Les idées reçues sur NIS2 ne constituent pas seulement un problème de connaissance. Elles représentent un risque concret. Lorsqu'une entreprise agit sur la base de fausses hypothèses concernant ce que NIS2 exige, à qui elle s'applique ou quand l'application commence, les conséquences sont précises : amendes significatives, responsabilité qui pèse sur les dirigeants et posture de sécurité plus faible que ce que la direction imagine.
NIS2, la directive européenne révisée sur la sécurité des réseaux et des systèmes d'information, avait une date limite de transposition fixée à octobre 2024. Pourtant, un grand nombre d'organisations européennes, notamment les PME et les entreprises de taille intermédiaire, continuent d'agir sur la base d'hypothèses concernant la directive qui vont de l'obsolète au simplement erroné. Cet article corrige les sept idées fausses les plus courantes, avec les faits et le contexte nécessaires pour comprendre ce que la conformité implique réellement.
NIS2 ne s'applique qu'aux grandes entreprises et aux infrastructures critiques
Il s'agit du mythe NIS2 le plus répandu, et il a laissé des milliers d'organisations sans préparation.
La directive NIS originale se concentrait principalement sur les opérateurs de services essentiels dans les secteurs critiques traditionnels : énergie, eau, transport, banques et santé. En pratique, il s'agissait d'une réglementation destinée aux grandes entités d'importance stratégique. NIS2 représente une extension fondamentale de ce champ d'application.
Les chiffres allemands donnent la mesure de cette extension : le BSI estime à environ 29 500 le nombre d'entités relevant de sa supervision en Allemagne. La directive couvre 18 secteurs, répartis entre l'Annexe I (entités essentielles) et l'Annexe II (entités importantes). Les secteurs essentiels comprennent l'énergie, les transports, les banques, la santé, l'eau, les infrastructures numériques, l'administration publique et l'espace. Les secteurs importants s'étendent aux services postaux et de messagerie, à la gestion des déchets, aux produits chimiques, à la production alimentaire, à la fabrication de produits critiques comme les dispositifs médicaux et l'électronique, aux fournisseurs numériques et aux organismes de recherche. Cette liste décrit une très grande partie du tissu économique européen.
Les transpositions nationales regroupent ces secteurs différemment. La loi allemande, par exemple, retient sept secteurs dans son annexe 1 et sept dans son annexe 2, et traite l'administration publique dans une disposition distincte. Pour évaluer votre périmètre, référez-vous au texte national applicable plutôt qu'aux annexes de la directive.
Le seuil de taille est également clairement défini, et plus bas que beaucoup ne le supposent. Tel qu'établi dans le texte officiel de la directive, NIS2 s'applique aux entités comptant au moins 50 employés ou affichant un chiffre d'affaires annuel supérieur à 10 millions d'euros, opérant dans l'un des secteurs couverts. Cette description correspond à une part significative des PME européennes qui n'ont pas encore entamé leur démarche de conformité. Si vous n'êtes pas certain que votre organisation entre dans le champ d'application, le vérificateur NIS2 de Kertos vous guide à travers l'évaluation en quelques minutes.
Être certifié ISO 27001 signifie être conforme à NIS2
La certification ISO 27001 est une réelle valeur ajoutée. Elle démontre qu'une organisation a mis en place un système de management de la sécurité de l'information structuré et l'a soumis à un audit indépendant. Si votre organisation l'a obtenue, vous disposez déjà d'une solide base pour NIS2. Mais se déclarer conforme à NIS2 sur la seule base de l'ISO 27001 constitue l'une des erreurs de conformité NIS2 les plus lourdes de conséquences qu'une entreprise puisse commettre.
Les deux référentiels se chevauchent de manière significative, mais traitent d'obligations distinctes. L'interprétation de NIS2 à travers le prisme de l'ISO 27001 révèle trois lacunes importantes.
Premièrement, les délais de notification des incidents. NIS2 impose aux entités essentielles de soumettre une alerte précoce à l'autorité nationale compétente dans les 24 heures suivant la prise de connaissance d'un incident significatif, suivie d'une notification plus complète dans les 72 heures et d'un rapport final dans le délai d'un mois à compter de cette notification. L'ISO 27001 ne prévoit aucun délai réglementaire obligatoire équivalent. La norme demande une bonne gestion des incidents, mais n'impose pas d'horloge légale assortie de conséquences en cas de non-respect.
Deuxièmement, la sécurité de la chaîne d'approvisionnement. NIS2 oblige les organisations à évaluer et à gérer activement les vulnérabilités de sécurité de leurs fournisseurs directs. Cela va bien au-delà d'un questionnaire standard d'évaluation des fournisseurs et exige un programme formel et documenté de sécurité de la chaîne d'approvisionnement. L'ISO 27001 aborde le risque lié aux tiers, mais NIS2 applique une rigueur différente.
Troisièmement, et peut-être le point le plus pratiquement significatif, la responsabilité du management. NIS2 place une responsabilité personnelle explicite sur les cadres dirigeants et les organes de gouvernance pour la supervision de la cybersécurité. L'ISO 27001 exige l'engagement de la direction, mais n'y attache aucune conséquence juridique pour les personnes concernées. Il s'agit d'une obligation spécifique à NIS2 qu'aucune certification ne peut satisfaire à elle seule.
| Exigence | ISO 27001 | NIS2 |
|---|---|---|
| Système de management de la sécurité de l'information | Oui (exigence centrale) | Oui (implicite) |
| Évaluation et traitement des risques | Oui | Oui |
| Processus de gestion des incidents | Oui (interne) | Oui + notification réglementaire obligatoire |
| Délai de notification des incidents | Non spécifié | Alerte 24h / notification 72h / rapport final 1 mois après la notification à 72h |
| Sécurité de la chaîne d'approvisionnement | Traitée (Annexe A) | Obligatoire, portant sur les fournisseurs directs |
| Responsabilité du management | Non | Oui ; en Allemagne, responsabilité envers l'entité elle-même |
| Amendes réglementaires pour non-conformité | Non | Jusqu'à 10 M€ ; les pourcentages de chiffre d'affaires ne s'appliquent qu'au-delà de 500 M€ |
| Enregistrement auprès de l'autorité nationale | Non | Oui (obligatoire dans la plupart des États membres) |
NIS2 est un problème du département informatique
Cette hypothèse est compréhensible. La cybersécurité a historiquement relevé du domaine technique, gérée par les équipes informatiques et, dans les organisations plus matures, par une fonction de sécurité dédiée. NIS2 change ce modèle de manière explicite et avec une portée juridique.
L'article 20 de la directive NIS2 impose aux organes de direction des entités essentielles et importantes d'approuver les mesures de gestion des risques de cybersécurité, d'en superviser la mise en œuvre et de suivre des formations en cybersécurité. Les transpositions nationales rendent cette obligation de façon variable : la loi allemande, par exemple, exige de la direction qu'elle mette en œuvre les mesures et en supervise l'application, sans reprendre la notion d'approbation.
Il ne s'agit pas d'un risque théorique, mais le mécanisme diffère de ce qui est souvent rapporté. Les obligations NIS2 qui incombent directement aux dirigeants prennent en Allemagne la forme d'une responsabilité envers leur propre organisation : un organe de direction qui manque fautivement à ses obligations répond du préjudice causé selon les règles du droit des sociétés applicables à la forme juridique de l'entreprise. La loi allemande ne prévoit pas d'amende personnelle contre les dirigeants pris individuellement. La règle n'en est pas pour autant inoffensive : un préjudice résultant d'un incident de sécurité qu'une mise en œuvre correcte aurait évité devient une créance de la société contre ses propres dirigeants, qu'un administrateur judiciaire ou un nouvel associé peut faire valoir. S'y ajoute l'obligation personnelle, pour les dirigeants, de suivre régulièrement des formations.
La conséquence pratique est que la conformité NIS2 requiert une responsabilité transversale. Les équipes de sécurité assurent la mise en œuvre technique. Les équipes juridiques et de conformité interprètent les obligations. La direction met en œuvre les mesures, en supervise l'exécution et assume la responsabilité du résultat. Les organisations qui traitent NIS2 comme un ticket dans le carnet de commandes de l'informatique répartissent mal à la fois la responsabilité et le risque.
La date limite est passée, il n'y a donc plus d'urgence
La date limite de transposition d'octobre 2024 est arrivée et repartie, et pour beaucoup d'organisations, rien de dramatique ne s'est produit immédiatement après. Pas d'amendes. Pas d'auditeurs. Il est tentant d'en conclure que l'urgence était exagérée, ou que la fenêtre d'action est déjà fermée.
Ces deux conclusions sont erronées, et la seconde est la plus dangereuse.
Sur la transposition : la plupart des États membres ont manqué la date limite d'octobre 2024, ce qui a conduit la Commission européenne à ouvrir des procédures d'infraction. Le 8 juillet 2026, elle a assigné l'Irlande, l'Espagne, la France et les Pays-Bas devant la Cour de justice de l'Union européenne pour transposition toujours manquante. La France n'a donc pas encore transposé la directive, et le texte national reste en cours d'examen. Dans la plupart des autres États membres, les obligations s'appliquent déjà.
L'Allemagne en fait partie. Sa loi de transposition a été publiée au Journal officiel fédéral le 5 décembre 2025 et refond la loi sur le BSI ; les obligations s'appliquent depuis le 6 décembre 2025, sans période transitoire de fond. Pour les entités concernées à cette date, le délai d'enregistrement a expiré le 6 mars 2026. Le BSI a ensuite accepté les enregistrements sans conséquence supplémentaire dans le cadre d'une tolérance administrative courant jusqu'au 31 juillet 2026. Ces deux échéances sont passées. L'obligation d'enregistrement demeure, et une organisation qui s'enregistre aujourd'hui rattrape une obligation déjà manquée.
Le BSI a déjà émis des dizaines de mises en demeure formelles à des organisations ayant omis de s'enregistrer ou de désigner un point de contact, avec une attention particulière portée au secteur de l'énergie et aux fournisseurs d'infrastructure numérique. Aucune amende substantielle n'a encore été prononcée, mais le chemin vers des sanctions concrètes est clairement défini et les régulateurs ont démontré leur intention de le suivre.
La fenêtre d'action n'est pas fermée. Mais les organisations qui attendaient une raison impérieuse d'agir en ont désormais une : des délais d'enregistrement déjà expirés dans plusieurs États membres, des autorités nationales actives et des obligations qui pèsent personnellement sur la direction. Attendre davantage ne réduit pas l'écart de conformité. Cela accroît l'exposition de tous ceux qui en sont responsables.
La conformité NIS2 est un projet ponctuel, et la sécurité de la chaîne d'approvisionnement est le problème de quelqu'un d'autre
Ces deux croyances apparaissent souvent ensemble, et ensemble elles représentent une incompréhension fondamentale de ce que NIS2 exige réellement.
NIS2 n'est pas une certification que l'on obtient une fois pour toutes. Il s'agit d'une obligation continue. La directive exige que les mesures de gestion des risques soient maintenues, révisées et mises à jour de façon permanente. Les obligations de notification des incidents sont toujours actives. Les évaluations de la sécurité de la chaîne d'approvisionnement doivent refléter l'état actuel de vos relations avec les fournisseurs, et non un instantané pris lors d'un projet achevé il y a deux ans. Les enregistrements auprès des autorités nationales doivent être tenus à jour lors de tout changement organisationnel.
La nature continue de la conformité NIS2 explique pourquoi l'automatisation de la conformité est devenue centrale pour les équipes de sécurité. Maintenir manuellement les preuves, suivre le statut des contrôles et gérer les évaluations des fournisseurs au sein d'une entreprise vivante et en constante évolution représente une charge opérationnelle considérable, en particulier pour des équipes déjà sous pression. Des plateformes comme Kertos automatisent la collecte de preuves, surveillent en continu le statut des contrôles via les systèmes intégrés et signalent les lacunes en temps réel, transformant la conformité d'un sprint périodique en une fonction permanente qui ne mobilise pas une capacité d'équipe disproportionnée.
Sur la chaîne d'approvisionnement : l'article 21 de NIS2 oblige explicitement les entités à traiter "la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs." Le mot "directs" limite l'obligation à votre premier niveau de fournisseurs, ce que beaucoup de projets découvrent trop tard après avoir passé des mois à recenser des sous-traitants de second et troisième rang. Pour autant, un registre des fournisseurs ne suffit pas, car ce qui est exigé porte sur les aspects de sécurité de la relation : une évaluation de chaque prestataire et des clauses contractuelles cohérentes avec cette évaluation. Cette responsabilité ne peut pas être externalisée par contrat. Si un incident de sécurité chez un fournisseur se propage dans votre environnement alors qu'aucune diligence raisonnable appropriée n'a été effectuée, une clause contractuelle ne réduit pas votre exposition réglementaire.
Questions fréquentes sur les idées reçues concernant NIS2
NIS2 s'applique-t-elle à notre entreprise si nous avons moins de 50 employés ?
En général, non. NIS2 s'applique aux entités qualifiées de moyennes ou grandes entreprises au sens de la recommandation UE 2003/361/CE, c'est-à-dire comptant au moins 50 employés ou affichant un chiffre d'affaires annuel et un total de bilan supérieurs chacun à 10 millions d'euros, et opérant dans l'un des secteurs couverts. Certaines catégories d'entités sont concernées quelle que soit leur taille, notamment les opérateurs d'installations critiques, les prestataires de services de confiance qualifiés, les fournisseurs de services DNS et les registres de noms de domaine de premier niveau. Les organisations plus petites peuvent par ailleurs être indirectement concernées : les entités soumises à NIS2 sont tenues d'évaluer la sécurité de leur chaîne d'approvisionnement, ce qui crée des attentes vis-à-vis de fournisseurs plus petits. Utilisez le vérificateur NIS2 de Kertos pour confirmer rapidement votre statut.
La certification ISO 27001 satisfait-elle aux exigences de NIS2 ?
En partie. L'ISO 27001 constitue une base solide pour NIS2, notamment en matière de gestion des risques et de contrôles de sécurité. Cependant, NIS2 ajoute des délais de notification des incidents obligatoires, l'enregistrement auprès de l'autorité nationale et des obligations pesant sur la direction, que l'ISO 27001 ne couvre pas. Les organisations certifiées ISO 27001 devraient réaliser une analyse des écarts pour identifier les mesures supplémentaires requises par NIS2.
Quelles sont les amendes pour non-conformité à NIS2 ?
L'article 34 de la directive prévoit jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé, pour les entités essentielles, et jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes. Les transpositions nationales peuvent retenir une mécanique différente. En Allemagne, la loi fixe comme cadre de principe des montants absolus, jusqu'à 10 millions d'euros pour les entités particulièrement importantes et jusqu'à 7 millions pour les entités importantes ; les plafonds exprimés en pourcentage du chiffre d'affaires ne s'appliquent qu'aux entités réalisant plus de 500 millions d'euros de chiffre d'affaires total et seulement pour certaines catégories de manquements. Le manquement à l'obligation d'enregistrement y est traité séparément et plafonné à 500 000 euros. La loi allemande ne prévoit pas d'amende personnelle contre les dirigeants pris individuellement.
Que requiert NIS2 en matière de notification des incidents ?
Les entités essentielles doivent émettre une alerte précoce auprès de l'autorité nationale compétente dans les 24 heures suivant la prise de connaissance d'un incident significatif. Une notification plus complète doit suivre dans les 72 heures, et un rapport final doit être remis dans le délai d'un mois à compter de cette notification à 72 heures. Si l'incident est toujours en cours au bout d'un mois, un rapport d'avancement se substitue provisoirement au rapport final. L'autorité peut en outre demander des rapports intermédiaires. Il s'agit d'obligations réglementaires contraignantes assorties de conséquences en cas de non-respect, non d'objectifs internes.
Les dirigeants sont-ils personnellement responsables au titre de NIS2 ?
Oui, mais pas sous la forme d'une amende personnelle, du moins dans les transpositions connues à ce jour. En Allemagne, un organe de direction qui manque fautivement à son obligation de mettre en œuvre et de superviser les mesures requises répond du préjudice causé envers sa propre organisation, selon les règles du droit des sociétés. Les dirigeants doivent en outre suivre régulièrement des formations à la sécurité de l'information.
Comment Kertos soutient-il la conformité NIS2 ?
Kertos est une plateforme européenne de conformité qui aide les organisations à atteindre et à maintenir une conformité NIS2 continue. La plateforme automatise la collecte de preuves, cartographie vos contrôles de sécurité par rapport aux exigences NIS2, suit l'état de votre programme de conformité en temps réel et soutient la gestion de la sécurité de la chaîne d'approvisionnement. Pour les organisations qui travaillent simultanément à l'ISO 27001 ou à d'autres référentiels, Kertos gère plusieurs référentiels en parallèle, réduisant les doublons et la charge opérationnelle. Réservez une démonstration pour voir comment cela fonctionne en pratique.
Les idées reçues sur NIS2 ne sont pas une simple gêne mineure. Elles expliquent pourquoi des organisations se retrouvent dans des conversations avec les régulateurs sans préparation, avec des lacunes qui auraient pu être comblées plusieurs mois plus tôt. La directive est large, les obligations sont juridiquement contraignantes, et les conséquences pour la direction sont suffisamment précises pour ne pas pouvoir être silencieusement déléguées. Mais NIS2 est aussi atteignable. Les organisations qui l'abordent clairement, sans le filtre des hypothèses optimistes, constatent régulièrement que le chemin vers la conformité est bien plus gérable que les mythes ne le laissaient supposer. Connaître les faits avec exactitude est le seul point de départ qui ait du sens.
Nouveau sur NIS2 ? Commencez par notre guide complet de la directive NIS2 pour une vue d'ensemble.
