Référentiel · Union européenne

NIS 2Êtes-vous prêt pour cette révolution de la cybersécurité ?

La directive NIS2 (Network and Information Security 2) représente un des plus grand bouleversement réglementaire en matière de cybersécurité en Europe. Fidens, expert en cybersécurité depuis 2002, vous accompagne pour transformer cette obligation en opportunité de renforcement de votre sécurité numérique.

Contactez nos experts
Une directive européenne

Qu'est-ce que la directive NIS 2 ?

Qu’est-ce que c’est ? De quoi parle-t-on ? Applicable à des milliers d’entités dans toute l’Union européenne, NIS 2 fixe un cadre commun d’exigences de cybersécurité pour les secteurs considérés comme critiques pour l’économie et la société.

La directive NIS 2 (UE) 2022/2555, adoptée le 14 décembre 2022 et entrée en vigueur le 16 janvier 2023, succède à la directive NIS de 2016. Elle poursuit un objectif simple : relever et harmoniser le niveau de cybersécurité dans l’ensemble des États membres de l’Union européenne, alors que les menaces numériques pèsent de plus en plus lourdement sur les services essentiels à la vie économique et sociale.

Plus qu’une simple mise à jour de son prédécesseur, NIS 2 change de logique. Là où NIS 1 ne visait que quelques centaines d’opérateurs de services essentiels désignés un par un par chaque État, NIS 2 élargit considérablement son champ d’application : ce n’est plus l’État qui identifie les entités concernées, ce sont les organisations elles-mêmes qui doivent déterminer si elles entrent dans le périmètre de la directive, selon leur secteur d’activité et leur taille. Ce changement d’échelle multiplie par dix, voire davantage, le nombre d’entités concernées dans chaque pays.

La directive impose un socle d’exigences structuré autour de plusieurs piliers : des mesures de gestion des risques cyber, des obligations de notification des incidents significatifs dans des délais stricts, une implication directe des organes de direction dans la gouvernance de la sécurité, ainsi qu’une vigilance renforcée sur la sécurité de la chaîne d’approvisionnement. Elle distingue deux catégories d’entités, les entités essentielles et les entités importantes, dont le niveau de supervision et les sanctions encourues diffèrent.

NIS 2 ne se limite pas aux grands groupes industriels ou aux opérateurs historiques de l’énergie et des télécommunications. Elle s’adresse à toute organisation de taille moyenne ou grande qui opère dans un secteur jugé critique ou hautement critique : énergie, santé, transport, eau potable, infrastructures numériques, administration publique, gestion des déchets, fabrication, services numériques ou encore recherche. Dans chaque État membre, ce sont ainsi plusieurs milliers d’entreprises qui basculent, souvent sans l’avoir anticipé, dans le champ d’une réglementation jusque-là réservée à un cercle restreint d’acteurs stratégiques.

Décryptage

NIS2 : Ce que vous devez impérativement savoir

  1. Un périmètre considérablement élargi Plus de 10 000 entreprises françaises concernées

    Contrairement à sa version précédente qui ne visait que les opérateurs de services essentiels, NIS2 étend son champ d’application à 17 secteurs d’activité considérés comme critiques. Cette extension concerne désormais l’énergie, le transport, la santé, l’eau potable, les infrastructures numériques, l’administration publique, l’espace, la production et distribution alimentaire, la gestion des déchets, la fabrication (électronique, automobile, produits chimiques, pharmaceutiques, médicaux), les fournisseurs numériques, la recherche et bien d’autres secteurs stratégiques.

    Vérifiez si votre entité est concernée

  2. Des obligations concrètes et strictes Un cadre exigeant avec des mesures obligatoires

    NIS2 impose un ensemble d’exigences structurées pour renforcer la cybersécurité des organisations concernées. Ces obligations comprennent la mise en place de mesures techniques, organisationnelles et opérationnelles pour gérer efficacement les risques cyber. La directive exige également la notification des incidents significatifs aux autorités compétentes dans un délai de 24 heures, ainsi que l’implication directe des instances dirigeantes dans la gouvernance de la cybersécurité. Les organisations devront par ailleurs réaliser des audits réguliers et évaluer l’efficacité de leurs mesures de sécurité, tout en assurant une gestion rigoureuse des risques dans leur chaîne d’approvisionnement.

  3. Des sanctions dissuasives Des amendes pouvant atteindre 10 millions d’euros ou 2% du CA mondial

    La non-conformité à NIS2 expose votre organisation à des conséquences sérieuses sur plusieurs plans. Sur le plan financier, les sanctions peuvent atteindre des montants considérables, jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires mondial. Au-delà de l’aspect financier, les autorités peuvent imposer des mesures administratives contraignantes qui affecteront vos opérations. Les risques réputationnels associés à une non-conformité peuvent également porter atteinte durablement à votre image de marque. Enfin, la directive engage la responsabilité personnelle des dirigeants, créant ainsi une incitation supplémentaire à la mise en conformité.

Repères

Un peu « d'histoire » autour de NIS 2

L'histoire de NIS 2 s'inscrit dans une volonté européenne, amorcée dès 2016, de structurer progressivement la cybersécurité des services jugés essentiels au fonctionnement de l'économie et de la société.

  1. 2016

    La première directive NIS

    L'Union européenne adopte sa toute première directive sur la sécurité des réseaux et des systèmes d'information, dite directive NIS. Elle impose des obligations de sécurité à un périmètre restreint d'opérateurs de services essentiels (OSE) et de fournisseurs de services numériques, désignés individuellement par chaque État membre.

  2. 2018

    La transposition française

    La France transpose la directive NIS par la loi du 26 février 2018. Quelques centaines d'opérateurs, principalement issus de secteurs stratégiques comme l'énergie, les transports ou la santé, sont désignés OSE et soumis à des obligations de sécurité et de notification auprès de l'ANSSI.

  3. 2022

    L'adoption de NIS 2

    Face aux limites du premier texte et à l'intensification des cybermenaces, l'Union européenne adopte la directive (UE) 2022/2555, dite NIS 2, le 14 décembre 2022. Elle est publiée au Journal officiel de l'Union européenne le 27 décembre 2022 et entre en vigueur le 16 janvier 2023. Le texte abroge la directive de 2016 et change radicalement d'approche : le périmètre n'est plus défini entité par entité, mais déterminé par chaque organisation selon son secteur d'activité et sa taille.

  4. 2024

    L'échéance européenne de transposition

    L'article 41 de la directive fixe au 17 octobre 2024 la date limite à laquelle chaque État membre doit avoir transposé NIS 2 dans son droit national. Ce même jour, la Commission européenne adopte un règlement d'exécution précisant les exigences techniques applicables aux fournisseurs numériques (cloud, centres de données, services managés). La France, comme plusieurs autres États membres, ne respecte pas cette échéance.

  5. 2025

    Le parcours parlementaire français

    Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS 2 en droit français, est adopté par le Sénat en première lecture le 12 mars 2025. La commission spéciale de l'Assemblée nationale adopte à son tour une version du texte le 10 septembre 2025. En parallèle, l'ANSSI publie une première version de son Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour répondre aux objectifs de la directive.

  6. 2026

    Une transposition toujours en cours

    L'ANSSI ouvre le pré-enregistrement des entités concernées sur sa plateforme dédiée en novembre 2025. Le texte poursuit son parcours à l'Assemblée nationale tout au long de l'année 2026, avec plusieurs reports de son examen en séance publique. Dans l'attente de la promulgation définitive de la loi et de ses décrets d'application, les organisations sont invitées par l'ANSSI à anticiper leur mise en conformité en s'appuyant sur le cadre déjà connu de la directive européenne.

Cartographie croisée

Quelles sont les exigences de la directive NIS 2 ?

La directive NIS 2 repose sur un principe simple : les entités essentielles et importantes doivent mettre en œuvre des mesures techniques, organisationnelles et opérationnelles proportionnées aux risques auxquels elles sont exposées. Contrairement à une norme comme l’ISO/IEC 27001, NIS 2 n’impose pas un référentiel de contrôles figé, mais fixe des objectifs de sécurité que chaque organisation doit traduire en mesures concrètes, en tenant compte de sa taille, de son secteur et de son exposition au risque.

L’article 21 de la directive détaille ainsi dix familles de mesures que toute entité régulée doit couvrir, qu’il s’agisse de la gestion des risques, de la continuité d’activité, de la sécurité de la chaîne d’approvisionnement ou de l’authentification. À ces obligations explicites s’ajoutent une exigence partielle, relative à la sécurité physique, et une recommandation implicite liée à la protection des données personnelles, qui recoupe les obligations du RGPD sans s’y substituer.

Cette cartographie, organisée en 12 familles d’exigences réparties entre les volets organisationnel, humain, physique et technologique, permet de visualiser précisément ce que votre organisation doit mettre en place pour répondre aux attentes de la directive, et d’identifier les écarts avec votre dispositif de sécurité actuel.

10 obligations explicites, 1 exigence partielle et 1 recommandation sur les 12 familles d’exigences communes.

Obligation explicite Exigence partielle Recommandation / implicite
Les enjeux

Pourquoi la mise en conformité à NIS 2 est-elle essentielle ?

La mise en conformité à NIS 2 ne se résume pas à une contrainte réglementaire de plus à cocher. Elle constitue un levier stratégique qui structure durablement la résilience d’une organisation face à une menace cyber devenue systémique, et qui dépasse largement le cercle des grandes entreprises historiquement visées par les premières régulations.

Les chiffres publiés par l’ANSSI et ses partenaires en 2026 confirment l’ampleur du phénomène :

128

compromissions par rançongiciel ont été portées à la connaissance de l'agence en 2025

48%

des victimes recensées sont des TPE, PME et ETI

466000€

c'est le coût moyen d'une cyberattaque pour une PME atteint aujourd'hui

Source : ANSSI, panorama de la cybermenace 2025, publié en mars 2026

Dans un contexte où les attaques par rançongiciel touchent indistinctement les infrastructures stratégiques, les établissements de santé et les collectivités territoriales, NIS 2 répond à un besoin réel : celui d'imposer un socle de sécurité homogène à des milliers d'organisations qui, jusqu'ici, n'avaient aucune obligation formelle de s'en doter.

Quels sont les avantages d'une mise en conformité anticipée ?

Au-delà de la conformité réglementaire, engager sa mise en conformité à NIS 2 apporte des bénéfices concrets, mesurables, et souvent réutilisables pour d’autres démarches de sécurité :

  1. Réduction des risques d'incident

  2. Réduction du temps d'interruption d'activité

  3. Gouvernance renforcée au plus haut niveau

  4. Sécurisation de la chaîne d'approvisionnement

  5. Confiance accrue des clients, partenaires et donneurs d'ordre

  6. Anticipation des sanctions et de la responsabilité des dirigeants

  7. Réutilisation pour d'autres référentiels

  8. Culture de la sécurité partagée

La mise en conformité à NIS 2 est un investissement qui protège vos opérations autant que votre réputation, votre capacité à conserver vos clients et votre compétitivité face à des concurrents qui, eux, n'auront pas anticipé.

Périmètre

Mon entreprise est-elle concernée par NIS 2 ?

NIS 2 ne fonctionne plus comme sa version précédente. Ce n’est plus l’État qui désigne un par un les opérateurs soumis à la directive, mais chaque organisation qui doit déterminer elle-même si elle entre dans le champ d’application, selon son secteur d’activité et sa taille. Ce changement de logique explique pourquoi le nombre d’entités concernées passe de quelques centaines sous NIS 1 à plusieurs milliers sous NIS 2, en France comme dans le reste de l’Union européenne.

  • Les entités essentielles

    Elles relèvent des secteurs dits hautement critiques (énergie, transport, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, infrastructures numériques, gestion des services TIC, administration publique, espace). Elles sont généralement de grande taille et font l'objet d'une supervision renforcée, avec des contrôles possibles a priori.

  • Les entités importantes

    Elles regroupent les moyennes entreprises des secteurs hautement critiques, ainsi que les entités de taille moyenne ou grande relevant de secteurs critiques (services postaux, gestion des déchets, fabrication, chimie, industrie alimentaire, services numériques, recherche). Leur supervision intervient surtout a posteriori, après un incident ou un signalement.

Et si mon entreprise n'est pas directement visée ?

Une organisation peut ne pas entrer formellement dans le périmètre de NIS 2 et pourtant être concernée indirectement. La directive impose en effet aux entités essentielles et importantes d'évaluer la sécurité de leur chaîne d'approvisionnement, ce qui inclut leurs prestataires, sous-traitants et fournisseurs numériques. Dans les faits, de nombreuses PME qui travaillent avec des donneurs d'ordre soumis à NIS 2 devront démontrer un niveau de sécurité suffisant pour continuer à répondre à leurs appels d'offres ou maintenir leurs contrats.

Contrairement à une idée reçue, la taille d'une entreprise ne suffit donc pas à l'exclure de tout effet de la directive. Les PME qui opèrent dans la chaîne de valeur d'un secteur critique ont tout intérêt à anticiper ces exigences plutôt que de les découvrir au moment d'un audit fournisseur.

Les échéances

Calendrier d’application

  1. Passé

    Entrée en vigueur de la directive au niveau européen

    La directive (UE) 2022/2555 entre en vigueur dans l'ensemble de l'Union européenne. Chaque État membre dispose alors d'un peu moins de deux ans pour la transposer dans son droit national.

  2. Passé

    Échéance européenne de transposition

    Date limite fixée par la directive pour que chaque État membre adopte et publie ses mesures nationales de transposition. La France, comme plusieurs autres pays de l'Union, ne respecte pas cette échéance. La Commission européenne saisit par la suite la Cour de justice de l'Union européenne pour non-transposition.

  3. Passé

    Adoption du projet de loi par le Sénat

    Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS 2, la directive REC et adapte le cadre DORA, est adopté en première lecture par le Sénat, selon la procédure accélérée.

  4. Passé

    Adoption du texte en commission spéciale à l'Assemblée nationale

    La commission spéciale de l'Assemblée nationale, présidée par Philippe Latombe, dépose sa propre version du texte. Il reste à ce stade en attente d'un passage en séance publique.

  5. Passé

    Ouverture du pré-enregistrement auprès de l'ANSSI

    L'ANSSI ouvre sa plateforme MonEspaceNIS2, qui permet aux futures entités essentielles et importantes de se pré-enregistrer et d'amorcer leur préparation, en amont de toute obligation légale.

  6. Passé

    Publication du Référentiel Cyber France (ReCyF)

    L'ANSSI met à disposition une première version de travail de son référentiel de mesures recommandées pour répondre aux objectifs de sécurité de NIS 2. Ce document, non définitif, n'a pas vocation à fixer un calendrier d'application mais à guider les organisations dans leur préparation.

  7. Passé

    Nouveaux reports de l'examen à l'Assemblée nationale

    Le texte, inscrit à l'ordre du jour des séances des 7 et 9 octobre 2026, en est retiré le 6 octobre par la conférence des présidents, officiellement en raison de l'encombrement du calendrier parlementaire. Aucune nouvelle date n'est fixée à ce jour, le rapporteur Éric Bothorel évoquant une réinscription possible dans un délai de deux à trois semaines.

  8. En cours

    Promulgation de la loi et publication des décrets d'application

    Une fois le texte définitivement adopté (après une éventuelle commission mixte paritaire et, le cas échéant, une saisine du Conseil constitutionnel), la loi sera promulguée et publiée au Journal officiel. Les décrets d'application, qui préciseront notamment le référentiel de sécurité opposable et les modalités d'enregistrement, suivront dans les mois qui succèdent à la promulgation.

Les risques

Sanctions et risques en cas de non-conformité

NIS 2 prévoit un régime de sanctions administratives à deux niveaux, directement calqué sur la logique du RGPD, et proportionné au statut de l’entité concernée. Les entités essentielles s’exposent à des plafonds plus élevés que les entités importantes, en cohérence avec leur niveau de criticité pour l’économie et la société.

Entités essentielles

10 M€
ou 2 % du CA Mondial

Les organisations qualifiées d’entités essentielles, relevant des secteurs les plus critiques (énergie, santé, infrastructures numériques, administration publique, entre autres), s’exposent aux plafonds de sanction les plus élevés prévus par la directive.

Entités importantes

7 M€
ou 1,4 % du CA Mondial

Les entités importantes, qui regroupent notamment les moyennes entreprises des secteurs hautement critiques et les entreprises des secteurs critiques, encourent des amendes légèrement inférieures, bien que tout aussi dissuasives au regard de leur taille.

Au-delà des sanctions financières, la non-conformité à NIS 2 expose votre organisation à des conséquences qui dépassent largement le seul aspect budgétaire :

  • Mesures administratives contraignantes : l'ANSSI dispose de pouvoirs d'enquête, d'audit et de mise en demeure, pouvant aller jusqu'à la suspension temporaire de certifications ou d'autorisations d'exercer pour les dirigeants responsables.
  • Responsabilité personnelle des dirigeants : à l'image du RGPD, la directive engage directement les organes de direction, qui peuvent voir leur responsabilité personnelle mise en cause en cas de manquement avéré.
  • Publication des violations (name and shame) : les autorités compétentes peuvent rendre publiques les décisions de sanction, avec un impact réputationnel potentiellement plus durable que l'amende elle-même.
  • Sanctions pénales : dans les cas les plus graves, des poursuites pénales contre les dirigeants peuvent venir compléter le dispositif administratif.

En cas de récidive, les sanctions peuvent être majorées. Et contrairement à une idée répandue, l'absence de loi de transposition définitive en France ne protège pas durablement les organisations : une fois le texte promulgué, les contrôles de l'ANSSI s'appliqueront sans période de grâce prolongée, aux entités qui n'auront pas anticipé leur mise en conformité.

L'ANSSI dispose de pouvoirs d'enquête, d'audit et de mise en demeure. En cas de récidive, les sanctions sont majorées.

Votre feuille de route

Notre accompagnement NIS2 clé en main

  1. Diagnostic d’applicabilité : Êtes-vous concerné par NIS2 ?

    Notre outil d’évaluation vous permet de déterminer rapidement si votre organisation entre dans le champ d’application de NIS2. Cette première étape essentielle analyse votre secteur d’activité, votre taille et la nature de vos services pour établir avec certitude si vous êtes soumis aux obligations de la directive.

  2. Évaluation de conformité : Où en êtes-vous par rapport aux exigences de NIS2 ?

    Nos experts réalisent un audit complet de votre maturité en cybersécurité au regard des exigences de NIS2. Cette évaluation approfondie couvre tous les aspects clés de la directive : la gouvernance et la gestion des risques, la protection des systèmes d’information, la gestion des incidents, la continuité d’activité et la sécurisation de la chaîne d’approvisionnement. Ce diagnostic précis vous permet d’identifier clairement vos forces et vos axes d’amélioration.

  3. Plan d’action personnalisé : Votre feuille de route vers la conformité

    Nous élaborons un plan d’action priorisé, adapté à votre contexte et à vos ressources. Cette feuille de route détaillée séquence les actions à mener selon leur criticité et leur impact, tout en tenant compte de vos contraintes opérationnelles et budgétaires. Notre approche pragmatique vous garantit d’atteindre la conformité dans les délais impartis, en concentrant d’abord vos efforts sur les mesures les plus essentielles.

  4. Mise en œuvre opérationnelle : De la théorie à la pratique

    Nos 20 consultants experts vous accompagnent dans la traduction concrète des exigences de NIS2 en processus opérationnels adaptés à votre organisation. Cet accompagnement couvre l’élaboration d’une politique de sécurité des systèmes d’information alignée avec vos enjeux métiers, la réalisation d’analyses de risques selon les méthodologies reconnues, la définition de procédures efficaces de gestion des incidents, le développement de plans de continuité d’activité robustes, ainsi que la sensibilisation et la formation de vos collaborateurs aux bonnes pratiques de cybersécurité. Notre valeur ajoutée réside dans notre capacité à transformer chaque exigence réglementaire en actions concrètes et applicables dans votre contexte spécifique.

  5. Pilotage et amélioration continue : Un accompagnement sur la durée

    Notre solution APOS (Assistance au Pilotage des Objectifs de Sécurité) vous offre un outil performant pour gérer votre conformité dans le temps. Cette plateforme vous permet de suivre votre niveau de conformité en temps réel, de piloter efficacement vos plans d’action, de préparer vos rapports pour les autorités avec simplicité et d’adapter votre stratégie à l’évolution constante des menaces et des exigences réglementaires.

Questions fréquentes

Questions fréquentes

Mon entreprise n'est pas listée dans les 18 secteurs, suis-je totalement hors du champ de NIS 2 ?

Pas nécessairement. Si vous travaillez comme prestataire, sous-traitant ou fournisseur d’une entité essentielle ou importante, cette dernière a l’obligation d’évaluer la sécurité de sa chaîne d’approvisionnement. Dans les faits, elle vous demandera probablement de démontrer un niveau de sécurité suffisant pour continuer à travailler avec elle, même si vous n’êtes pas directement régulé par la directive.

Une filiale française d'un groupe international doit-elle se conformer seule, ou est-ce le groupe qui est concerné ?

L’appréciation se fait entité par entité, au regard de son activité, de son secteur et de sa taille propre dans le pays où elle est établie. Une filiale française peut donc être soumise à NIS 2 indépendamment du statut de sa maison mère à l’étranger, notamment si elle exerce une activité relevant d’un secteur couvert sur le territoire national.

Existe-t-il une certification officielle "NIS 2", comme il en existe pour l'ISO 27001 ?

Non. NIS 2 est une directive qui impose des obligations légales, pas un référentiel certifiable par un organisme tiers. Il n’existe pas de label ou de certification « NIS 2 » à proprement parler. C’est précisément pour cette raison que l’ANSSI recommande de s’appuyer sur des référentiels existants, comme l’ISO/IEC 27001, qui eux peuvent faire l’objet d’une certification reconnue.

Un simple outil SaaS que j'utilise au quotidien peut-il me rendre concerné par NIS 2 ?

Utiliser un outil SaaS ne vous rend pas automatiquement soumis à la directive. En revanche, si cet outil traite des données ou des processus critiques pour votre activité, sa sécurité doit être intégrée à votre analyse de risques et à votre évaluation de la chaîne d’approvisionnement, que vous soyez vous-même régulé ou non. Le fournisseur de l’outil, lui, peut être directement concerné par NIS 2 s’il est qualifié de fournisseur de services numériques.

Quelle est la différence entre les obligations de NIS 2 et celles de DORA pour une entreprise du secteur financier ?

DORA s’applique spécifiquement aux entités financières (banques, assurances, gestionnaires d’actifs) et constitue un règlement européen directement applicable, sans transposition nationale. NIS 2 couvre un périmètre plus large de secteurs, mais exclut en principe les entités déjà soumises à DORA pour éviter une double réglementation. Une entreprise financière doit donc vérifier si elle relève de DORA, de NIS 2, ou des deux pour certaines de ses activités périphériques.

Dois-je attendre la version définitive du texte français pour commencer à agir ?

Non, et l’ANSSI le déconseille explicitement. Le cadre européen de la directive est stable depuis 2022 : les grandes obligations (gestion des risques, notification des incidents, sécurité de la chaîne d’approvisionnement) ne changeront pas fondamentalement d’ici la promulgation. Commencer dès maintenant permet d’étaler l’effort dans le temps plutôt que de le subir dans l’urgence une fois la loi votée.

Contenu vérifié le 19 octobre 2026.

Pourquoi nous faire confiance ?

Pourquoi choisir Fidens pour mise en conformité NIS2 ?

Notre cabinet se distingue par plus de 20 années d’expertise en cybersécurité et conformité réglementaire. Nous avons développé une connaissance approfondie des différentes réglementations comme NIS2 et de leurs implications concrètes pour les organisations de tous secteurs. Notre approche pragmatique s’adapte parfaitement à votre niveau de maturité et à vos contraintes spécifiques. Notre méthodologie éprouvée garantit une mise en conformité efficace et durable, tandis que nos outils innovants simplifient considérablement le pilotage de votre conformité au quotidien.

40 Consultants experts Travaillez avec des spécialistes reconnus de la cybersécurité des SI, qui sont certifiés Lead Auditor, Lead Implementor et OSCP.
360° Offre Cyber complète Conseil en gouvernance, audits fonctionnels et techniques, solutions logicielles SMSI et formations.
+3000 Missions réalisées Bénéficiez de retours d'expérience complets et adoptez une approche pragmatique pour votre cybersécurité.

Contactez nos experts cybersécurité