) remplace la directive NIS de 2016 et s’applique depuis le 18 octobre 2024 dans les États membres qui l’ont transposée.
- Elle vise les moyennes et grandes entités de 18 secteurs, classées « essentielles » ou « importantes ». Les fournisseurs de cloud, de centres de données et de services managés y sont explicitement inclus.
- Elle impose 10 familles de mesures de sécurité, la notification des incidents importants (alerte en 24 h, notification en 72 h, rapport final sous un mois) et engage la responsabilité des organes de direction.
- En France, le projet de loi « Résilience » qui la transpose a été adopté par le Sénat en mars 2025 mais n’est toujours pas voté définitivement en octobre 2026.
Qu’est-ce que la directive NIS 2 ?
La directive NIS 2 (Network and Information Security), adoptée le 14 décembre 2022 et publiée au Journal officiel de l’Union européenne le 27 décembre 2022, fixe un niveau élevé commun de cybersécurité dans l’Union. Elle remplace la directive NIS 1 de 2016, dont le périmètre était limité aux opérateurs de services essentiels désignés un par un par chaque État.
NIS 2 change de logique : ce n’est plus l’État qui désigne les opérateurs, ce sont les entités qui doivent déterminer elles-mêmes si elles entrent dans le champ, selon leur secteur et leur taille. Le nombre d’organisations concernées passe ainsi de quelques centaines à plusieurs milliers par pays : en France, l’ANSSI évoque plus de 10 000 entités, contre environ 500 sous NIS 1.
Comme toute directive, NIS 2 doit être transposée dans le droit de chaque État membre, qui précise les autorités compétentes, les modalités d’enregistrement et le régime de sanctions. L’échéance de transposition était fixée au 17 octobre 2024.
De NIS 1 à la transposition française
- Juillet 2016Adoption de la directive NIS 1 (UE) 2016/1148, transposée en France par la loi du 26 février 2018 : quelques centaines d’opérateurs de services essentiels (OSE) désignés.
- 14 décembre 2022Adoption de la directive NIS 2 (UE) 2022/2555, publiée au JOUE le 27 décembre 2022 et entrée en vigueur le 16 janvier 2023.
- 15 octobre 2024Dépôt au Sénat du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS 2, la directive REC et adapte DORA.
- 17 octobre 2024Date limite de transposition. Le même jour, la Commission adopte le règlement d’exécution (UE) 2024/2690, qui précise les exigences techniques applicables aux fournisseurs numériques (cloud, centres de données, services managés…).
- 12 mars 2025Adoption du projet de loi par le Sénat. La commission spéciale de l’Assemblée nationale adopte son texte le 10 septembre 2025.
- 24 novembre 2025L’ANSSI ouvre le pré-enregistrement des entreprises sur la plateforme MonEspaceNIS2.
- Octobre 2026Le texte, inscrit à l’ordre du jour de l’Assemblée nationale les 7 et 9 octobre, en est retiré le 6 octobre. La France n’a toujours pas transposé la directive.
Qui est concerné ?
Le champ d’application combine un critère sectoriel (annexes I et II de la directive) et un critère de taille : sont visées en principe les entreprises moyennes (au moins 50 salariés, ou plus de 10 M€ de chiffre d’affaires et de total de bilan) et grandes. Certains acteurs sont visés quelle que soit leur taille, comme les fournisseurs DNS, les registres de noms de domaine ou les prestataires de services de confiance qualifiés.
| Entités essentielles | Entités importantes | |
|---|---|---|
| Secteurs | Annexe I, « hautement critiques » : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC (B2B), administration publique, espace | Annexe II, « autres secteurs critiques » : services postaux, gestion des déchets, chimie, alimentation, fabrication (dispositifs médicaux, électronique, machines, véhicules…), fournisseurs numériques, recherche ; et entités moyennes de l’annexe I |
| Taille | En principe grandes entreprises des secteurs de l’annexe I, plus certaines entités désignées quelle que soit leur taille | Moyennes et grandes entreprises ne relevant pas des entités essentielles |
| Supervision | Contrôle a priori et a posteriori : audits, inspections, demandes d’information | Contrôle a posteriori, sur indice de non-conformité ou après incident |
| Amende maximale | 10 M€ ou 2 % du chiffre d’affaires annuel mondial (le plus élevé des deux) | 7 M€ ou 1,4 % du chiffre d’affaires annuel mondial (le plus élevé des deux) |
Les 10 mesures minimales de gestion des risques
Les entités doivent prendre des mesures « appropriées et proportionnées », fondées sur une approche tous risques, couvrant au minimum les dix domaines suivants.
Analyse des risques et politiques de sécurité
Politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information.
Gestion des incidents
Prévention, détection et traitement des incidents.
Continuité d’activité
Gestion des sauvegardes, reprise après sinistre et gestion de crise (PCA / PRA).
Sécurité de la chaîne d’approvisionnement
Sécurité des relations avec les fournisseurs et prestataires directs, y compris les fournisseurs cloud.
Sécurité des développements
Sécurité de l’acquisition, du développement et de la maintenance des systèmes, y compris le traitement et la divulgation des vulnérabilités.
Évaluation de l’efficacité
Politiques et procédures pour évaluer l’efficacité des mesures de gestion des risques.
Cyberhygiène et formation
Pratiques de base en matière de cyberhygiène et formation à la cybersécurité.
Cryptographie
Politiques relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement.
Ressources humaines et accès
Sécurité des ressources humaines, politiques de contrôle d’accès et gestion des actifs.
Authentification forte
Authentification multifacteur ou continue, communications vocales, vidéo et textuelles sécurisées, systèmes de communication d’urgence sécurisés.
Notifier un incident important : trois étapes
Un incident est « important » lorsqu’il cause ou peut causer une perturbation grave des services ou des pertes financières, ou qu’il affecte des tiers par des dommages matériels ou immatériels considérables. Il doit être notifié à l’autorité compétente ou au CSIRT (en France, l’ANSSI).
- Sous 24 heuresAlerte précoce : signaler l’incident et indiquer s’il semble causé par un acte illicite ou malveillant, ou s’il peut avoir un impact transfrontière.
- Sous 72 heuresNotification d’incident : mise à jour de l’alerte, première évaluation de la gravité et de l’impact, indicateurs de compromission disponibles.
- Sous un moisRapport final : description détaillée, type de menace ou cause profonde, mesures d’atténuation appliquées et en cours, impact transfrontière éventuel. Un rapport intermédiaire peut être demandé entre-temps.
Ce que NIS 2 change concrètement
Les dirigeants en première ligne
Les organes de direction doivent approuver les mesures de cybersécurité, superviser leur mise en œuvre et suivre une formation. Ils peuvent être tenus responsables des manquements (article 20).
Des sanctions dissuasives
Jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour une entité essentielle. Pour les entités essentielles, l’autorité peut aussi suspendre temporairement une certification ou une autorisation, voire demander l’interdiction temporaire d’exercer des fonctions de direction.
La chaîne d’approvisionnement devient un sujet
Chaque entité doit évaluer la sécurité de ses fournisseurs directs, leurs vulnérabilités et la qualité de leurs pratiques. Les contrats cloud, d’infogérance et de SaaS entrent dans le périmètre.
Un effet de cascade sur les PME
Même hors champ, de nombreux sous-traitants se voient imposer par leurs clients des clauses de sécurité, des audits et des engagements de notification alignés sur NIS 2.
NIS 2 et le choix d’un fournisseur cloud
NIS 2 concerne le cloud à deux titres. D’abord, les fournisseurs de services d’informatique en nuage, de centres de données, de réseaux de diffusion de contenu, de services managés et de services de sécurité managés sont eux-mêmes des entités régulées, au titre des infrastructures numériques et de la gestion des services TIC. Le règlement d’exécution (UE) 2024/2690 leur fixe des exigences techniques détaillées et des seuils précis d’incident important.
Ensuite, pour toute entité régulée, le fournisseur cloud fait partie de la chaîne d’approvisionnement à évaluer. La directive invite à tenir compte de la qualité globale des produits et des pratiques de cybersécurité des fournisseurs, et des évaluations coordonnées des risques menées au niveau européen, qui peuvent intégrer des facteurs non techniques.
NIS 2 n’impose pas de recourir à un fournisseur européen et ne traite pas de l’exposition aux lois extraterritoriales comme le CLOUD Act. Elle n’est donc pas un instrument de souveraineté en soi : une entité peut être conforme à NIS 2 en s’appuyant sur un hyperscaler américain. Pour les données sensibles, la qualification SecNumCloud reste le seul référentiel français qui exige une immunité aux lois non européennes.
Ce qu’il faut savoir en 6 questions
Mon organisation est-elle concernée par NIS 2 ?
Elle l’est si elle exerce une activité listée dans les annexes I ou II de la directive et qu’elle est au moins de taille moyenne (50 salariés, ou plus de 10 M€ de chiffre d’affaires et de total de bilan). Certaines activités sont visées quelle que soit la taille. En France, le simulateur de la plateforme MonEspaceNIS2 de l’ANSSI permet de vérifier son statut.
NIS 2 est-elle déjà applicable en France ?
Pas encore pleinement. La directive devait être transposée au plus tard le 17 octobre 2024, mais le projet de loi Résilience n’a pas été définitivement adopté en octobre 2026. Les obligations deviendront opposables une fois la loi promulguée et ses décrets d’application publiés. L’ANSSI recommande de s’y préparer dès maintenant, et le pré-enregistrement des entreprises est ouvert depuis novembre 2025.
Quelle différence entre entité essentielle et entité importante ?
Les obligations de sécurité et de notification sont les mêmes. La différence porte sur la supervision (contrôle a priori pour les entités essentielles, a posteriori pour les entités importantes) et sur le plafond des amendes : 10 M€ ou 2 % du chiffre d’affaires mondial contre 7 M€ ou 1,4 %.
Quel lien entre NIS 2 et DORA ?
Le règlement DORA, applicable depuis le 17 janvier 2025, est un acte sectoriel qui prime sur NIS 2 pour les entités financières en matière de gestion des risques informatiques et de notification des incidents. Une banque ou un assureur applique donc DORA pour ces volets. Le projet de loi Résilience français traite d’ailleurs les deux textes ensemble.
Les collectivités territoriales sont-elles concernées ?
La directive vise l’administration publique et laisse aux États la possibilité d’inclure les collectivités. Le projet de loi français les intègre en partie : le Sénat a retenu notamment les régions, les départements et les communes de plus de 30 000 habitants. Le périmètre définitif dépendra du texte adopté.
NIS 2 m’oblige-t-elle à choisir un cloud souverain ?
Non. NIS 2 impose d’évaluer et de maîtriser les risques liés à ses fournisseurs, sans exiger de nationalité particulière. Le choix d’un cloud européen ou qualifié SecNumCloud relève d’autres textes (doctrine Cloud au Centre pour l’État, exigences sectorielles) ou de votre propre analyse de risques.
Pour aller plus loin
- Directive (UE) 2022/2555 du 14 décembre 2022 (NIS 2), texte officiel (EUR-Lex)
- Règlement d’exécution (UE) 2024/2690 du 17 octobre 2024, exigences techniques pour les fournisseurs numériques (EUR-Lex)
- ANSSI, la directive NIS 2 (cyber.gouv.fr)
- ANSSI, plateforme MonEspaceNIS2 : simulateur et pré-enregistrement
- Sénat, projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (dossier législatif)