À retenir
- NIS2 est la directive (UE) 2022/2555. Elle est entrée en vigueur le 16 janvier 2023 et les États membres devaient appliquer leurs mesures de transposition à partir du 18 octobre 2024.
- La France n'a pas encore transposé. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025, mais il attend toujours son examen en séance publique à l'Assemblée nationale.
- Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France, l'Irlande, l'Espagne et les Pays-Bas, en demandant une somme forfaitaire et des astreintes journalières.
- Le projet de loi désigne l'ANSSI comme autorité nationale compétente. L'agence propose déjà un pré-enregistrement volontaire sur MesServicesCyber et a publié le Référentiel Cyber France en version de travail.
- L'article 21 fixe dix mesures minimales de gestion des risques et l'article 23 impose une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois.
Qu'est-ce que la directive NIS2 ?
La directive NIS2 est la directive (UE) 2022/2555, qui relève le niveau minimal commun de gestion des risques de cybersécurité et de notification des incidents dans les secteurs de haute criticité et les autres secteurs critiques énumérés à ses annexes I et II. Elle est entrée en vigueur le 16 janvier 2023 et remplace la directive NIS de 2016, avec effet au 18 octobre 2024. L'ancien texte couvrait trop peu d'opérateurs et était appliqué de manière trop hétérogène d'un État membre à l'autre.
NIS2 concerne beaucoup plus d'entités que la directive de 2016, parce que le périmètre repose désormais sur un critère de taille et de secteur, et non plus sur la désignation individuelle d'opérateurs par chaque État membre. Elle harmonise le fond, si bien que les mêmes dix mesures et les mêmes délais de notification s'appliquent partout. Enfin, elle fait remonter le sujet au niveau de la direction, par une obligation de formation et un régime de responsabilité. Le texte complet est disponible dans la base juridique de l'Union.
NIS2 est une directive et non un règlement : elle ne s'impose donc pas directement aux entreprises. Ce qui vous oblige, c'est la loi nationale de transposition, qui peut aller plus loin que la directive sur certains points. Considérez tout ce qui suit comme un socle et non comme l'obligation définitive.
NIS2 en France : où en est la transposition ?
La France n'a pas transposé NIS2. Aucune loi n'a été promulguée et aucun texte n'a été publié au Journal officiel. Le véhicule législatif est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, déposé au Sénat le 15 octobre 2024 avec engagement de la procédure accélérée. Il transpose trois textes européens à la fois, dont NIS2.
Le calendrier parlementaire s'est enlisé. Le Sénat a adopté le texte en première lecture le 12 mars 2025 et l'a transmis à l'Assemblée nationale, où il est devenu le projet de loi n° 1112. La commission spéciale de l'Assemblée a adopté son texte le 10 septembre 2025, après 505 amendements déposés. Depuis, aucun vote en séance publique n'est intervenu et aucune date n'est inscrite à l'ordre du jour au 10 août 2026. Comme l'écrit l'ANSSI, « NIS 2 rentrera donc en vigueur en France dès lors que l'ensemble des textes de transposition (loi, décrets, arrêtés) auront été promulgués ».
Ce retard a un coût pour l'État. Après une mise en demeure puis un avis motivé le 7 mai 2025, la Commission européenne a saisi la Cour de justice de l'Union européenne le 8 juillet 2026 contre la France, l'Irlande, l'Espagne et les Pays-Bas. La Commission demande à la Cour de prononcer des sanctions financières, sous la forme d'une somme forfaitaire et d'astreintes journalières jusqu'à la notification d'une transposition complète.
L'absence de loi française ne met pas le sujet en attente. Vos établissements situés dans des États membres qui ont transposé, l'Allemagne par exemple, y sont déjà soumis aux obligations locales. Vos clients grands comptes vous interrogeront sur votre niveau de sécurité avant que la loi française n'existe, parce que l'article 21 leur impose d'évaluer leurs fournisseurs directs. Enfin, le délai de mise en conformité ne commence pas à la promulgation : construire un système de management de la sécurité de l'information prend des mois, pas des semaines.
Ce que l'ANSSI propose déjà
L'ANSSI exerce déjà les fonctions d'autorité nationale compétente et de point de contact unique au titre de NIS1, et le projet de loi la désigne comme autorité compétente pour NIS2 ; le CERT-FR est le CSIRT national. Sans attendre la loi, l'agence a ouvert un espace NIS2 sur MesServicesCyber, qui a intégré et remplace progressivement MonEspaceNIS2 depuis le 24 mars 2026. L'espace NIS2 de l'ANSSI est organisé en cinq rubriques : comprendre la menace, se déclarer, réduire les risques, se préparer et réagir à un incident.
Attention à la nature juridique de cet enregistrement : il s'agit aujourd'hui d'un pré-enregistrement et d'une démarche volontaire, que l'ANSSI encourage sans pouvoir l'imposer. Les modalités contraignantes seront fixées par les textes de transposition. Le faire dès maintenant ne crée donc pas d'obligation nouvelle et vous place dans le fichier de l'autorité avec le bon interlocuteur identifié.
L'agence a également publié le Référentiel Cyber France, ou ReCyF, en version document de travail. Le ReCyF n'a pas de valeur contraignante, mais il présente les mesures recommandées par l'ANSSI en regard des objectifs de sécurité de NIS2, accompagné d'un comparateur avec les normes ISO/CEI 27001 et 27002. C'est aujourd'hui le meilleur indicateur disponible de ce que l'autorité attendra une fois la loi votée.
Ce qui s'applique déjà en France
Deux régimes nationaux restent en vigueur et continuent de produire leurs effets tant que NIS2 n'est pas transposée. Le régime issu de NIS1, porté par la loi n° 2018-133 du 26 février 2018 et ses textes d'application, s'applique aux opérateurs de services essentiels désignés par arrêté du Premier ministre, ainsi qu'aux fournisseurs de service numérique. Le dispositif SAIV, fondé sur le code de la défense, s'applique aux opérateurs d'importance vitale, qui déclarent leurs systèmes d'information d'importance vitale à l'ANSSI et se soumettent à ses audits.
Ces deux régimes ne disparaîtront pas au profit de NIS2 : ils se superposeront. Le projet de loi transpose la directive sur la résilience des entités critiques par une révision du dispositif SAIV plutôt que par sa suppression, et les opérateurs d'importance vitale devraient conserver des obligations renforcées par-dessus le socle commun NIS2. Si vous êtes déjà OSE ou OIV, votre point de départ n'est pas une page blanche. Les modalités de transition pour les OSE existants seront précisées dans les textes de transposition, et l'ANSSI ne s'est pas prononcée au-delà de cela.
À qui s'applique NIS2 ? Entités essentielles et entités importantes
NIS2 s'applique aux entités publiques et privées relevant d'un type visé à l'annexe I ou à l'annexe II qui sont des entreprises moyennes ou dépassent les plafonds correspondants, et qui fournissent des services ou exercent des activités dans l'Union. La taille est appréciée au regard de l'annexe de la recommandation 2003/361/CE de la Commission. L'étude d'impact du projet de loi évoquait le passage d'environ 500 à 15 000 entités régulées en France ; un document de l'ANSSI de mars 2026 avance désormais plus de 25 000 entités.
Le critère de taille ne résume pas la règle, et c'est là que naissent la plupart des erreurs de périmètre. L'article 3, paragraphe 1, définit les entités essentielles par une liste de sept catégories et non par un seul seuil, et les grandes entités de l'annexe I n'en sont que la première.
La liste couvre aussi les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS quelle que soit leur taille ; les fournisseurs de réseaux ou de services de communications électroniques accessibles au public de taille moyenne ; certaines entités de l'administration publique ; les entités qu'un État membre a spécifiquement identifiées ; les entités désignées comme critiques au titre de la directive sur la résilience des entités critiques ; et, lorsque l'État membre le prévoit, celles qu'il avait déjà identifiées comme opérateurs de services essentiels avant le 16 janvier 2023. Les entités importantes forment ensuite la catégorie résiduelle : toute entité de l'annexe I ou II qui n'est pas essentielle.
Plusieurs catégories sont visées quel que soit leur effectif : les fournisseurs de réseaux et de services de communications électroniques accessibles au public, les prestataires de services de confiance, les registres de noms de domaine de premier niveau, les fournisseurs de services DNS, les entités fournissant des services d'enregistrement de noms de domaine, les entités de l'administration publique centrale et les entités désignées comme critiques. Un État membre peut par ailleurs faire entrer une entité dans le périmètre sur l'un des quatre fondements de l'article 2, paragraphe 2 : elle est le seul prestataire dans ce pays d'un service essentiel au maintien d'activités sociétales ou économiques critiques ; une perturbation de son service pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique ; une perturbation pourrait induire un risque systémique important ; ou elle est critique en raison de son importance spécifique au niveau national ou régional.
L'annexe I couvre l'énergie, les transports, le secteur bancaire, les infrastructures des marchés financiers, la santé, l'eau potable, les eaux usées, l'infrastructure numérique, la gestion des services TIC (interentreprises), l'administration publique et l'espace. L'annexe II couvre les services postaux et les services de courrier, la gestion des déchets, les produits chimiques, les denrées alimentaires, la fabrication, les fournisseurs numériques et la recherche. À l'intérieur de chaque secteur, les annexes énumèrent des types d'entités précis : seules les entités correspondant à un type listé sont concernées, ce qui explique pourquoi « nous sommes dans l'industrie » ne constitue pas une réponse.
Les obligations attachées à votre catégorie sont détaillées dans notre analyse des exigences NIS2. Le périmètre est aussi le sujet sur lequel les contresens coûtent le plus cher, de « nous sommes trop petits » à « c'est un problème informatique », et nous reprenons les plus fréquents dans les idées reçues les plus dangereuses sur NIS2. Les entités essentielles des secteurs de l'annexe I supportent les obligations les plus lourdes, cas traité dans notre guide de mise en œuvre pour les infrastructures critiques.
Les dix mesures de gestion des risques de l'article 21
L'article 21, paragraphe 1, impose des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur les réseaux et systèmes d'information utilisés pour vos activités ou la fourniture de vos services, et pour prévenir ou réduire l'impact des incidents sur les destinataires de vos services. La proportionnalité s'apprécie au regard de votre degré d'exposition aux risques, de votre taille, du coût de mise en œuvre ainsi que de la probabilité et de la gravité des incidents, y compris leurs conséquences sociétales et économiques. Les mesures doivent reposer sur une approche tous risques, ce qui inclut les menaces physiques et environnementales.
L'article 21, paragraphe 2, fixe ensuite dix mesures minimales :
a) les politiques relatives à l'analyse des risques et à la sécurité des systèmes d'informationb) la gestion des incidentsc) la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crisesd) la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directse) la sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information, y compris le traitement et la divulgation des vulnérabilitésf) des politiques et des procédures pour évaluer l'efficacité des mesures de gestion des risquesg) les pratiques de base en matière de cyberhygiène et la formation à la cybersécuritéh) des politiques et des procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrementi) la sécurité des ressources humaines, des politiques de contrôle d'accès et la gestion des actifsj) l'utilisation de solutions d'authentification à plusieurs facteurs ou d'authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d'urgence au sein de l'entité, le cas échéant
La plupart de ces dix points se démontrent par des politiques et des enregistrements. La continuité des activités est la plus exigeante, parce qu'un plan de reprise ne compte qu'une fois testé et qu'un plan non testé reste une déclaration d'intention. Notre guide sur la planification d'urgence NIS2 explique comment construire une analyse d'impact sur l'activité, une stratégie de sauvegarde et une cellule de crise qui résistent à leur premier test.
La sécurité de la chaîne d'approvisionnement est la mesure la plus lourde
Le quatrième point, l'article 21, paragraphe 2, point d), porte sur les aspects de sécurité de vos relations avec vos fournisseurs et prestataires directs. Le mot « directs » compte : l'obligation s'arrête à votre premier rang, et les équipes qui l'ignorent passent des mois à cartographier les fournisseurs de leurs fournisseurs sans bénéfice réglementaire. Ce qui ne suffit pas, en revanche, c'est une simple liste de noms. Traiter les aspects de sécurité d'une relation suppose une évaluation de chaque fournisseur et des clauses contractuelles cohérentes avec cette évaluation.
Un périmètre praticable commence par les fournisseurs dont la défaillance ou la compromission toucherait directement vos services concernés : services d'informatique en nuage et de centre de données, prestataires de services gérés, logiciels ayant accès aux systèmes de production et tout tiers disposant d'accès d'administration. Pour ce groupe, il vous faut une évaluation documentée, une date, un responsable désigné et un cycle de revue.
L'obligation est réciproque, et c'est ce qui la rend urgente en France malgré l'absence de loi. Dès que vos clients entrent dans le périmètre, vous devenez l'un de leurs fournisseurs directs évalués. Pour la plupart des éditeurs de logiciels, un questionnaire de sécurité client est la première occasion où NIS2 se manifeste concrètement.
Notification des incidents : 24 heures, 72 heures, un mois
L'article 23 impose de notifier les incidents importants au CSIRT ou, le cas échéant, à l'autorité compétente, sans retard injustifié. En France, le signalement se fait auprès du CERT-FR. Un incident est important s'il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour vous, ou s'il a affecté ou est susceptible d'affecter d'autres personnes physiques ou morales en causant des dommages matériels ou moraux considérables. Les durées ci-dessous sont des délais maximaux et non des objectifs.
Les prestataires de services de confiance disposent de 24 heures, et non de 72, pour l'étape de notification lorsque l'incident affecte la fourniture de leurs services de confiance, en vertu d'une dérogation prévue à l'article 23, paragraphe 4. Le paragraphe 1 impose par ailleurs aux entités d'informer, le cas échéant et sans retard injustifié, les destinataires de leurs services des incidents importants susceptibles de nuire à la fourniture de ces services. C'est une obligation d'information des clients logée dans une obligation de déclaration réglementaire, et elle demande un modèle rédigé et un validateur désigné bien avant d'en avoir besoin.
Le délai de 24 heures est rarement dépassé pour des raisons techniques : il l'est parce que personne n'est habilité à envoyer l'alerte. Si un incident est détecté un vendredi soir et que personne ne peut déclencher l'alerte précoce sans validation hiérarchique, le délai expire pendant que l'évaluation s'organise. Un délai manqué constitue en lui-même un manquement, indépendamment de la qualité du traitement ultérieur.
Responsabilité des organes de direction
L'article 20, paragraphe 1, impose deux obligations aux organes de direction des entités essentielles et importantes, et y attache une conséquence. Ils doivent approuver les mesures de gestion des risques de cybersécurité prises pour se conformer à l'article 21 et superviser leur mise en œuvre. Ils peuvent ensuite être tenus responsables des manquements de l'entité à cet article. La directive renvoie aux règles nationales pour le contenu de cette responsabilité : ce qu'elle signifiera concrètement en France dépendra donc de la loi de transposition et du droit des sociétés applicable.
L'article 20, paragraphe 2, ajoute une obligation de formation personnelle. Les membres des organes de direction sont tenus de suivre une formation afin d'acquérir des connaissances et des compétences suffisantes pour identifier les risques, évaluer les pratiques de gestion des risques et apprécier leur incidence sur les services fournis par l'entité. Notez l'asymétrie, souvent mal rapportée : la formation est obligatoire pour les organes de direction, tandis que pour les salariés la directive se limite à demander aux États membres d'encourager les entités à proposer une formation similaire. La sensibilisation des équipes reste exigée, mais par l'article 21, paragraphe 2, point g), et non par l'article 20.
Les éléments qu'un dirigeant devrait pouvoir produire, de la trace d'approbation aux justificatifs de formation jusqu'à une routine de supervision récurrente, sont réunis dans notre checklist NIS2 pour les dirigeants.
Surveillance et sanctions
La surveillance est volontairement asymétrique entre les deux catégories. Les autorités compétentes doivent pouvoir soumettre les entités essentielles à des inspections sur place et à des contrôles à distance, à des audits de sécurité réguliers et ciblés réalisés par un organisme indépendant ou par l'autorité compétente, à des audits ad hoc, à des scans de sécurité, à des demandes d'informations, à des demandes d'accès aux données et documents ainsi qu'à des demandes de preuve de la mise en œuvre effective des politiques de sécurité. Pour les entités importantes, l'article 33 fonctionne en sens inverse : les autorités agissent lorsqu'elles disposent d'éléments indiquant un manquement, par des mesures de surveillance a posteriori.
Lisez cette construction avec attention : elle est régulièrement lue comme un montant maximal définitif, alors que l'article 34 impose aux États membres un plafond national « d'au moins » ces montants. La loi française pourra donc retenir un plafond plus élevé, et le montant exact ne sera connu qu'à la publication du texte de transposition. La référence de chiffre d'affaires est par ailleurs celle du groupe, au niveau mondial, sur l'exercice précédent.
Les pouvoirs de surveillance comptent davantage que les amendes. Lorsque les mesures d'exécution sont restées sans effet et qu'un délai de mise en conformité a expiré, l'article 32, paragraphe 5, permet aux autorités de suspendre, ou de demander à un organisme de certification ou à une juridiction de suspendre, une certification ou une autorisation portant sur tout ou partie des services concernés. Il leur permet également de demander à l'organisme ou à la juridiction compétente d'interdire temporairement à une personne exerçant des responsabilités dirigeantes au niveau du directeur général ou du représentant légal d'exercer des fonctions dirigeantes. Ces deux pouvoirs ne visent que les entités essentielles, ne sont pas ouverts à l'encontre des entités importantes au titre de l'article 33, et le paragraphe 5 ne s'applique pas aux entités de l'administration publique.
Comment vous préparer : par un système de management de la sécurité
Les dix mesures de l'article 21 recoupent largement les exigences d'ISO 27001, si bien qu'un système de management de la sécurité de l'information déjà en place a fait une grande partie du chemin. Le comparateur publié par l'ANSSI dans le ReCyF va dans le même sens. Le recoupement n'est cependant pas total : les délais de notification de l'article 23, l'enregistrement auprès de l'autorité et les obligations personnelles des organes de direction n'ont pas d'équivalent direct dans la norme. Ce qui est transposable et ce qui reste à construire sont détaillés dans notre guide sur les recoupements entre NIS2 et ISO 27001.
Si vous n'êtes pas encore certifié, l'ordre reste le même. Construire le SMSI d'abord, puis y rattacher les compléments propres à NIS2, coûte moins cher que d'entretenir deux structures de preuve distinctes et vous donne un livrable qu'un questionnaire client accepte. Ce qu'une certification demande en temps et en budget est traité dans notre guide sur la certification ISO 27001. Une chose qu'un SMSI ne vous donnera pas, c'est une certification NIS2 : il n'en existe aucune. L'article 24 permet seulement aux États membres d'exiger l'usage de produits et services certifiés au titre des schémas européens de certification de cybersécurité.
Cinq chantiers peuvent être engagés sans attendre la loi. Commencez par déterminer si vous relevez d'un type visé aux annexes et de quelle catégorie de taille, puis documentez la conclusion, car l'analyse de périmètre est elle-même un élément de preuve. Procédez au pré-enregistrement auprès de l'ANSSI, qui ne vous engage à rien de plus. Comblez les écarts par rapport aux dix mesures, en désignant pour chacune un responsable et un indicateur d'efficacité. Mettez en place le processus de notification avec une astreinte nommée et des modèles rédigés, y compris l'information des clients, puis testez-le une fois. Enfin, inscrivez l'approbation, la formation et la supervision de la direction dans un calendrier récurrent. Ce que vous devrez faire le jour où la loi entrera en vigueur, notamment si vous avez pris du retard sur l'enregistrement, est traité dans notre article sur l'échéance NIS2.
Comment Kertos vous accompagne
Kertos associe une plateforme de conformité à des experts certifiés qui mènent la mise en œuvre avec vous plutôt que de se limiter à l'évaluer. La plateforme applique un socle de mesures commun à NIS2, à ISO 27001, au RGPD et à vos autres référentiels, collecte les preuves de façon automatisée et montre lesquelles des dix mesures de l'article 21 sont réellement étayées par des preuves.
Concrètement, votre analyse de périmètre, le registre de vos fournisseurs directs pour le point d), les revues d'efficacité pour le point f) et les modèles de notification de l'article 23 se trouvent au même endroit, versionnés et datés. Si vous êtes déjà certifié ISO 27001, NIS2 devient l'extension d'un dispositif existant et non un second projet avec sa propre chaîne de preuve. Le détail figure sur la page solution NIS2 et sur la plateforme de conformité. Pour examiner la situation précise de votre entreprise, réservez une démonstration.
Questions fréquentes
NIS2 est-elle applicable en France aujourd'hui ?
Non, pas encore. La directive est entrée en vigueur le 16 janvier 2023 et les États membres devaient appliquer leurs mesures de transposition depuis le 18 octobre 2024, mais la France n'a pas promulgué sa loi : le projet de loi, adopté par le Sénat le 12 mars 2025, attend son examen en séance publique à l'Assemblée nationale. La Commission européenne a saisi la Cour de justice le 8 juillet 2026. Les obligations naîtront avec la loi et ses textes d'application.
Qui sera concerné par NIS2 en France ?
Les entités relevant d'un type visé aux annexes I et II dont l'effectif atteint au moins 50 personnes, ou dont le chiffre d'affaires et le total de bilan dépassent tous deux 10 millions d'euros. Certaines catégories sont visées quelle que soit leur taille, notamment les fournisseurs de services DNS, les registres de noms de domaine de premier niveau et les prestataires de services de confiance. L'étude d'impact du projet de loi évoquait le passage d'environ 500 à 15 000 entités régulées ; un document de l'ANSSI de mars 2026 avance désormais plus de 25 000 entités.
Faut-il s'enregistrer auprès de l'ANSSI dès maintenant ?
Oui, mais à titre volontaire. Le pré-enregistrement est ouvert sur l'espace NIS2 de MesServicesCyber et l'ANSSI encourage la démarche ; l'obligation d'enregistrement, elle, naîtra avec les textes de transposition.
Quelle est la différence entre entité essentielle et entité importante ?
Les obligations de fond des articles 21 et 23 sont identiques pour les deux catégories. La surveillance et les sanctions diffèrent. Les entités essentielles peuvent être contrôlées et auditées sans événement déclencheur et relèvent d'un plafond d'amende d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Les entités importantes sont contrôlées a posteriori et relèvent d'au moins 7 millions d'euros ou 1,4 %.
Quels sont les délais de notification prévus par NIS2 ?
Une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident important, une notification comportant une évaluation initiale dans les 72 heures, puis un rapport final dans le mois suivant cette notification. Si l'incident est toujours en cours à l'échéance d'un mois, un rapport d'avancement remplace provisoirement le rapport final. Les prestataires de services de confiance disposent de 24 heures pour l'étape de notification.
Une certification ISO 27001 suffit-elle pour NIS2 ?
Non, mais elle couvre l'essentiel du volet technique et organisationnel de l'article 21, et l'ANSSI publie elle-même un comparateur entre le ReCyF et ISO/CEI 27001. Les compléments propres à NIS2, détaillés plus haut, portent sur ce que la norme n'a jamais eu pour objet de couvrir. Aucune certification NIS2 n'existe.
