Directive NIS 2 : quelles obligations de cybersécurité pour votre entreprise ?

Publié le 21 juillet 2026. Cet article sera mis à jour au fil de l’adoption des textes français de transposition.

Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne d’un recours en manquement contre la France, qui n’a toujours pas transposé la directive NIS 2 alors que le délai expirait le 17 octobre 2024. Ce contentieux ne doit pas créer d’illusion : pour les quelque 15 000 entités françaises appelées à entrer dans le champ du texte, la question n’est pas de savoir si les obligations arriveront, mais quand. Et le calendrier de mise en conformité, lui, a déjà commencé à courir.

NIS 2 en bref : origine et objectifs

La directive (UE) 2022/2555 du 14 décembre 2022, dite « NIS 2 », est entrée en vigueur le 16 janvier 2023. Elle succède à la directive NIS 1 de 2016, qu’elle abroge à compter du 18 octobre 2024, et devait être transposée par les États membres au plus tard le 17 octobre 2024 (article 41).

Le changement d’échelle est considérable. Là où NIS 1 reposait sur la désignation individuelle d’un nombre limité d’opérateurs de services essentiels, NIS 2 définit son champ d’application par des critères objectifs de secteur et de taille. Toute entité qui remplit ces critères est soumise au texte de plein droit, sans attendre une désignation administrative. L’objectif affiché est d’élever le niveau commun de cybersécurité dans l’Union en couvrant l’ensemble des secteurs dont dépend le fonctionnement de l’économie et de la société.

Votre entreprise est-elle concernée ?

Dix-huit secteurs d’activité visés

La directive distingue deux catégories de secteurs. L’annexe I énumère onze secteurs « hautement critiques » : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique (cloud, centres de données, DNS, services de confiance, télécoms notamment), gestion des services informatiques interentreprises, administration publique et espace.

L’annexe II ajoute sept « autres secteurs critiques » : services postaux et d’expédition, gestion des déchets, chimie, production, transformation et distribution de denrées alimentaires, fabrication (dispositifs médicaux, produits informatiques et électroniques, équipements électriques, machines, automobile et matériels de transport), fournisseurs numériques (places de marché en ligne, moteurs de recherche, réseaux sociaux) et organismes de recherche.

De nombreuses entreprises industrielles et de services qui n’ont jamais été soumises à NIS 1 entrent ainsi dans le champ du nouveau texte, souvent sans en avoir encore conscience.

Le critère de taille

Sont visées, au sein de ces secteurs, les entités qui atteignent au moins la taille d’une moyenne entreprise au sens de la recommandation 2003/361/CE, c’est-à-dire, en pratique, celles qui emploient 50 salariés ou plus, ou dont le chiffre d’affaires annuel ou le total de bilan excède 10 millions d’euros (article 2).

Certaines entités sont toutefois soumises à la directive quelle que soit leur taille : fournisseurs de réseaux ou de services de communications électroniques, prestataires de services de confiance, registres de noms de domaine de premier niveau et fournisseurs de services DNS, ou encore toute entité qui serait le seul prestataire national d’un service essentiel ou dont la défaillance présenterait un risque systémique.

Entités essentielles et entités importantes : une distinction lourde de conséquences

La directive classe les entités assujetties en deux catégories (article 3). Schématiquement, les entités essentielles regroupent les grandes entreprises (plus de 250 salariés, ou plus de 50 millions d’euros de chiffre d’affaires) des secteurs de l’annexe I, ainsi que certaines entités sensibles quelle que soit leur taille. Les entités importantes regroupent les autres entités entrant dans le champ, notamment les moyennes entreprises de l’annexe I et les entités de l’annexe II.

Les obligations de fond sont identiques pour les deux catégories. La différence se joue sur le terrain du contrôle et des sanctions : les entités essentielles sont soumises à une supervision a priori, incluant inspections, audits réguliers et contrôles aléatoires (article 32), tandis que les entités importantes ne font l’objet que d’un contrôle a posteriori, déclenché par des indices de manquement (article 33). Les plafonds d’amendes diffèrent également, comme on le verra plus loin.

Concerné sans être assujetti : l’effet de cascade contractuelle

C’est un angle souvent négligé : une entreprise située sous les seuils peut subir les effets de NIS 2 sans y être elle-même soumise. La sécurité de la chaîne d’approvisionnement figure en effet parmi les mesures obligatoires imposées aux entités régulées, qui doivent traiter les risques liés à leurs fournisseurs et prestataires directs (article 21, paragraphe 2, point d).

Concrètement, les entités essentielles et importantes répercutent leurs obligations sur leurs sous-traitants par voie contractuelle : clauses de sécurité, questionnaires d’évaluation, droits d’audit, obligations de notification d’incident. Les prestataires informatiques, éditeurs de logiciels et fournisseurs de services des entités régulées doivent donc se préparer à une renégociation en profondeur de leurs contrats, quand bien même ils échapperaient formellement à la directive.

Les obligations au cœur de NIS 2

Gouvernance : les dirigeants en première ligne

L’article 20 de la directive fait de la cybersécurité un sujet d’organe de direction. Les organes de direction des entités assujetties doivent approuver les mesures de gestion des risques cyber, superviser leur mise en œuvre et suivre une formation en cybersécurité. Surtout, ils peuvent être tenus responsables des violations de ces obligations par leur entité, selon des modalités que préciseront les droits nationaux.

La cybersécurité cesse ainsi d’être un sujet purement technique délégué à la direction des systèmes d’information : elle devient un enjeu de gouvernance et de responsabilité personnelle des mandataires sociaux.

Les dix mesures minimales de gestion des risques

L’article 21 impose aux entités des mesures techniques, opérationnelles et organisationnelles « appropriées et proportionnées », selon une approche couvrant tous les risques. Le texte fixe un socle minimal de dix familles de mesures :

• politiques d’analyse des risques et de sécurité des systèmes d’information ;
• gestion des incidents ;
• continuité des activités : sauvegardes, reprise d’activité, gestion de crise ;
• sécurité de la chaîne d’approvisionnement, y compris dans les relations avec les fournisseurs directs ;
• sécurité de l’acquisition, du développement et de la maintenance des systèmes, traitement des vulnérabilités inclus ;
• procédures d’évaluation de l’efficacité des mesures ;
• cyberhygiène de base et formation à la cybersécurité ;
• politiques relatives à la cryptographie et, le cas échéant, au chiffrement ;
• sécurité des ressources humaines, contrôle d’accès et gestion des actifs ;
• authentification à plusieurs facteurs ou continue et sécurisation des communications, selon les besoins.

La proportionnalité s’apprécie au regard de l’exposition aux risques, de la taille de l’entité et de la gravité potentielle des incidents. Il ne s’agit donc pas d’un référentiel uniforme, mais d’une obligation de moyens renforcée dont la mise en œuvre devra pouvoir être documentée et justifiée devant l’autorité de contrôle.

La notification des incidents : 24 heures, 72 heures, un mois

L’article 23 organise un mécanisme de notification en trois temps de tout « incident important », c’est-à-dire tout incident qui cause ou peut causer une perturbation opérationnelle grave ou des pertes financières pour l’entité, ou qui affecte ou peut affecter des tiers en causant des dommages considérables.

L’entité doit adresser une alerte précoce dans les 24 heures de la connaissance de l’incident, puis une notification complète dans les 72 heures, et enfin un rapport final au plus tard un mois après la notification. Des rapports intermédiaires peuvent être exigés et les prestataires de services de confiance sont soumis à un délai de notification de 24 heures. L’entité doit par ailleurs informer les destinataires de ses services susceptibles d’être affectés par un incident important ou une cybermenace importante.

Ces délais très courts supposent une organisation interne rodée avant l’incident : procédure d’escalade, qualification juridique rapide de l’événement et articulation avec la notification de violation de données personnelles à la CNIL dans les 72 heures lorsque des données personnelles sont concernées.

L’enregistrement auprès de l’autorité

Les entités entrant dans le champ d’application doivent se faire connaître de l’autorité nationale compétente en communiquant leurs informations d’identification (articles 3 et 27). En France, ce processus reposera sur l’ANSSI, qui a déjà mis en ligne un guichet dédié, MonEspaceNIS2, permettant d’anticiper cette démarche. Point important relevé par la pratique : l’obligation de conformité ne dépend pas de l’accomplissement de l’enregistrement, qui n’a rien de constitutif.

Sanctions : ce que risquent l’entreprise et ses dirigeants

La directive impose aux États membres de prévoir des amendes administratives d’un montant maximal atteignant au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu, pour les entités essentielles, et au moins 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial pour les entités importantes, en cas de manquement aux obligations de gestion des risques ou de notification (article 34). Il s’agit de planchers imposés aux législateurs nationaux : la loi française fixera les montants définitifs, qui pourront être supérieurs.

L’arsenal ne se limite pas aux amendes : avertissements, injonctions de mise en conformité, astreintes, publicité des manquements. Pour les entités essentielles, l’autorité pourra en dernier recours faire suspendre temporairement une certification ou une autorisation et demander qu’il soit temporairement interdit à un dirigeant général ou à un représentant légal d’exercer des responsabilités dirigeantes dans l’entité (article 32, paragraphe 5).

À noter enfin une règle de non-cumul avec le RGPD : lorsqu’une amende a déjà été prononcée sur le fondement du RGPD pour le même manquement, une amende NIS 2 ne peut s’y ajouter, ce qui n’exclut pas les autres mesures d’exécution (article 35).

Où en est la France ? Le projet de loi « Résilience »

La France a choisi de transposer en un seul véhicule législatif trois textes européens : la directive REC sur la résilience des entités critiques, la directive NIS 2 et le volet directive du paquet DORA. C’est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, présenté en Conseil des ministres le 15 octobre 2024 et adopté par le Sénat les 11 et 12 mars 2025.

Le texte a été adopté en commission spéciale à l’Assemblée nationale le 10 septembre 2025, mais son examen en séance publique a été reporté à plusieurs reprises, notamment en raison de débats sur le chiffrement de bout en bout. Selon les déclarations gouvernementales de juillet 2026, il ne devrait pas être examiné avant la rentrée parlementaire de septembre 2026. Entre-temps, la Commission européenne, après une mise en demeure puis un avis motivé, a saisi la Cour de justice de l’Union européenne d’un recours en manquement contre la France le 8 juillet 2026.

Ce retard n’est en aucun cas une dispense. D’abord, la directive n’étant pas transposée, ses obligations ne s’imposent certes pas encore directement aux entreprises françaises, mais les groupes présents dans d’autres États membres sont déjà soumis aux lois nationales de transposition adoptées ailleurs en Europe. Ensuite, l’ANSSI a annoncé une logique de montée en conformité progressive, de l’ordre de trois ans, privilégiant l’accompagnement avant la sanction : ce délai se consommera d’autant plus vite que les chantiers de mise en conformité sont longs. Enfin, les donneurs d’ordre intègrent déjà les exigences NIS 2 dans leurs appels d’offres et leurs contrats.

NIS 2, RGPD, DORA, CER : comment les textes s’articulent

NIS 2 s’insère dans un ensemble réglementaire européen cohérent. À l’égard du secteur financier, le règlement DORA constitue une lex specialis : les entités financières qui lui sont soumises échappent aux dispositions correspondantes de NIS 2 (article 4 de la directive), tout en pouvant rester tenues de certaines formalités selon les choix nationaux de transposition. La directive CER couvre quant à elle la résilience physique des entités critiques, le volet cyber relevant de NIS 2 : les entités critiques au sens de CER sont automatiquement des entités essentielles au sens de NIS 2.

Avec le RGPD, l’articulation est quotidienne : un même incident de sécurité peut constituer à la fois un incident important au sens de NIS 2 et une violation de données personnelles au sens du RGPD, imposant deux notifications parallèles, à l’ANSSI et à la CNIL, selon des logiques, des délais et des contenus distincts. Les procédures internes de gestion de crise doivent impérativement intégrer cette double dimension.

Comment se préparer dès maintenant : la feuille de route

La première étape est la qualification juridique : déterminer si l’entité entre dans le champ d’application, dans quelle catégorie (essentielle ou importante) et pour quels services, en tenant compte du périmètre du groupe et des activités exercées dans d’autres États membres. Cette analyse conditionne tout le reste et mérite d’être documentée.

Viennent ensuite la cartographie des systèmes d’information et des services critiques, puis une analyse d’écart au regard des dix familles de mesures de l’article 21, permettant de bâtir un plan de mise en conformité hiérarchisé. La revue des contrats fournisseurs et sous-traitants, dimension juridique majeure du chantier, doit être engagée tôt : clauses de sécurité, audits, notification d’incidents, réversibilité.

Il faut enfin mettre en place une procédure de détection et de notification des incidents compatible avec les délais de 24 et 72 heures, articulée avec la procédure RGPD existante, et sensibiliser les organes de direction, dont la responsabilité personnelle est désormais en jeu. Les entreprises qui auront pris ces devants aborderont la publication de la loi française avec une longueur d’avance, quand les autres découvriront l’ampleur du chantier dans un calendrier contraint.

FAQ : vos questions sur la directive NIS 2

Qui est concerné par la directive NIS 2 ?

Les entités publiques et privées de 18 secteurs d’activité qui atteignent la taille d’une moyenne entreprise (au moins 50 salariés ou plus de 10 millions d’euros de chiffre d’affaires), ainsi que certaines entités quelle que soit leur taille, comme les fournisseurs de services DNS ou les prestataires de services de confiance.

La directive NIS 2 est-elle déjà applicable en France ?

Non. Le projet de loi de transposition, dit projet de loi « Résilience », est toujours en cours d’examen au Parlement en juillet 2026 et la Commission européenne a saisi la CJUE contre la France pour ce retard. Les obligations ne s’imposeront qu’après la publication de la loi et de ses textes d’application, mais l’anticipation est fortement recommandée.

Quelle est la différence entre entité essentielle et entité importante ?

Les obligations de fond sont identiques, mais les entités essentielles (pour l’essentiel, les grandes entreprises des secteurs hautement critiques) sont soumises à un contrôle a priori et à des amendes plus élevées, tandis que les entités importantes ne font l’objet que d’un contrôle a posteriori.

Quelles sanctions en cas de non-conformité ?

Des amendes pouvant atteindre au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles (7 millions d’euros ou 1,4 % pour les entités importantes), des injonctions et astreintes, et, pour les entités essentielles, la suspension de certifications et l’interdiction temporaire d’exercer des fonctions dirigeantes.

La directive NIS 2 s’applique-t-elle aux PME ?

Les micro et petites entreprises sont en principe hors champ, sauf exceptions. Elles peuvent néanmoins être touchées indirectement, leurs clients assujettis leur imposant des exigences de cybersécurité par voie contractuelle au titre de la sécurité de la chaîne d’approvisionnement.