NIS 2 et la transposition française

Module 9: Règles et organisation · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous pourrez expliquer ce que règle la directive NIS 2, pour qui elle s'applique et ce qu'elle implique, via la chaîne de fournisseurs, pour les petites entreprises.
Notions clés : NIS 2, transposition française de NIS 2, entité essentielle et entité importante, secteur, taille, obligation de vigilance, obligation de notification (24 heures, 72 heures, 1 mois), obligation d'enregistrement, chaîne de fournisseurs, auto-évaluation

D'une directive européenne à une loi nationale

NIS 2 est une directive européenne de 2022 (directive (UE) 2022/2555) qui vise à renforcer la résilience numérique des organisations importantes dans toute l'UE. Une directive ne s'applique pas directement : chaque pays la transpose dans sa propre loi. En France, cette transposition est pilotée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information), mais le texte de loi n'est pas encore en vigueur début novembre 2026. Les informations ci-dessous décrivent le fonctionnement de NIS 2 tel qu'il sera applicable une fois la transposition achevée, à titre d'exemple à partir du cas néerlandais, où la loi équivalente est déjà en vigueur depuis le 15 août 2026, sans période transitoire : qui en relève doit s'y conformer immédiatement.

Selon les autorités néerlandaises, plus de 8 000 organisations relèvent de cette loi. C'est une petite partie de l'ensemble des entreprises. Pour la plupart des petites entreprises, la question essentielle n'est donc pas « que dois-je faire pour respecter la loi ? », mais « que vont me demander mes clients, parce qu'eux relèvent de la loi ? ». Nous y revenons plus loin.

En France, l'ANSSI est le point de contact pour la transposition de NIS 2 ; pour l'accompagnement des PME et la cybermalveillance au quotidien, vous pouvez vous adresser à Cybermalveillance.gouv.fr (https://www.cybermalveillance.gouv.fr/).

Êtes vous concerné ? Secteur et taille

Le fait qu'une organisation relève ou non de la transposition de NIS 2 dépend de deux questions.

1. Travaillez vous dans un secteur visé par la loi ? La loi comporte deux annexes.

Pour certains secteurs, des conditions supplémentaires sont fixées par le ministère compétent. Toute organisation active dans le secteur des « denrées alimentaires », par exemple, n'est donc pas automatiquement concernée.

2. Êtes vous suffisamment grand ? Votre organisation est prise en compte si :

• elle compte 50 salariés ou plus (ETP), ou
• elle compte moins de 50 salariés, mais son chiffre d'affaires annuel ET son bilan total dépassent tous deux 10 millions d'euros.

Les entreprises partenaires et liées sont prises en compte. Une entreprise de 20 salariés appartenant à un groupe de 200 peut donc tout de même être concernée.

Exceptions : quelle que soit la taille. Certains types d'organisations sont toujours concernés, aussi petits soient ils : fournisseurs de services DNS, registres de domaines de premier niveau, fournisseurs de réseaux et de services de communications électroniques publics, prestataires de services de confiance et organisations publiques. Les fournisseurs de services d'enregistrement de noms de domaine doivent également s'enregistrer.

Essentiel ou important

Les organisations concernées sont des entités essentielles ou des entités importantes. Globalement : les grandes organisations des secteurs de l'annexe 1, ainsi que quelques types désignés quelle que soit leur taille, sont essentielles ; les autres sont importantes. La différence porte surtout sur le contrôle : pour les entités essentielles, l'autorité compétente peut contrôler de sa propre initiative, par exemple par des inspections et des audits ; pour les entités importantes, elle intervient surtout a posteriori, lorsqu'il existe des indices de non conformité. Les obligations elles mêmes sont globalement identiques. Pour savoir si vous êtes essentiel ou important, utilisez l'auto-évaluation ci-dessous.

Vérifier soi-même

En France, vous pouvez utiliser MonEspaceNIS2, l'outil d'auto-évaluation de l'ANSSI, sur https://monespacenis2.cyber.gouv.fr/. Vous répondez à une série de questions sur votre secteur, votre taille et vos services, et obtenez un résultat. En cas de doute, par exemple parce que votre entreprise appartient à un groupe ou opère dans plusieurs pays, l'ANSSI propose des ressources pour les modèles d'entreprise complexes.

Ce que demande la loi

Si votre organisation est concernée, trois obligations s'appliquent.

Obligation d'enregistrement

Vous enregistrez votre organisation dans le registre des entités, via MonEspaceNIS2. Ainsi, l'État sait qui est concerné et peut vous joindre en cas de menace.

Obligation de vigilance

Vous réalisez une analyse de risques et prenez, sur cette base, des mesures appropriées et proportionnées pour la sécurité de vos réseaux et systèmes d'information. Les autorités identifient au moins dix thèmes, que vous avez tous rencontrés dans cette formation :

1. analyse de risques (leçon 1.1 et 9.3) ;
2. gestion des incidents avec un plan d'incident (leçon 8.1) ;
3. préparation aux interruptions : sauvegardes, plans de reprise, gestion de crise (module 6) ;
4. sécurité de la chaîne d'approvisionnement, y compris les risques liés aux fournisseurs (leçon 7.2) ;
5. cyberhygiène et formation (leçon 9.2) ;
6. acquisition, développement et maintenance sécurisés des systèmes, y compris les mises à jour (leçon 5.1) ;
7. personnel, politique d'accès et gestion des équipements et logiciels (leçon 7.1) ;
8. passkeys ou authentification multifacteur et communications sécurisées (module 2) ;
9. une politique en matière de cryptographie (chiffrement) ;
10. évaluation de l'efficacité des mesures, par exemple par des tests périodiques (leçon 6.3 et 9.3).

La direction est responsable : elle approuve les mesures et supervise leur mise en œuvre. Selon la directive européenne, les dirigeants doivent également suivre une formation sur les cyberrisques. La cybersécurité n'est donc plus une simple tâche confiée au responsable informatique.

Obligation de notification

Un incident important doit être notifié à l'autorité compétente, via le canal prévu à cet effet (en France, l'ANSSI). Il s'agit d'un incident qui perturbe gravement votre service, cause un préjudice financier ou peut causer un préjudice important à des tiers ; les seuils précis varient selon le secteur. Les délais courent à partir du moment où vous avez connaissance de l'incident :

Une seule notification auprès de l'autorité compétente atteint à la fois le CSIRT (l'équipe qui aide à traiter l'incident) et l'autorité de contrôle. En outre, selon la directive, vous devez, si nécessaire, informer les destinataires de vos services des incidents importants susceptibles de les affecter.

Notification NIS 2 et notification RGPD : deux choses différentes

Cela ressemble à l'obligation de notification des violations de données du RGPD (leçon 8.2), et les « 72 heures » reviennent dans les deux cas. Ce sont pourtant deux obligations distinctes.

Une attaque par ransomware subie par une organisation concernée par NIS 2, au cours de laquelle des données clients ont également été volées, doit donc être notifiée aux deux autorités. Et une petite entreprise non concernée par la transposition de NIS 2 a tout de même l'obligation de notification RGPD en cas de fuite de données à caractère personnel.

Si vous n'êtes pas concerné : la chaîne de fournisseurs

Pour la plupart des lecteurs de cette formation, la réponse à la première question est : non, mon entreprise n'est pas concernée par la transposition de NIS 2. La boulangerie de douze personnes, le cabinet comptable de cinq personnes, le développeur de sites web qui travaille seul. Vous n'avez alors aucune obligation légale au titre de cette loi : pas d'enregistrement, pas d'obligation de notification auprès de l'autorité compétente, pas de contrôle.

Mais la loi peut tout de même vous atteindre via vos clients. Les organisations concernées par NIS 2 doivent sécuriser leur chaîne d'approvisionnement : elles doivent tenir compte des vulnérabilités de leurs fournisseurs et prestataires de services directs. Les autorités précisent que la loi n'impose pas d'obligations directes aux fournisseurs eux-mêmes, mais que les organisations concernées peuvent exiger de leurs fournisseurs des garanties en matière de sécurité numérique. Ces exigences se retrouvent alors dans votre contrat ou dans un questionnaire.

Un exemple. Une petite entreprise informatique de six salariés gère les ordinateurs portables et le réseau d'une entreprise de transport de taille moyenne comptant 140 salariés. L'entreprise de transport est concernée par la transposition de NIS 2 (transport, taille suffisante). L'entreprise informatique elle même ne l'est pas : la « gestion des services TIC » figure bien dans l'annexe 1, mais l'entreprise est trop petite. Elle reçoit tout de même un questionnaire : disposez vous de l'authentification à deux facteurs sur les outils de gestion, qui a accès à nos systèmes, à quelle vitesse notifiez vous un incident, où sont stockées les sauvegardes ?

Ce que disent les autorités à ce sujet, et ce que cela signifie pour vous :

• Les exigences doivent être proportionnées. Un client doit tenir compte du risque que représente votre service pour lui. Un fournisseur ayant accès aux systèmes se voit imposer des exigences plus strictes que le boulanger qui livre le déjeuner.
• Cela concerne les fournisseurs directs. Les fournisseurs de vos fournisseurs ne relèvent pas de la loi.
• Un certificat n'est pas obligatoire. La transposition de NIS 2 n'impose aucun label. Un certificat peut faciliter la discussion, mais ce n'est ni une garantie ni une exigence légale.
• Engagez la discussion tôt. Dressez l'inventaire des mesures déjà en place aux points de contact avec le client, et consignez les accords par écrit.

N'exagérez donc pas. La transposition de NIS 2 ne fait pas d'une petite entreprise une organisation « soumise à NIS 2 », et un consultant qui vous affirme le contraire pour vous vendre une certification coûteuse ne vous raconte qu'une partie de l'histoire. Mais ne le sous-estimez pas non plus : quiconque fournit des services à de grandes organisations doit de plus en plus souvent pouvoir démontrer que les bases sont en ordre. Les mesures de base présentées dans cette formation correspondent précisément à ce que demande généralement ce type de questionnaire.

Cette leçon donne une explication générale et ne constitue pas un conseil juridique. Pour les règles actuelles, consultez https://cyber.gouv.fr/la-directive-nis-2 et le texte de la directive sur https://eur-lex.europa.eu/eli/dir/2022/2555/oj.

Résumé

• La transposition française de NIS 2 est pilotée par l'ANSSI et n'est pas encore en vigueur début novembre 2026 ; un pays l'ayant déjà transposée applique sa loi nationale sans période transitoire dès son entrée en vigueur.
• Vous êtes concerné si vous relevez d'un secteur de l'annexe 1 ou 2 ET comptez 50 salariés ou plus, ou si votre chiffre d'affaires annuel et votre bilan total dépassent tous deux 10 millions d'euros ; certains types d'organisations (comme les fournisseurs de services DNS et les administrations publiques) le sont quelle que soit leur taille.
• Obligations : enregistrement via le canal officiel, obligation de vigilance avec analyse de risques et mesures appropriées sous la responsabilité de la direction, et notification des incidents importants sous 24 heures, 72 heures et 1 mois.
• La notification au titre de NIS 2 est indépendante de la notification RGPD des violations de données auprès de la CNIL ; parfois, les deux sont nécessaires.
• Une petite entreprise n'est généralement pas concernée elle même, mais peut se voir imposer des exigences de sécurité proportionnées par des clients qui, eux, le sont.

Quiz

Exercice

Exercice A9.1 : Est-ce concerné par la transposition française de NIS 2 ? Vous recevez six courtes descriptions d'organisations (secteur, nombre de salariés, chiffre d'affaires, bilan total, éventuellement un groupe ou un client important). Déterminez pour chaque organisation : elle est concernée, elle n'est pas concernée mais recevra probablement des exigences via un client, ou elle n'est pas concernée. Le programme vérifie vos réponses et affiche, pour chaque organisation, les étapes de l'arbre de décision.

Pour aller plus loin

Aucun article de la base de connaissances de WebOké ne traite encore spécifiquement de la transposition française de NIS 2 ; utilisez les sources officielles.

• ANSSI, la directive NIS 2 : https://cyber.gouv.fr/la-directive-nis-2
• Commission européenne, la directive NIS 2 : https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
• ANSSI, MonEspaceNIS2 (auto-évaluation) : https://monespacenis2.cyber.gouv.fr/
• Cybermalveillance.gouv.fr, assistance aux entreprises : https://www.cybermalveillance.gouv.fr/
• ENISA, agence européenne de cybersécurité : https://www.enisa.europa.eu/
• Texte de la directive NIS 2 : https://eur-lex.europa.eu/eli/dir/2022/2555/oj
• ANSSI, la transposition française de NIS 2 : https://cyber.gouv.fr/la-directive-nis-2