La directive (UE) 2022/2555 s'applique depuis le 18 octobre 2024 et a abrogé NIS1 à la même date. La plupart des États membres ont manqué l'échéance de transposition. Le 8 juillet 2026, la Commission a saisi la Cour de justice contre l'Irlande, l'Espagne, la France et les Pays-Bas, en demandant une somme forfaitaire et des astreintes journalières. En France, aucun texte de transposition n'est encore publié au Journal officiel.
La directive ne prescrit aucun logiciel. Elle prescrit dix mesures de gestion des risques (art. 21, § 2), des délais de notification qui courent à partir de la détection (art. 23), une obligation pour les organes de direction d'approuver et de superviser ces mesures (art. 20) et des obligations d'enregistrement (art. 27). Gérez tout cela dans des tableurs et des disques partagés : vous échouerez rarement sur la première preuve, mais au douzième mois, quand plus personne ne pourra reconstituer l'état des lieux au jour d'un incident.
Ce guide ne classe aucun éditeur. Il présente les quatre voies possibles, les fonctions qui portent réellement la preuve, les critères de sélection et ce qui s'applique aujourd'hui en France. Pour la réglementation elle-même, lisez notre guide complet de la directive NIS2.
Ce qu'un logiciel NIS2 fait, et ce qu'il ne fait pas
Un logiciel NIS2 réunit dans un même système le travail exigé par la directive : les dix mesures de l'art. 21, § 2 avec la preuve attachée à chacune, la séquence de notification de l'art. 23 avec un compteur qui démarre à la détection, l'état de votre enregistrement sous forme versionnée, un registre de vos fournisseurs et prestataires directs, et la preuve que vos organes de direction ont suivi la formation exigée par l'art. 20, § 2.
L'intérêt tient à l'actualisation plus qu'au classement. NIS2 n'a pas de date de fin. L'art. 21, § 1 exige des mesures appropriées et proportionnées, et l'art. 21, § 2, point f) exige séparément des politiques permettant d'évaluer si ces mesures fonctionnent. Un logiciel qui collecte la preuve en continu répond à cette question n'importe quel jour. Une bibliothèque de documents y répond à la date de la dernière modification.
Trois choses restent hors du logiciel. La classification au titre de l'art. 3 est une question juridique. L'appréciation de la proportionnalité relève du jugement professionnel. Et la responsabilité de l'art. 20, § 1 reste aux organes de direction, qui doivent approuver les mesures et superviser leur mise en œuvre.
Un point compte pour la sélection : NIS2 ne crée aucune certification. Ni pour les entreprises ni pour les logiciels. L'art. 24 permet seulement aux États membres d'exiger, dans certains cas, des produits et services TIC certifiés au titre d'un schéma adopté en application du règlement (UE) 2019/881. Un éditeur qui vous propose un certificat NIS2 ou un label NIS2 vend quelque chose qui n'existe pas.
La France aujourd'hui : ce qui s'applique et ce qui ne s'applique pas encore
La transposition n'est pas achevée
Le « projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité » porte la transposition. Le Sénat l'a adopté en première lecture le 12 mars 2025. Il a été transmis à l'Assemblée nationale sous le n° 1112 le 13 mars 2025, et la commission spéciale a adopté son texte le 10 septembre 2025 après 505 amendements. Aucun vote en séance publique n'est intervenu depuis et aucune date n'est inscrite à l'ordre du jour.
L'ANSSI formule la conséquence sans ambiguïté : « NIS 2 rentrera donc en vigueur en France dès lors que l'ensemble des textes de transposition (loi, décrets, arrêtés) auront été promulgués ». Concrètement, les obligations NIS2 françaises n'existent pas encore, et personne ne peut vous vendre un logiciel « conforme au droit français NIS2 » puisque ce droit n'est pas écrit.
Ce qui s'applique bel et bien
NIS1 reste en vigueur, faute de loi abrogeante : loi n° 2018-133 du 26 février 2018, décret n° 2018-384 et arrêté du 14 septembre 2018. Les OSE, désignés par arrêté du Premier ministre, et les FSN y sont soumis. Le dispositif SAIV reste également en vigueur (code de la défense, art. L. 1332-6-1 et suivants) : les OIV déclarent leurs SIIV à l'ANSSI, et le projet de loi révise ce dispositif au lieu de le supprimer, de sorte que les obligations OIV se superposeront au socle NIS2.
L'ANSSI est aujourd'hui autorité compétente et point de contact unique au titre de NIS1, et le projet de loi la désigne pour NIS2. Le CERT-FR est le CSIRT national.
Ce que vous pouvez faire dès maintenant
L'ANSSI a ouvert MesServicesCyber, qui a absorbé MonEspaceNIS2 depuis le 24 mars 2026 et propose cinq rubriques (comprendre, se déclarer, réduire les risques, se préparer, réagir). L'enregistrement y est un pré-enregistrement volontaire : l'ANSSI l'encourage mais ne peut pas l'imposer tant que les textes ne sont pas publiés.
L'ANSSI a également publié le ReCyF (Référentiel Cyber France) en version document de travail. Il n'est pas contraignant, mais il met en regard les mesures qu'elle recommande et les objectifs de sécurité de NIS2, avec un comparateur vers l'ISO/CEI 27001 et 27002. C'est le meilleur signal disponible de ce que l'ANSSI attendra, et donc la référence la plus utile pour évaluer un logiciel aujourd'hui.
Sur le volume d'entités concernées, deux chiffres circulent avec des sources différentes. L'étude d'impact du projet de loi retient « de 500 à 15 000 entités environ ». L'ANSSI, dans ses supports de mars 2026, parle de « plus de 25 000 entités ». Les deux méritent d'être cités avec leur source plutôt que ramenés à un chiffre unique.
Conséquence pour l'achat. Choisir un outil sur la base d'un droit français qui n'est pas encore écrit est risqué. Le critère solide est la couverture des articles de la directive et du ReCyF, plus la capacité de l'éditeur à intégrer les exigences nationales quand elles paraîtront, sans refonte.
Les quatre voies vers la conformité NIS2
Avant de comparer des produits, tranchez l'approche. Elles se distinguent surtout par la charge qui reste dans vos équipes, par le délai avant d'atteindre un état défendable et par le coût complet (état des lieux : août 2026).
| Approche | Charge interne | Délai avant un état défendable | Coût complet | Autres référentiels | Convient à |
|---|---|---|---|---|---|
| Tableurs et développement interne | Très élevée, chaque mise à jour à la main | Démarrage rapide, fragile en quelques mois | Licence faible, coût interne élevé | Peu transposable | Très petites équipes sans budget, en solution d'attente |
| Conseil classique | Moyenne, la mise en œuvre reste en partie interne | Moyen, selon la disponibilité des consultants | Élevé, souvent à six chiffres pour une ETI | Selon le consultant | Entreprises sans fonction sécurité qui ont besoin d'accompagnement |
| Logiciel en libre-service | Moyenne à élevée, l'appréciation reste chez vous | Rapide si les intégrations sont bonnes | Moyen | Large selon la plateforme | Équipes disposant d'un RSSI et d'un rôle conformité |
| Plateforme et experts | Faible, automatisation et décisions accompagnées | Rapide, quelques semaines | Moyen, accompagnement inclus | Large, un socle de mesures commun | Entreprises qui veulent avancer vite sans grande équipe interne |
Le vrai arbitrage se lit dans la deuxième et la dernière colonne. Les tableurs économisent la licence, coûtent le plus de temps interne et cèdent précisément quand une autorité demande l'état des lieux d'il y a six mois. Le conseil classique décharge vos équipes, coûte le plus cher et laisse le savoir chez le prestataire. Le logiciel seul est rapide mais vous laisse l'appréciation de la proportionnalité. L'approche hybride associe l'automatisation de la plateforme à des personnes qui portent cette appréciation avec vous. Kertos fonctionne ainsi, en combinant la plateforme et des experts certifiés qui peuvent assurer des mandats de RSSI externe et de DPO externe.
Les fonctions qui font la différence
La couverture complète des dix mesures de l'art. 21, § 2
L'art. 21, § 2 énumère dix mesures de gestion des risques. Elles constituent le fond de l'obligation et, lues comme une liste de contrôle, le meilleur test à faire passer à un produit. Pour chaque ligne, demandez quelle preuve le système produit seul et laquelle restera à votre charge.
| Mesure (art. 21, § 2) | Ce que le logiciel doit produire | Lacune la plus fréquente |
|---|---|---|
| Analyse des risques et politiques de sécurité | Registre des risques versionné, avec évaluation, responsable et décision de traitement | Risques recensés, décision d'acceptation jamais documentée |
| Gestion des incidents | Dossier d'incident horodaté, de la détection à la clôture | L'incident vit dans l'outil de tickets, la preuve nulle part |
| Continuité d'activité, sauvegardes et gestion de crise | Preuve d'une restauration testée, pas seulement du plan | PCA rédigé, test de restauration jamais consigné |
| Sécurité de la chaîne d'approvisionnement | Registre des fournisseurs avec criticité, évaluation et échéance de revue | Questionnaires dans une boîte mail plutôt que dans le registre |
| Sécurité de l'acquisition, du développement et de la maintenance, y compris la gestion des vulnérabilités | Connexion aux scanners et aux dépôts, avec un délai de correction traçable | Rapports de scan sans lien avec la mesure qu'ils prouvent |
| Politiques d'évaluation de l'efficacité des mesures | Revues planifiées avec résultat, écart et action de suivi | Efficacité affirmée, jamais vérifiée |
| Cyberhygiène et formation à la sécurité | Attestations de formation par personne, avec date et contenu | Feuilles de présence sans lien avec le contenu enseigné |
| Cryptographie et chiffrement | Politique et preuve technique des mécanismes réellement en place | Politique écrite, mise en œuvre non prouvée |
| Sécurité des ressources humaines, contrôle d'accès et gestion des actifs | Inventaire des actifs à jour et revues d'habilitations documentées | Inventaire figé depuis le déploiement |
| Authentification multifactorielle et communications sécurisées | Lecture de l'état réel du MFA dans le système d'identité | MFA comme politique et non comme état mesuré |
Les formulations du tableau sont condensées et ne reprennent pas le texte de la directive mot à mot. L'art. 21, § 2 fait foi. Notre article sur les exigences de NIS2 les détaille.
La notification de l'art. 23 comme processus, pas comme formulaire
C'est l'obligation la plus souvent mal décrite. L'art. 23 ne définit pas trois étapes, et les rapports vont au CSIRT ou, le cas échéant, à l'autorité compétente.
| Rapport | Délai | Contenu | Échec le plus fréquent |
|---|---|---|---|
| Alerte précoce | 24 heures | Première information sur l'incident important | Personne n'est habilité à notifier sur une base incomplète |
| Notification d'incident | 72 heures, ou 24 heures pour les prestataires de services de confiance | Évaluation, gravité et indicateurs de compromission | Détection faible, le compteur tourne déjà |
| Rapport intermédiaire | À la demande du CSIRT ou de l'autorité | Point de situation | Pas de délai fixe, donc jamais anticipé |
| Rapport final | Un mois après la notification | Cause racine, mesures prises et impact transfrontière | Cause racine impossible à reconstituer après coup |
| Rapport d'avancement | Si l'incident est toujours en cours à un mois | État du traitement, rapport final à la clôture | Oublié parce que l'incident est considéré comme clos |
Deux détails passent presque toujours à la trappe. Le délai de 24 heures pour les prestataires de services de confiance figure au dernier alinéa de l'art. 23, § 4 et non dans un article distinct. Et l'art. 23, § 1 comporte aussi une obligation envers vos clients : le cas échéant, vous devez informer les destinataires de vos services des incidents importants susceptibles de nuire à ces services.
Le test à faire passer à un produit est simple : gère-t-il cette séquence comme un processus avec un compteur démarrant à la détection, une habilitation attribuée à l'avance et un journal qui prouve ensuite la date de chaque envoi ? Un formulaire ne suffit pas, car les 24 premières heures posent un problème de décision et non de documentation.
La chaîne d'approvisionnement comme registre
La sécurité de la chaîne d'approvisionnement fait partie des dix mesures et c'est l'exigence sur laquelle la plupart des programmes calent. L'art. 21, § 2, point d) vise la sécurité des relations avec les fournisseurs et prestataires directs, donc une évaluation continue et non un questionnaire rempli une fois.
Vérifiez que le produit tient un registre avec cotation de criticité, pose des échéances de revue, envoie les questionnaires et relie les réponses aux mesures concernées. Un outil qui produit des questionnaires et archive des PDF déplace le travail au lieu de l'absorber. Notez au passage que les évaluations coordonnées au niveau de l'Union prévues à l'art. 22 sont facultatives.
Une preuve qui tient encore dans douze mois
Une autorité ne demande pas l'état d'aujourd'hui. Elle demande celui du jour de l'incident ou du contrôle. L'historique devient donc la vraie fonction : journaux horodatés et inaltérables, politiques versionnées, capacité à reconstituer l'état d'une date quelconque.
L'autre moitié du sujet est la sortie. Vérifiez que vous pouvez exporter l'intégralité des preuves dans un format exploitable. Des preuves lisibles seulement à l'intérieur d'une plateforme vous lient à l'éditeur.
Un socle commun pour NIS2 et l'ISO 27001
Un SMSI certifié ISO/CEI 27001 couvre une grande partie des exigences de sécurité de l'art. 21, § 2. Il ne couvre pas les obligations propres à NIS2 : l'enregistrement, les délais de l'art. 23 et la preuve relative aux organes de direction. Le comparateur du ReCyF part d'ailleurs de ce constat.
Un logiciel efficace fait porter les deux niveaux par un socle de mesures unique plutôt que par deux systèmes parallèles. Nous détaillons les recoupements dans NIS2 et ISO 27001.
Kertos rassemble NIS2, l'ISO 27001, le RGPD, SOC 2, TISAX et le règlement européen sur l'IA dans un socle commun. Plus de 100 intégrations collectent la preuve dans les systèmes que vos équipes utilisent déjà, ce qui réduit la charge manuelle d'environ 80 %.
Comment choisir
Clarifier le périmètre et la classification d'abord
Sans classification solide, vous comparez des produits sur un périmètre inconnu, et le test n'est pas celui que donnent la plupart des résumés.
Les entités essentielles ne sont pas simplement les grandes entités de l'annexe I. L'art. 3, § 1 est une liste de sept catégories, dont les grandes entités de l'annexe I ne sont que la première. Le point g) est le plus souvent oublié : les entités déjà identifiées comme OSE avant le 16 janvier 2023. Les entités importantes forment la catégorie résiduelle de l'art. 3, § 2.
Le test de taille vient de la recommandation 2003/361/CE et se cite souvent mal. Une entreprise est petite si son effectif est inférieur à 50 personnes et que son chiffre d'affaires et/ou son total de bilan n'excède pas 10 millions d'euros ; elle cesse donc de l'être seulement lorsqu'elle dépasse les deux plafonds financiers. Elle dépasse les plafonds des moyennes entreprises à partir de 250 personnes, ou d'un chiffre d'affaires supérieur à 50 millions d'euros et d'un total de bilan supérieur à 43 millions d'euros.
L'annexe I couvre 11 secteurs, sous l'intitulé « Secteurs de haute criticité », et l'annexe II en couvre 7, sous l'intitulé « Autres secteurs critiques ». Notre page dédiée à NIS2 présente le périmètre complet.
Vérifier la capacité multi-pays
Vos obligations s'attachent à chaque État membre. L'art. 26, § 1 pose la règle par défaut : la compétence suit l'établissement et non le lieu de fourniture du service. Trois exceptions existent. Les fournisseurs de réseaux ou de services de communications électroniques publics relèvent de chaque État membre où ils fournissent le service. La catégorie des fournisseurs numériques relève de l'État membre de son établissement principal. Les entités de l'administration publique relèvent de l'État qui les a créées.
L'art. 26, § 3 ajoute une obligation souvent ignorée : une entité de cette catégorie numérique non établie dans l'Union qui y propose ses services doit désigner un représentant dans un État membre où elle opère. À défaut, tout État membre concerné peut engager une action à son encontre.
Pour une entreprise française qui opère aussi en Allemagne, aux Pays-Bas ou en Espagne, la question pratique est simple : le produit sait-il vous dire de quelle autorité relève chaque entité du groupe, et intègre-t-il les règles nationales de chaque pays, ou seulement les numéros d'articles de la directive ? Compte tenu du retard français, c'est aussi le critère qui vous protège le mieux : vos filiales étrangères sont peut-être déjà soumises alors que la maison mère ne l'est pas.
Évaluer l'hébergement et le contrôle de l'éditeur
Une plateforme NIS2 contient la description de vos faiblesses : mesures ouvertes, évaluations de risques, dossiers d'incidents, évaluations de fournisseurs. C'est le jeu de données le plus sensible qu'une entreprise confie à un prestataire.
Regardez au-delà de la région d'hébergement : qui contrôle la société qui détient les données ? La question revient systématiquement dans les appels d'offres des clients régulés. Évaluez aussi si la plateforme a été conçue pour les référentiels européens ou étendue à eux depuis un produit pensé pour un autre marché. Kertos héberge les données en Allemagne et a été conçu dès l'origine pour les exigences européennes.
Décider qui porte l'appréciation
L'art. 21, § 1 exige des mesures appropriées et proportionnées. La proportionnalité est une appréciation, et le logiciel ne la fournit pas. Les outils en libre-service vous donnent une structure et de l'automatisation ; savoir si votre contrôle d'accès suffit à votre profil de risque reste votre décision.
Établissez donc où siège cette compétence avant de choisir. Avec un RSSI et une équipe sécurité en place, le libre-service est efficace. Sinon, il vous faut du conseil en complément ou une plateforme qui inclut les experts. Kertos associe la plateforme à des experts certifiés en sécurité de l'information et en protection des données, qui portent cette appréciation avec vous et peuvent assurer des mandats de RSSI externe et de DPO externe.
Comparer le coût complet, pas la licence
La licence est la plus petite part de la facture. Ajoutez la mise en place, le temps interne consacré à la tenue des registres et à la collecte des preuves, la préparation des contrôles et le coût de l'aide extérieure pour ce que le logiciel ne couvre pas.
Une plateforme plus chère qui collecte la preuve automatiquement revient souvent moins cher au total qu'une solution bon marché qui laisse le travail manuel. Comparez aussi avec une mise en œuvre pilotée par un cabinet de conseil, souvent à six chiffres pour une ETI. Vérifiez enfin ce qui est inclus dans le prix et ce qui arrive en projet supplémentaire.
Quand se lancer
Quand vous opérez dans plusieurs États membres
C'est là que les approches manuelles cèdent en premier, parce que les obligations divergent au rythme des transpositions. Pour une entreprise française présente en Allemagne, la filiale allemande est soumise depuis le 6 décembre 2025 alors que la maison mère attend encore ses textes. Un registre par pays, tenu à la main, dérive en un trimestre.
Quand vous exploitez déjà un SMSI
Un SMSI existant est le point de départ le moins coûteux. Le travail se réduit à confirmer le périmètre et la classification, combler les écarts face aux dix mesures, mettre en place le processus de notification et compléter la preuve relative aux organes de direction. Le ReCyF fournit le comparateur pour l'analyse d'écart.
Quand vos clients demandent des preuves
Les entités concernées doivent évaluer la sécurité de leurs fournisseurs directs, ce qui produit un effet de cascade. Si vous vendez à une entité concernée, on vous demandera des preuves, que NIS2 s'applique directement à vous ou non. Ce point vaut aussi pour les fournisseurs français d'OSE allemands ou néerlandais.
Quand la notification repose sur une personne
Un processus de notification qui dépend de la disponibilité d'une personne ne résistera pas à un incident. C'est le déclencheur le plus fiable d'un changement d'outil, car le compteur de l'art. 23 démarre à la détection et non à la disponibilité.
Questions fréquentes
Faut-il vraiment un logiciel pour NIS2 ?
Juridiquement, non. La directive exige des mesures et des preuves, pas un outil. En pratique, tenir la preuve à jour devient difficile au-delà d'une certaine taille, car NIS2 exige une documentation continue et non un état arrêté à une date. La rupture arrive rarement au démarrage, mais la première fois qu'il faut reconstituer un état antérieur.
NIS2 s'applique-t-il déjà en France ?
Pas encore. Aucun texte de transposition n'est publié au Journal officiel et le projet de loi n'a pas été voté en séance publique à l'Assemblée nationale. NIS1 et le dispositif SAIV restent en vigueur, et l'ANSSI propose un pré-enregistrement volontaire sur MesServicesCyber. Vos filiales situées dans des États membres ayant transposé sont, elles, déjà soumises.
Combien coûte un logiciel NIS2 ?
Le prix dépend de la taille de l'entreprise, du nombre de référentiels, du nombre d'utilisateurs et de l'accompagnement inclus. Le coût complet est plus parlant que la licence : mise en place, travail interne récurrent et préparation des contrôles. Comparez aussi avec une mise en œuvre pilotée par un cabinet de conseil.
Un outil ISO 27001 suffit-il pour NIS2 ?
En partie. Un SMSI certifié ISO/CEI 27001 couvre une grande partie des exigences de sécurité de l'art. 21, § 2. Il ne couvre pas l'enregistrement, les délais de l'art. 23 ni la preuve relative aux organes de direction. Choisissez un outil qui porte les deux niveaux dans un socle commun.
Existe-t-il une certification NIS2 ?
Non. NIS2 ne crée aucune certification, ni pour les entreprises ni pour les logiciels. L'art. 24 permet seulement aux États membres d'exiger, dans certains cas, des produits et services TIC certifiés au titre d'un schéma adopté en application du règlement (UE) 2019/881. On parle de conformité NIS2, jamais de certification NIS2.
Faut-il attendre la loi française avant de choisir un outil ?
Non, et attendre coûte plus cher. Les dix mesures de l'art. 21, § 2 et la séquence de notification de l'art. 23 ne changeront pas au moment de la transposition ; ce sont les modalités nationales qui se préciseront. Un socle construit sur la directive et sur le ReCyF restera valable, et l'analyse d'écart faite maintenant se réutilisera telle quelle.
Conclusion : NIS2 est un programme, pas un projet
La question du logiciel n'est pas celle du catalogue de fonctions le plus long. C'est celle de savoir si votre preuve tiendra encore dans douze mois, si les délais de l'art. 23 reposent sur un processus et non sur une personne, et si le produit suivra les exigences nationales quand elles paraîtront.
Le reste découle de votre situation. En France, le retard de transposition n'est pas une raison d'attendre : il déplace simplement le critère de sélection vers la directive et le ReCyF, et vers la capacité multi-pays si vous avez des filiales déjà soumises.
Kertos associe la plateforme à des experts certifiés, réunit NIS2 et l'ISO 27001 dans un socle commun et affiche un taux de réussite de 100 % aux audits externes de ses clients.
Voyez comment automatiser votre preuve NIS2. Demandez une démo et nous parcourrons votre périmètre ensemble.
