La directive NIS2 définit les principales exigences de cybersécurité auxquelles les moyennes et grandes entreprises des secteurs critiques et importants de l'Union européenne doivent satisfaire. Elle a remplacé le cadre NIS d'origine par un champ d'application plus large, une supervision plus stricte, des obligations de gouvernance renforcées et des exigences plus explicites en matière de gestion des risques de cybersécurité et de notification des incidents. Pour les entreprises qui veulent comprendre ce que la conformité signifie concrètement, les parties les plus importantes du texte sont les règles de gouvernance de l'article 20, les mesures de gestion des risques de cybersécurité de l'article 21 et les obligations de notification de l'article 23.
Si vous cherchez une réponse pratique aux questions sur les exigences de NIS2, voici la manière la plus simple d'aborder le sujet. NIS2 impose aux entités concernées de déterminer si elles relèvent de la directive, d'attribuer des responsabilités au niveau de la direction, de mettre en œuvre des mesures de sécurité techniques, opérationnelles et organisationnelles proportionnées, de documenter ces mesures, de former la direction, de se préparer aux interruptions d'activité, de sécuriser leurs principaux fournisseurs et de notifier les incidents de sécurité importants à l'autorité compétente dans des délais serrés. Ces exigences sont volontairement générales, car la directive attend des entreprises qu'elles adaptent leurs contrôles à leur propre profil de risque, à leur secteur et à leur réalité opérationnelle.
Quelles sont les exigences de NIS2 ?
À haut niveau, les exigences de NIS2 se répartissent en quatre domaines interdépendants. Le premier est le champ d'application : votre entreprise est-elle une entité essentielle ou importante au sens de la directive. Le deuxième est la gouvernance : la responsabilité des organes de direction d'approuver et de superviser les mesures de cybersécurité. Le troisième est la gestion des risques : les exigences minimales relatives aux mesures de sécurité à mettre en œuvre au titre de l'article 21. Le quatrième est la notification des incidents : l'obligation de signaler rapidement et de manière structurée les incidents de sécurité importants.
Cette structure est importante, car beaucoup d'articles n'expliquent qu'un seul de ces niveaux. En réalité, une entreprise ne satisfait aux exigences de NIS2 que si ces quatre niveaux sont reliés entre eux. Le champ d'application détermine si vous êtes concerné. La gouvernance détermine qui est responsable. La gestion des risques détermine ce que vous devez mettre en œuvre. La notification détermine ce que vous devez faire en cas de problème. Le texte est rédigé de sorte que la cybersécurité devienne une responsabilité de la direction, et non une question purement informatique. La Commission européenne souligne elle-même que NIS2 porte la cybersécurité au niveau du conseil d'administration en rendant la direction responsable en cas de manquement aux mesures de gestion des risques.
Qui doit se conformer à NIS2 ?
NIS2 s'applique à un éventail de secteurs bien plus large que la directive NIS d'origine. La Commission indique que les nouvelles règles s'ajoutent aux secteurs déjà couverts par NIS1 et s'appliquent désormais aussi aux fournisseurs de communications électroniques publiques, à d'autres services numériques comme les plateformes de réseaux sociaux, à la gestion des déchets et des eaux usées, à la fabrication de produits critiques, aux services postaux et de messagerie, à l'administration publique et au secteur spatial.
En règle générale, les moyennes et grandes entités des secteurs couverts sont concernées, la directive incluant certaines entités quelle que soit leur taille, notamment certains fournisseurs de DNS, les registres de domaines de premier niveau, les prestataires de services de confiance et certains organismes de l'administration publique.
La directive répartit les entités concernées en deux catégories réglementaires : les entités essentielles et les entités importantes. Cette distinction concerne surtout la supervision, mais les deux catégories sont soumises aux mêmes mesures de base de gestion des risques de cybersécurité et aux mêmes obligations de notification. Les entités essentielles font généralement l'objet d'une supervision plus proactive, tandis que les entités importantes sont plutôt surveillées de manière réactive, en particulier à la suite d'incidents ou en cas de signes de non-conformité.
L'essentiel : être classé comme « importante » ne signifie pas que les exigences sont faibles. Les obligations restent substantielles et les autorités de supervision disposent de pouvoirs d'exécution.
Quand NIS2 est-elle entrée en vigueur ?
NIS2 est entrée en vigueur en janvier 2023, et les États membres avaient jusqu'au 17 octobre 2024 pour la transposer en droit national. La Commission précise également que NIS2 a abrogé NIS1 à compter du 18 octobre 2024.
Il existe un autre développement important que beaucoup d'articles passent encore sous silence. Le 17 octobre 2024, la Commission a adopté le règlement d'exécution (UE) 2024/2690, qui fixe des exigences techniques et méthodologiques pour certaines entités numériques et liées aux TIC, notamment les fournisseurs de cloud, les fournisseurs de services de centres de données, les fournisseurs de services de sécurité gérés, les places de marché en ligne, les moteurs de recherche en ligne, les plateformes de réseaux sociaux et les prestataires de services de confiance. Le guide de mise en œuvre technique de l'ENISA de 2025 a été publié spécifiquement pour aider ces entités à opérationnaliser cette réglementation.
Article 20 : la responsabilité de la direction, une exigence clé de NIS2
L'une des exigences les plus importantes de NIS2 est la responsabilité de la direction. L'article 20 impose aux organes de direction des entités essentielles et importantes d'approuver les mesures de gestion des risques de cybersécurité prises pour se conformer à l'article 21, d'en superviser la mise en œuvre et d'assumer la responsabilité des manquements. Il impose également aux États membres de veiller à ce que les organes de direction suivent une formation et à ce que les employés en reçoivent régulièrement, afin d'acquérir les connaissances et compétences nécessaires pour identifier les risques et évaluer les pratiques de gestion des risques de cybersécurité.
Beaucoup d'entreprises sous-estiment la directive sur ce point. NIS2 ne considère pas la cybersécurité comme un silo technique que l'on peut déléguer sans supervision. La directive attend des conseils d'administration et de la direction qu'ils participent à l'approbation, au suivi et au renforcement des compétences. Concrètement, votre entreprise doit pouvoir démontrer où la direction a formellement approuvé le programme de cybersécurité, comment elle reçoit les rapports sur la mise en œuvre et les incidents, quels seuils d'escalade existent et comment la formation des dirigeants est documentée. Sans ces preuves de gouvernance, de nombreuses organisations auront du mal à démontrer leur conformité, même si elles disposent de contrôles techniques appropriés.
Article 21 : les 10 mesures minimales de gestion des risques de cybersécurité
L'article 21 est au cœur des exigences de NIS2. Il impose aux entités essentielles et importantes de prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité des réseaux et des systèmes d'information qu'elles utilisent pour exploiter ou fournir leurs services, et pour prévenir ou limiter l'impact des incidents sur les destinataires de leurs services et sur d'autres services. La directive établit ensuite une liste minimale de mesures à prendre en compte.
La première exigence est une politique d'analyse des risques et de sécurité des systèmes d'information. L'entreprise doit comprendre quels systèmes, actifs, processus métier, dépendances et scénarios de menace comptent le plus, puis traduire cette compréhension en une approche de contrôle documentée. Un programme mature comprend généralement des inventaires d'actifs, une visibilité sur les flux de données, des critères de risque, des décisions de traitement et des cycles de réévaluation liés à l'évolution de l'environnement.
La deuxième exigence porte sur la gestion des incidents. NIS2 attend des entités qu'elles détectent les incidents, y répondent, les gèrent, les documentent et en tirent des enseignements. Cela suppose généralement des niveaux de gravité définis, des chaînes d'escalade, des manuels techniques, des procédures de communication interne et des revues post-incident qui produisent des mesures correctives et des comptes rendus.
La troisième exigence est la continuité d'activité, y compris la gestion des sauvegardes, la reprise après sinistre et la gestion de crise. La conformité va donc au-delà de la prévention : les régulateurs attendent de la résilience, c'est-à-dire la capacité de votre organisation à maintenir ou rétablir ses opérations critiques en cas de perturbation. La couverture des sauvegardes, les objectifs de restauration, les tests de restauration, les rôles de crise et les protocoles de décision deviennent des preuves essentielles.
La quatrième exigence concerne la sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité des relations entre chaque entité et ses fournisseurs directs ou prestataires de services. L'article 21 précise que les entreprises doivent tenir compte des vulnérabilités propres à chaque fournisseur direct et prestataire, ainsi que de la qualité globale de leurs produits et de leurs pratiques de cybersécurité, y compris leurs processus de développement sécurisé, le cas échéant. C'est l'une des parties les plus exigeantes de NIS2 sur le plan opérationnel, car elle est continue : la gestion des risques liés aux tiers impose des contrôles permanents plutôt qu'une vérification ponctuelle.
La cinquième exigence porte sur la sécurité de l'acquisition, du développement et de la maintenance des réseaux et systèmes d'information, y compris la gestion et la divulgation des vulnérabilités. NIS2 entre ici dans le domaine des pratiques de cycle de vie sécurisé. Les organisations doivent pouvoir démontrer la gouvernance des correctifs, des configurations de référence sécurisées, la gestion des changements, le tri des vulnérabilités, les délais de correction et un processus de réception et de traitement des rapports de vulnérabilité.
La sixième exigence concerne les politiques et procédures d'évaluation de l'efficacité des mesures de gestion des risques de cybersécurité. Les contrôles eux-mêmes doivent être évalués, et pas seulement documentés. L'audit interne, les tests de contrôle, la surveillance, les indicateurs et la revue de direction deviennent pertinents. Une bibliothèque de politiques documentée mais sans discipline de test suffit rarement.
La septième exigence porte sur les pratiques de base de cyberhygiène et la formation à la cybersécurité. Les documents de mise en œuvre de l'article 21 insistent sur la sensibilisation aux risques et sur l'usage de bonnes pratiques d'hygiène informatique par les employés, les organes de direction, les fournisseurs et les prestataires, le cas échéant. La formation prévue par NIS2 est fondée sur les rôles, récurrente et destinée à soutenir une performance opérationnelle mesurable.
La huitième exigence concerne les politiques et procédures relatives à l'usage de la cryptographie et, le cas échéant, du chiffrement. Cela inclut la gouvernance des cas où le chiffrement est requis, la gestion des clés, les états de données à protéger et la manière dont les exceptions sont approuvées et revues.
La neuvième exigence porte sur la sécurité des ressources humaines, les politiques de contrôle d'accès et la gestion des actifs. Ce domaine couvre le recrutement, les changements de poste, l'offboarding, la gestion des privilèges, la séparation des tâches, la gestion des appareils, l'usage acceptable et la gestion du cycle de vie des actifs informationnels.
La dixième exigence est l'usage de solutions d'authentification multifacteur ou d'authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes de communication d'urgence sécurisés au sein de l'entité, le cas échéant. Cela montre clairement que NIS2 attend des contrôles techniques concrets, même si la directive reste, à haut niveau, fondée sur les risques et neutre sur le plan technologique.
Article 23 : les délais de notification des incidents NIS2
L'article 23 est l'une des parties les plus consultées de la directive, car les délais de notification sont stricts et très opérationnels. NIS2 impose aux entités de notifier sans délai les incidents de sécurité importants. Le calendrier habituel comprend une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident important, une notification d'incident dans les 72 heures et un rapport final au plus tard un mois après la notification. La notification initiale et les suivantes doivent contenir suffisamment d'informations pour que l'autorité compétente ou le CSIRT puisse comprendre la gravité, l'impact, les indicateurs de compromission disponibles et les éventuelles implications transfrontalières.
Du point de vue de la mise en œuvre, cette obligation signifie que les entreprises ont besoin de plus qu'un simple plan de réponse aux incidents. Il leur faut un modèle de décision qui définit ce qui constitue un incident important, qui décide de l'obligation de notifier, comment les équipes juridiques et de communication sont impliquées, quelles informations recueillir dans les premières heures et comment les validations internes fonctionnent sous pression. C'est l'une des principales raisons pour lesquelles les entreprises matures font reposer leur préparation à NIS2 sur des scénarios et des exercices de simulation plutôt que sur de simples documents de politique.
Quelles preuves faut-il pour démontrer la conformité à NIS2 ?
NIS2 ne crée pas de certification européenne unique et générale de conformité : il incombe à l'entité de démontrer qu'elle a mis en œuvre les mesures appropriées. En pratique, les preuves comptent donc autant que les contrôles. Le guide de mise en œuvre 2025 de l'ENISA est particulièrement utile à cet égard, car il associe les exigences à des exemples de preuves et à des attentes concrètes de mise en œuvre pour les secteurs numériques concernés.
Une entreprise bien préparée doit donc disposer d'une base de preuves solide couvrant la gouvernance, le risque, l'exploitation, la résilience, les fournisseurs et la gestion des incidents. Cela inclut généralement les évaluations des risques, les politiques de sécurité, les approbations du conseil d'administration, les registres de formation, les journaux d'incidents, la documentation de due diligence fournisseurs, les résultats des tests de continuité d'activité, les résultats de la gestion des vulnérabilités, les revues d'accès et les contrôles d'évaluation de l'efficacité. C'est d'autant plus important que beaucoup d'entreprises veulent répondre à une question très concrète : comment prouveront-elles leur conformité lors d'une supervision, d'un audit ou d'une enquête ?
Une feuille de route pratique pour répondre aux exigences de NIS2
La voie la plus efficace vers la conformité commence par le champ d'application et la classification. Votre entreprise doit confirmer si elle relève des secteurs de l'annexe I ou de l'annexe II, si les seuils de taille sont atteints, si des exemptions propres au secteur ou à l'entité s'appliquent et si la législation nationale impose des obligations supplémentaires. Ensuite, la gouvernance doit être formalisée rapidement, car l'approbation et la supervision par le conseil d'administration ne peuvent pas, de manière crédible, être organisées à la dernière minute.
La phase suivante est une analyse des écarts par rapport aux articles 20, 21 et 23, appuyée le cas échéant par le règlement d'exécution 2024 et les lignes directrices 2025 de l'ENISA. Elle devrait mettre en évidence les lacunes de contrôle, les preuves manquantes, les responsabilités floues, les processus fournisseurs immatures, les tests insuffisants et le manque de préparation à la notification. Une fois l'analyse des écarts terminée, les organisations doivent prioriser les mesures correctives en fonction de la criticité des services, du risque de concentration et de l'exposition réglementaire, puis établir un plan de mise en œuvre documenté avec jalons, responsabilités et reporting à la direction.
La dernière phase est la mise en œuvre. Elle consiste à tester le processus de gestion des incidents, à valider les sauvegardes et les restaurations, à revoir les décisions relatives aux risques fournisseurs, à confirmer que la gestion des vulnérabilités fonctionne en pratique et à s'assurer que les obligations de notification peuvent être respectées dans les délais légaux. Les entreprises qui réussissent le mieux avec NIS2 sont généralement celles qui abordent la conformité comme un modèle opérationnel, appuyé par des preuves et une supervision de la direction, plutôt que comme un projet administratif.
Erreurs fréquentes des entreprises avec NIS2
Une erreur fréquente consiste à considérer NIS2 avant tout comme un exercice de documentation. La directive repose sur une résilience et une gestion des risques démontrables : contrôles, preuves, tests et responsabilité comptent ensemble. Une autre erreur courante est de traiter la sécurité des fournisseurs comme un simple questionnaire d'achat plutôt que comme une discipline vivante de gestion des risques.
Une troisième erreur est d'ignorer la formation et les validations d'approbation par la direction, alors même que l'article 20 les place au cœur du dispositif. Une quatrième est de découvrir trop tard que les décisions de notification d'incident ne peuvent pas être prises rapidement, parce que les équipes juridiques, sécurité et opérationnelles n'ont jamais défini à l'avance les seuils d'importance ni les circuits de notification.
Exigences NIS2 : l'essentiel à retenir
Les exigences de NIS2 sont vastes, sérieuses et exigeantes sur le plan opérationnel, car la directive vise à relever le niveau réel de résilience en cybersécurité en Europe. Pour la plupart des entreprises, le principal défi de conformité consiste à transformer le texte en un système d'exploitation pour la gouvernance, la gestion des risques, la résilience, la supervision des fournisseurs et la notification rapide. Si vous appréhendez la directive à travers les articles 20, 21 et 23, puis traduisez ces obligations en processus fondés sur la preuve, vous vous concentrez sur les parties de NIS2 qui comptent le plus en pratique.
FAQ
Une liste complète des 50 principales questions fréquentes sur NIS2 est disponible ici : https://www.kertos.io/nis2-faq
Quelles sont les principales exigences de NIS2 ?
Les principales exigences de NIS2 incluent la définition du champ d'application, la responsabilité de la direction, les mesures de gestion des risques de cybersécurité au titre de l'article 21 et les obligations de notification des incidents au titre de l'article 23. La directive impose aussi de conserver des preuves, de former la direction et de mettre en œuvre des mesures de sécurité proportionnées couvrant les systèmes, les fournisseurs et la continuité d'activité.
Quelles sont les 10 mesures de l'article 21 de NIS2 ?
L'article 21 couvre l'analyse des risques, la gestion des incidents, la continuité d'activité, la sécurité de la chaîne d'approvisionnement, la sécurité de l'acquisition et du développement, l'évaluation de l'efficacité, la cyberhygiène et la formation, la cryptographie et le chiffrement, la sécurité des ressources humaines et le contrôle d'accès, ainsi que l'authentification multifacteur et les communications sécurisées, le cas échéant.
Quels sont les délais de notification de NIS2 ?
NIS2 impose généralement une alerte précoce dans les 24 heures, une notification d'incident dans les 72 heures et un rapport final dans un délai d'un mois pour les incidents importants. Les règles nationales de transposition peuvent préciser le processus exact, mais la directive fixe le calendrier de référence.
Qui entre dans le champ d'application de NIS2 ?
En principe, les moyennes et grandes entités actives dans les secteurs énumérés aux annexes I et II sont concernées. Ces secteurs couvrent notamment l'énergie, les transports, la santé, les infrastructures numériques, l'administration publique, les services financiers, l'industrie manufacturière ainsi que certains services numériques et de recherche. Certaines entités sont couvertes quelle que soit leur taille, en particulier lorsqu'elles fournissent des services particulièrement critiques : services de confiance, services DNS et TLD, communications électroniques publiques, certains organismes de l'administration publique et entités désignées comme fournisseurs essentiels ou uniques d'un service essentiel dans un État membre. Les États membres peuvent aussi inclure de plus petites entités à haut risque.
Les secteurs couverts vont désormais bien au-delà de la directive NIS d'origine et incluent des domaines comme les fournisseurs numériques, les communications électroniques publiques, la gestion des déchets et des eaux usées, la fabrication critique, les services postaux, l'administration publique et le secteur spatial.
Existe-t-il une certification NIS2 officielle ?
Il n'existe pas de certification générale NIS2 délivrée par l'UE attestant la conformité, comme le font certaines normes de systèmes de management. Les organisations doivent démontrer leur conformité par la mise en œuvre de contrôles, de gouvernance, de documentation et de preuves.
Comment démarrer avec NIS2
Kertos propose une automatisation de la conformité spécialement conçue pour les exigences européennes, dont NIS2 pour les opérateurs KRITIS. Notre plateforme réduit les coûts de mise en œuvre de 80 % par rapport aux approches manuelles, grâce à des modèles prêts à l'emploi pour les exigences réglementaires allemandes et à une collecte de preuves intégrée pour la préparation aux audits.
Commencez par votre évaluation NIS2 gratuite et vérifiez si votre entreprise est concernée par la nouvelle directive européenne.
Nouveau sur NIS2 ? Commencez par notre guide complet de la directive NIS2 pour une vue d'ensemble.
